1/26 Expediente N.º: EXP202305638 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 15/03/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AECORP 005, S.L. con NIF B
(25005)Correo electrónico de contacto: info@grupoaecorp.com Correo electrónico de protección de datos o Delegado de Protección de Datos: info@grupoaecorp.com AECORP tratará los datos personales como Responsable del Tratamiento de todas las páginas web que se vinculen a dicha empresa. -4-. Respecto a la información aportada por FROM ZERO en las respuestas a los requerimientos de información Con fecha 11 de abril de 2024 se realiza un requerimiento de información a la parte reclamada FROM ZERO solicitándole el origen de los datos personales de la parte reclamante y los procedimientos seguidos para cumplir el deber de información en el momento de su recogida. La parte reclamada responde a este requerimiento de información con fecha de registro 18 de abril de 2024 y número REGAGE24e00028492299, proporcionando en su escrito de respuesta (FROM_ZERO_Resp#1) la siguiente información y manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 “Por parte de esta empresa se contacto con la denunciante para informarle de una oferta, lo que se conoce como una llamada de captación. Tras comunicar ella su interés en la misma, lo ponemos en conocimiento de la empresa colaboradora, AECORP SL, para que pueda hacer la contratación.” Ante la ausencia de respuesta de algunos de los puntos requeridos, con fecha 25 de abril de 2024 se realiza un segundo requerimiento de información a la parte reclamada para solicitar la copia de la grabación de la llamada de captación, así como la descripción detallada del procedimