← España

AI-00227-2022

1/16  Expediente N.º: EXP202202897 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 4 de febrero de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra ALPA 57 PRODUCCIONES, S.L., (en adelante, la parte reclamada o ALPA57). Los motivos en que basa la reclamación son los siguientes: La compañía reclamada se hace pasar por su compañía eléctrica (IBERDROLA) para ofrecerle telefónicamente un descuento en su factura, poseyendo todos sus datos, y enviándole un SMS que debería confirmar para proceder al descuento, percatándose con posterioridad de que era una estafa. Refiere haber llamado en varias ocasiones al número de teléfono desde el que le llamaron para desistir cualquier contratación, pero indica que este teléfono no está disponible y tampoco tienen otro teléfono o email en su página web. El reclamante señala que no hay posibilidad de tener contacto transparente, directo y rápido con esta empresa y añade que la única manera de ponerse en contacto con ellos es rellenando un formulario que hay en su página web con todos los datos personales incluyendo la cuenta bancaria o enviando una carta por correo postal a la dirección que hay en la página web. Documentación relevante aportada por la parte reclamante: - Captura de pantalla de los SMS recibidos, en los que se indica un enlace al dominio ***URL.

  1. - Captura de pantalla de las llamadas recibidas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15 de marzo de 2022 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 4 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Analizadas las evidencias aportadas por la parte reclamante, se intenta acreditar la intervención de la parte reclamada en esta reclamación mediante dos vías: 1.- Titularidad de la página web referenciada en el SMS recibido. 2.- Titularidad del teléfono desde que se realizó la llamada. Una vez constatada la parte reclamada, se prosigue la investigación en el punto
  2. con el objetivo de atribuir las responsabilidades en el tratamiento de los datos del reclamante. 1.- Titularidad de las páginas web Con fecha 20 de julio de 2022 se comprueba que no es posible navegar por la web ***URL.1, ya que la web consiste únicamente en una página inicial con una imagen y un enlace a la política de cookies en la parte inferior de la página, que lleva en bucle a otra página también carente de contenido: ***URL.2 El reclamante indica en su escrito de reclamación que "la única manera de ponerse en contacto con ellos es rellenando un formulario que hay en su página web con todos los datos personales incluyendo la cuenta bancaria o enviando una carta por correo postal a la dirección que hay en la página web […]". Se ha constatado que dicho formulario no es accesible de forma genérica desde la página de inicio de la web y que el enlace facilitado por el reclamante ya no está operativo y redirecciona directamente a la página de inicio. Tampoco se puede obtener la dirección postal a la que enviar una carta. Se consulta, a través del sitio web “***URL.3”, la información relativa al registro de los siguientes dominios: -. ***URL.1 -. ***URL.4 En dichas consultas se puede observar que ambos dominios fueron registrados a través de la compañía IONOS SE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 Realizado, con fecha de 18 de agosto de 2022, requerimiento de información a la entidad IONOS CLOUD S.L.U. (en adelante, IONOS) sobre el registro y titularidad de los dominios anteriores, se recibe en la Agencia, con fecha 1 de septiembre de 2022, la siguiente información: -. Que el dominio ***URL.1 fue registrado a través de IONOS en fecha 8 de septiembre de
  3. -. Que el dominio ***URL.4 fue registrado a través de IONOS en fecha 13 de septiembre de
  4. -. Que ambos dominios fueron asociados a un servicio denominado “ES Hosting Expert LX 12M” (Contract ID XXXXXXXX), contratado en fecha 23 de noviembre de 2020, a las 09:18:16 horas, desde la IP: ***IP.1, por el cliente: .-. Nombre: A.A.A. .-. NIF: ***NIF.1 .-. Dirección: Calle ***DIRECCIÓN.1 .-. CP/Ciudad: ***CIUDAD.1 .-. Tfno.: ***TELÉFONO.1 .-. E-mail: ***EMAIL.1 -. Que estos datos no han sufrido ningún cambio, desde que el cliente se dio de alta en IONOS como cliente, y, por tanto, a fecha 31 de enero de 2022, los datos que constaban en su base de datos de clientes, eran los mismos. -. Que, respecto a los datos del titular y del contacto administrativo de ambos dominios (idéntico titular y contacto administrativo en ambos casos), son los siguientes: TITULAR: .-. Nombre: A.A.A. .-. Dirección: ***DIRECCIÓN.2 .-. Tfno.: ***TELÉFONO.1 .-. E-mail: ***EMAIL.1 CONTACTO ADMINISTRATIVO: .-. Nombre: A.A.A. .-. Dirección: ***DIRECCIÓN.2 .-. Tfno.: ***TELÉFONO.1 .-. E-mail: ***EMAIL.1 Con fecha 8 de septiembre de 2022 se consulta en la web de Registros de Numeración y Operadores de Telecomunicaciones de CNMC para recabar el operador al que pertenece el número de teléfono proporcionado por IONOS. Se graba en el sistema SIGRID, como objeto asociado, impresión de pantalla del operador obtenido, que corresponde a YOIGO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Se comprueba que el administrador único de ALPA57 no corresponde con el titular del dominio ***URL.1 y se solicita información al INE para verificar su dirección postal, confirmando que es en ***DIRECCIÓN.3 Requerido el titular de los dominios para aportar, entre otros puntos, información sobre el origen de los datos personales del reclamante y aclaración de la relación con la empresa ALPA57, con fecha de 16 de noviembre de 2022 remite a esta Agencia la siguiente información y manifestaciones: -. Que se dedica profesionalmente al desarrollo de aplicaciones web y el marketing digital. -. Que es proveedor de servicios tecnológicos de la empresa ALPA57 y recibió el encargo de diseñar una aplicación web que envíe un SMS a los contactos captados por ALPA
  5. En este mensaje se incluye un enlace a una página web de ALPA57 con el fin de finalizar el proceso de contratación de los servicios en los que dicho contacto está interesado. -. Que solo desarrolla la aplicación, pero no obtiene datos personales de los usuarios de la misma. Una vez finalizada la programación informática se le entregan al cliente (ALPA57) datos de acceso a la misma y este la pone en funcionamiento. -. Que registra a su nombre el dominio de sus clientes como norma general en todos los proyectos para facilitar el trabajo de programación y para asegurar el cobro de sus honorarios. En este caso su cliente ALPA57 eligió ***URL.
  6. Una vez finalizados los pagos acordados en el fraccionamiento, el dominio pasa a nombre del cliente. El dominio ***URL.1 sigue a su nombre porque la financiación no ha llegado todavía a su fin. -. Adjunta facturas de prestación de servicios, así como el abono de las mismas por parte de ALPA57 (5.953,20€ + 1.016,40€ + 1.340,44€ = 8.310,04€): * 5.953,20€: Adaptación al desarrollo de landing page para captación de leads (Factura 203) Sistema de sistematización de envío masivo de sms desde listado de números Creación de backoffice para revisión de envíos Hosting L Dominio y certificado de seguridad Soporte técnico 30 días hábiles (llamada, whatsapp y email) * 1.016,40€: Mantenimiento SMS y atención al cliente mes de noviembre. * 1.340,44€: Mantenimiento, soporte y SMS´s diciembre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 2.- Titularidad del teléfono desde que se realizó la llamada. Con fecha 19 de agosto de 2022 se consulta en la web de Registros de Numeración y Operadores de Telecomunicaciones de CNMC para recabar el operador al que pertenece el número de teléfono desde el que se realizó la llamada. Se graba en el sistema SIGRID, como objeto asociado, impresión de pantalla del operador obtenido, que a esa fecha corresponde a VODAFONE. Consultado VODAFONE por los datos identificativos y de contacto del titular de la línea telefónica ***TELÉFONO.2 en la fecha 31 de enero de 2022, con fecha 29 de agosto de 2022 pone en conocimiento de esta Agencia que dicha línea telefónica no pertenecía a esa Compañía en la fecha solicitada, al haber sido importada de YOIGO en fecha 22 de junio de
  7. Con fecha 8 de septiembre de 2022 se solicita a XFERA información sobre los datos identificativos y de contacto del titular en la fecha de la llamada de la línea telefónica desde la que se realizó la llamada y de la línea telefónica proporcionada por IONOS del titular de la línea utilizada en el registro de los dominios, respondiendo a este requerimiento con fecha 29 de agosto de 2022 y facilitando la siguiente información: ***TELÉFONO.2: NEUTRA BUSINESS, S.L. B88287677 CALLE FERNANDO III EL SANTO 27 BAJO 3 28982 PARLA ES ***TELÉFONO.3: Activación: 2019-08-30; Desactivación: 2021-02-07; A.A.A. ***NIF.1 ***DIRECCIÓN.1 ***TELÉFONO.3: Activación: 2022-07-19; ACTIVO; MARKETING SL NULL B10611432 ***DIRECCIÓN.2 LA MATRIZ DE Se confirma que el número de teléfono facilitado por IONOS corresponde al titular del dominio controlatusgastos.com, A.A.A., mencionado en el punto anterior. Se comprueba en el servicio Monitoriza de ***URL.5 que la información proporcionada para la línea telefónica desde la que se realizó la llamada es contradictoria: el CIF aportado no se corresponde con el nombre de la empresa facilitado. Se buscan ambas posibilidades en el servicio Monitoriza de ***URL.5, los Informes mercantiles de las dos empresas obtenidos a través de dicho servicio. NEUTRA BUSINESS SL B39883830 MEDINA CAMPOY ASESORES SL B88287677 Con fecha 4 de noviembre de 2022 se envían sendos requerimientos de información a las dos empresas. Las notificaciones de ambos requerimientos constan expiradas en el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, con fecha de rechazo automático: 15 de noviembre de
  8. Con fecha 2 de diciembre de 2022 se solicita de nuevo a XFERA información sobre los datos identificativos y de contacto del titular, en la fecha de la llamada, de la línea telefónica desde la que se realizó la llamada y confirmación de la existencia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 dos llamadas efectuadas desde el número llamante ***TELÉFONO.2 al número llamado ***TELÉFONO.3, respondiendo a este requerimiento con fecha 28 de diciembre de 2022 y facilitando la siguiente información: -. Que no constan llamadas efectuadas desde el número llamante ***TELÉFONO.2 al número llamado ***TELÉFONO.3 el día 31 de enero de 2022 a las 10:42 y a las 10:
  9. -. Que, en la fecha 31 de enero de 2022, no consta titular asociado a dicha numeración, encontrándose en dicha fecha tal numeración inactiva y sin asignar a ningún cliente. La línea se encuentra inactiva desde el 8 de septiembre de
  10. La última información facilitada por XFERA es contradictoria respecto a la proporcionada en su respuesta al primer requerimiento, por lo que se vuelve a requerir a XFERA que facilite la información. Con fecha 27 de febrero de 2023, XFERA remite a esta Agencia la siguiente información y manifestaciones: -. Reiteración de que no constan llamadas efectuadas desde el número llamante ***TELÉFONO.2 al número llamado ***TELÉFONO.3 el día 31 de enero de
  11. -. Que Neutra Business, S.L. es un cableoperador que revende numeración, por lo que han procedido a solicitarle información en relación con quién de sus clientes tenía asignada esa numeración en la fecha indicada. La información proporcionada por este cableoperador es: A fecha de 31/01/2022: Razón social: MEDINA CAMPOY ASESORES S.R.L. con CIF: B88287677 CALLE FERNANDO III EL SANTO 27 BAJO 3 28982 PARLA ES 3.- Responsabilidades en el tratamiento de los datos del reclamante REQUERIMIENTOS A ALPA57 -. Requerimiento 1.Con fecha 1 de diciembre de 2022 se solicita a la parte reclamada información sobre, entre otros puntos, el motivo por el cual realizó la llamada comercial, consentimiento de la parte reclamante para la recepción de dicha llamada comercial, el origen de sus datos personales y aclaración de la relación entre ALPA57 y el dominio controlatusgastos.com. Con fecha 16 de diciembre de 2022, la parte reclamada remite a esta Agencia únicamente la siguiente información y manifestaciones: -. “Que no podemos aportar la información solicitada, porque tras buscar en nuestros archivos no tenemos nada de esta persona, si bien nos consta que la contratación de ese cliente lo realizó la mercantil ‘’AIMART MARKETING SOCIEDAD LIMITADA’’, provista de C.I.F. B16960718, y dirección en C/San Julián, nº9, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 entreplanta izquierda, 02001, de Albacete, en calidad de subcontrata nuestra, debiéndose requerir la información relacionada a dicha mercantil.” La parte reclamada no proporciona información ni aclara la relación entre ALPA57 y el dominio controlatusgastos.com. Hay que destacar que el reclamante, en su escrito, refiere que no llegó a formalizar ningún cambio de contrato. -. Requerimiento 2.Se insiste a la parte reclamada, con fecha 21 de diciembre de 2022, para que aporte captura de pantalla de sus sistemas de todos los datos obrantes en su entidad asociados al reclamante y origen de estos, así como aclaración de la relación con el dominio ***URL.1 y copia del contrato suscrito entre AIMART y ALPA
  12. Con fecha 1 de enero de 2023, la parte reclamada remite a esta Agencia la siguiente información y manifestaciones: -. Que no pueden aportar la información solicitada, porque “los datos fueron obtenidos por AINMART MARKETING SL., y el reclamante no consta en ninguno de nuestros ficheros. Tampoco tenemos acceso a la plataforma de la comercializadora de la que el reclamante fue cliente desde el momento en que dejamos de trabajar para ellos a comienzos del año 2022”. -. Que ***URL.1“es una plataforma de recolección de leads que ha colaborado con nosotros en el pasado”. -. Remite copia del contrato suscrito entre AIMART y ALPA57, con fecha 19 de septiembre de
  13. DOC#Contrato_mercantil El contrato DOC#Contrato_mercantil aportado es un contrato mercantil de venta y promoción de los productos y servicios de la COMERCIALIZADORA y tiene como intervinientes a ALPA57 como DISTRIBUIDOR y AIMART como SUBDISTRIBUIDOR, siendo el primero titular de contratos de distribución del servicio con las COMERCIALIZADORAS ENERGÉTICAS ALDRO ENERGÍA (ALDRO ENERGIA Y SOLUCIONES SL, en adelante ALDRO) y MAS LUZ ENERGIA (SUMINISTRADOR IBERICO DE ENERGIA SL, en adelante MASLUZ), tal como figura en el Anexo I del contrato: “La empresa ALPA 57 PRODUCCIONES S.L., autoriza a la sociedad mercantil AINMART MARKETING S.L. la subdistribución del servicio y productos de ALDRO ENERGÍA (ALDRO ENERGIA Y SOLUCIONES SL) Y MAS LUZ ENERGIA (SUMINISTRADOR IBERICO DE ENERGIA SL).” Es destacable que: 1.3.- El DISTRIBUIDOR, pondrá a disposición del SUBDISTRIBUIDOR toda la información relativa a clientes potenciales, así como catálogos, prospectos, muestras, información técnica y comercial en general con el objeto de facilitar la prestación de servicios y, la consiguiente posible celebración de contratos de venta y/o suministro de los Productos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 En la sección 15.- CONFIDENCIALIDAD Y PROTECCIÓN DE DATOS, se indica: 15.2.- […] el SUBDISTRIBUIDOR será considerada como "encargado del tratamiento" de los datos de la entidad Por el DISTRIBUIDOR. y, de acuerdo con ello, se establece expresamente que el SUBDISTRIBUIDOR únicamente tratará los datos conforme a las instrucciones del DISTRIBUIDOR, […]. Será parte integrante al presente contrato lo dispuesto en el Anexo IV "Contrato de Encargado del Tratamiento". Aunque está mencionado en el contrato, la copia aportada no incluye el Anexo IV "Contrato de Encargado del Tratamiento". 15.5.- El SUBDISTRIBUIDOR no tiene acceso a las bases de datos de clientes del DISTRIBUIDOR, manifestando ser titular de sus propias bases de datos de clientes a los efectos de poder prestar las labores de comercialización objeto del presente contrato. A estos efectos, el SUBDISTRIBUIDOR MANIFIESTA, que sus bases de datos de clientes han sido elaboradas conforme a las mejores prácticas y legalidad vigente en el momento del inicio de su elaboración, y han sido obtenidas con el consentimiento expreso de los clientes para las siguientes finalidades […]: Según el contrato suscrito entre ALPA57 y AIMART, AIMART es titular de sus propias bases de datos de clientes, garantiza que los datos personales almacenados en sus bases de datos son completamente lícitos y declara contar con el consentimiento informado e inequívoco y expreso para tratar los datos personales y para cederlos a terceros. Se observa que no se ha entregado la página 13 de 13 del contrato DOC#Contrato_mercantil, que contiene presumiblemente el Anexo IV no aportado. -. Requerimiento 3.Con fecha 9 de febrero de 2023 se remite un nuevo requerimiento de información a la parte reclamada para solicitar: -. el Contrato de Encargado de Tratamiento, que debería estar incluido como anexo en el contrato suscrito entre AIMART y ALPA57, -. los contratos con las comercializadoras energéticas referenciadas en dicho contrato y -. el contrato formalizado entre ALPA57 y controlatusgastos.com. Como respuesta a este requerimiento, la parte reclamada dirige un escrito a esta Agencia con fecha 16 de febrero de 2023, adjuntando la siguiente documentación: -. DOC#1: ANEXO 4 - Contrato de Encargado de Tratamiento, anexo al contrato mercantil DOC#Contrato_mercantil con fecha 19 de septiembre de
  14. -. DOC#2: Contrato suscrito entre ALPA 57 PRODUCCIONES, S.L. y ALDRO ENERGIA Y SOLUCIONES S.L. de fecha 24 de julio de
  15. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 -. DOC#3: Contrato suscrito entre ALPA 57 PRODUCCIONES, S.L. y ALDRO ENERGIA Y SOLUCIONES S.L. de fecha 17 de octubre de
  16. -. DOC#4: Contrato suscrito entre ALPA 57 PRODUCCIONES, S.L. y MAS LUZ de fecha 3 de febrero de
  17. Respecto a la copia del contrato formalizado entre ALPA57 y controlatusgastos.com, la parte reclamada refiere que “no podemos acceder a la documentación solicitada por clausura de la plataforma”. Con fecha 20 de febrero de 2023 se comprueba que la plataforma continúa activa. Análisis de la documentación aportada en el requerimiento 3: -. DOC#1: ANEXO 4 - Contrato de Encargado de Tratamiento, anexo al contrato mercantil DOC#Contrato_mercantil firmado, con fecha 19 de septiembre de 2021, cuyo objeto es habilitar a la entidad ENCARGADA DEL TRATAMIENTO (AIMART) para tratar por cuenta del RESPONSABLE DEL TRATAMIENTO (ALPA57) los datos de carácter personal necesarios para cumplir con el contrato mercantil de venta y promoción de los productos y servicios de la COMERCIALIZADORA, al cual se anexa el contrato de encargo de tratamiento. Revisado el anexo, se observa que éste contiene 7 páginas (que no es coherente con una única página ausente en el documento DOC#Contrato_mercantil) y que en dicho contrato de encargo se tienen en cuenta aspectos especificados en el artículo 28.3 del RGPD. .- Objeto .- Tipo de datos personales .- Duración .- Obligaciones del Encargado de tratamiento: Entre otras, se especifica que el encargado debe: * tratar los datos de acuerdo con las instrucciones del responsable del tratamiento, * llevar un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable, que contenga el nombre del encargado/s, las categorías de tratamiento, transferencias internacionales de datos y una descripción general de las medidas técnicas y organizativas de seguridad. * No comunicar los datos a terceras personas, salvo que cuente con autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles. El encargado puede comunicar los datos a otros encargados del tratamiento del mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. * Subcontratación según lo dispuesto en el contrato. * Asistir al responsable del tratamiento en la respuesta al ejercicio de derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 * En el momento de la recogida de datos, facilitar la información relativa a los tratamientos de datos que se van a realizar. * Notificar las violaciones de seguridad de los datos. .- Responsabilidad del Encargado de tratamiento: el encargado será considerado responsable del tratamiento en el caso de que destine los datos a otra finalidad o los utilice incumpliendo el contrato. En este caso, responderá de las infracciones. Recordatorio: Según el documento DOC#Contrato_mercantil, contrato mercantil suscrito entre ALPA57 y AIMART, AIMART es titular de sus propias bases de datos de clientes, garantiza que los datos personales almacenados en sus bases de datos son completamente lícitos y declara contar con el consentimiento informado e inequívoco y expreso para tratar los datos personales y para cederlos a terceros Aunque el reclamante no llegó a formalizar ningún cambio de contrato, porque se dio cuenta del presunto fraude antes de aceptarlo, se incluye a continuación el estudio de los contratos suscritos entre ALPA57 y las comercializadoras referenciadas en su contrato con AIMART. -. DOC#2: Contrato suscrito entre ALPA57 y ALDRO, de fecha 24 de julio de
  18. Consiste en un proyecto piloto de colaboración entre las dos entidades anteriores, de un mes de duración, en el que ALPA57 “se compromete a realizar a favor de ALDRO la prestación de los servicios de promoción, prospección asesoramiento y apoyo a su departamento comercial para aquellos clientes que hayan causado baja en ALDRO en favor de otra comercializadora”. Este proyecto piloto se integra como una campaña especial dentro del contrato de prestación de servicios firmado previamente por ALPA
  19. En la Cláusula QUINTA se establece la operativa que se realizará para llevar a cabo la retención del “CLIENTE HOGAR” y los datos involucrados: -. ALDRO exporta los CUPS en formato excel con estado “Baja comercializadora”. -. Los datos exportados tienen límite temporal de uso: 30 días -. ALPA57 “realizará su labor de retención de “CLIENTE HOGAR” conforme a las instrucciones indicadas por ALDRO en todo momento”. En el Anexo I se especifican los productos y servicios de ALDRO vigentes a la fecha de firma de este Anexo. -. DOC#3: Contrato suscrito entre ALPA57 y ALDRO, de fecha 17 de octubre de
  20. El documento aportado está incompleto y contiene únicamente las hojas pares (o las impares). Con la información proporcionada se constata que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 Se trata de un contrato de prestación de servicios entre ALDRO y ALPA57, ALDRO como empresa que comercializa energía eléctrica y gas y prestador de servicios de eficiencia energética y mantenimiento de instalaciones y ALPA57 como colaborador, empresario autónomo que desarrolla la actividad de asesoría y apoyo comercial y técnico para captación de clientes. En el apartado 6 (xii) se especifica que está prohibida toda subcontratación de trabajos por parte de ALPA57, salvo aprobación previa por escrito y bajo las condiciones que marque ALDRO. En apartado 7 (iv). “Obligaciones de ALDRO” se indica que será responsabilidad de ALDRO la formalización de los contratos con los clientes captados por ALPA
  21. En el Anexo III, “Documentación relativa al cliente y metodología de trabajo”, apartado 1.
  22. se indica que: “ALDRO solicitará al Colaborador la firma del cliente en los contratos o la grabación telefónica de la venta, como prueba expresa de la conformidad del cliente en la contratación de los Productos y Servicios. En todo caso, los contratos con los clientes serán formalizados por ALDRO siempre que exista conformidad expresa a las condiciones de los mismo, previa comprobación de la correspondiente documentación contractual y/o de la locución telefónica de la venta por parte de ALDRO.” El Anexo IV trata sobre el Contrato de Encargado de Tratamiento de datos de carácter personal. En la cláusula I se establece que “ALDRO, en calidad de responsable del tratamiento, habilita ALPA57, en calidad de encargado del tratamiento, para acceder y/ o tratar por cuenta del responsable los datos de carácter personal necesarios para la prestación de los servicios recogidos en el contrato”. En la cláusula IV. “Obligaciones del encargado del tratamiento”, k), párrafo 2º se indica que “El encargado previamente, se compromete a asegurar al responsable, que los interesados han autorizado de forma expresa su consentimiento para recibir ofertas comerciales del responsable, al menos lo relacionado con el sector energético, así como se responsabiliza de la legitimidad de las bases de datos que utiliza y que deberán ser va a ser de su titularidad, dejando en todo caso indemne al responsable de cualquier daño, reclamación o litigio que pudiera surgir a causa del incumplimiento de alguno de los referidos compromisos.” -. DOC#4: Contrato suscrito entre ALPA57 y MASLUZ, de fecha 3 de febrero de
  23. Se trata de un contrato de prestación de servicios de telemarketing con intervinientes RECICLAJES ECOLÓGICOS CANTABRIA SL (MASLUZ) y ALPA57, siendo MASLUZ distribuidor autorizado de la sociedad SUMINISTRADOR IBÉRICO DE ENERGÍA. En el punto 11 “Protección de Datos” se indica que ALPA57 utilizará o bien bases de datos facilitados por MASLUZ o bien su propia base de datos de posibles clientes. ALPA57, previo a la utilización de una base de datos propia, garantizará y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 certificará aportando toda la documentación necesaria, que el origen de dicha base de datos es legítimo y que cuenta con el consentimiento de los potenciales clientes para la realización de acciones comerciales. Respecto a la subcontratación, punto 12, ALPA57 no podrá subcontratar todos o parte de los servicios con otras empresas para su ejecución, salvo consentimiento expreso y por escrito de MASLUZ, ni ceder el contrato ni cualesquiera derechos u obligaciones derivadas del mismo, salvo consentimiento expreso y por escrito de MASLUZ. En el anexo II se especifica la “Metodología de trabajo”, en la que se expone, en la estipulación primera, el procedimiento de contratación. Se indica que ALPA57 recabará del cliente con exactitud todos los datos personales listados en el punto 1.1 (Nombre completo, DNI, teléfono, correo electrónico, etc.) e informará en las aplicaciones de MASLUZ dichos datos, así como la documentación necesaria para la contratación. ALPA57 enviará al cliente su contrato, a través de la aplicación de MASLUZ, para que éste lo firme. En ningún caso se podrá utilizar un método de firma no proporcionado o validado expresamente por MASLUZ. ALPA57 se encargará de la verificación y autentificación del consentimiento contractual de los nuevos clientes. ALPA57 deberá facilitar a MASLUZ la grabación íntegra y sin cortes del proceso de venta. Sin esta grabación subida a los sistemas de MASLUZ no tendrá validez alguna el contrato de venta telefónica. El Anexo I abarca el “Acceso y tratamiento de datos”, con MASLUZ como responsable del tratamiento y cesionario y ALPA57 como proveedor, cedente y/o encargado del tratamiento. Se constata que se tienen en cuenta los aspectos especificados en el artículo 28.3 del RGPD. En este Anexo, en el “Manifiestan”, se especifica que MASLUZ es propietaria única de los datos contenidos en los registros que facilitará a ALPA57 para realizar sus servicios. En concreto, ALPA57 “realizará llamadas comerciales a contactos de una base de datos proporcionada por MASLUZ, que garantizará y certificará aportando toda la documentación necesaria, que el origen de dicha base es legítimo y que cuenta con el consentimiento/autorización de los potenciales clientes […]” En la estipulación SEXTA, MASLUZ prohíbe expresamente la subcontratación de terceras personas salvo autorización expresa. Con fecha 23 de febrero de 2023 se remite un nuevo requerimiento de información a la parte reclamada para solicitar la copia completa del contrato suscrito entre ALPA 57 PRODUCCIONES, S.L. y ALDRO ENERGIA Y SOLUCIONES S.L., de fecha 17 de octubre de 2019, puesto que el documento facilitado en la respuesta al requerimiento anterior estaba incompleto, ya que contaba únicamente con las hojas impares. El requerimiento es aceptado con fecha 23 de febrero de
  24. ALPA57 envía respuesta a este requerimiento con fecha de presentación 3 de marzo de 2023, anexando el contrato completo solicitado. Se comprueba que dicho documento coincide con el contrato DOC#3 proporcionado con anterioridad, aportando esta vez el documento completo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 REQUERIMIENTOS A AIMART MARKETING SOCIEDAD LIMITADA Con fecha 21 de diciembre de 2022 se remite requerimiento de información a AIMART para que aclare, entre otros puntos, el motivo por el cual realizó la llamada comercial, consentimiento de la parte reclamante para la recepción de dichas llamadas comerciales, el origen de sus datos personales. Se notifica a la parte reclamada con fecha de 22 de diciembre de 2022, mediante el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, siendo receptora B.B.B. con certificado de representación de AIMART. Habiendo superado el plazo de respuesta sin que se haya recibido en esta Agencia escrito de contestación, se reitera dicha solicitud de información con fecha 8 de febrero de 2023 por los mismos medios, constando como fecha de rechazo automático el 19 de febrero de
  25. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "
  26. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
  27. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
  28. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
  29. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III La reclamación se presenta porque el reclamante ha recibido una llamada telefónica haciéndose pasar por Iberdrola (su compañía) para ofrecerle un descuento. El reclamante afirma que uien efectuó la llamada tenía todos sus datos. Le enviaron un sms para confirmar la contratación, y el reclamante advierte que el link pertenece a controlatusgastos.com. Ante las sospechas, no accede al link y llama a Iberdrola, que le dice que no le han llamado de esa compañía para ofrecerle ningún descuento. Tras las actuaciones de investigación realizadas, y solicitada a XFERA información sobre los datos identificativos y de contacto del titular, en la fecha de la llamada, de la línea telefónica desde la que se realizó la llamada y confirmación de la existencia de dos llamadas efectuadas desde el número llamante ***TELÉFONO.2 al número llamado ***TELÉFONO.3, se recibe la contestación siguiente: -. Que no constan llamadas efectuadas desde el número llamante ***TELÉFONO.2 al número llamado ***TELÉFONO.3 el día 31 de enero de 2022 a las 10:42 y a las 10:
  30. -. Que, en la fecha 31 de enero de 2022, no consta titular asociado a dicha numeración, encontrándose en dicha fecha tal numeración inactiva y sin asignar a ningún cliente. La línea se encuentra inactiva desde el 8 de septiembre de
  31. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Por tanto, no se ha podido identificar a la persona o entidad que efectuó las llamadas, al carecerse de evidencias documentales de su realización, conforme a la información facilitada por el operador de telecomunicaciones. Por otro lado, se constata que el responsable de ***URL.1 es Alpa57, quien indica que no tiene ningún dato del reclamante. En el presente caso, de la documentación obrante en el expediente se desprende la ausencia de elementos suficientes para la atribución de responsabilidad por la comisión de los hechos enjuiciados. IV Conclusión En síntesis, el reclamante denuncia que el enlace que recibe por SMS le redirige a una página que contiene todos sus datos personales. Se ha constatado que dicho formulario no es accesible de forma genérica desde la página de inicio de la web ***URL.1 y que el enlace facilitado por el reclamante ya no está operativo y redirecciona directamente a la página de inicio. No es posible navegar por la web ***URL.1, ya que la web consiste únicamente en una página inicial con una imagen y un enlace a la política de cookies en la parte inferior de la página, que lleva en bucle a otra página también carente de contenido: ***URL.2 No se han podido obtener evidencias del origen del SMS; asimismo tampoco no se han podido obtener evidencias de las llamadas efectuadas. El operador de telefonía del reclamante indica que no constan llamadas del número llamante al número llamado en esa fecha. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, al no haber sido posible atribuir la responsabilidad por el tratamiento previo a la realización de la llamada. De acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ALPA 57 PRODUCCIONES, S.L., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.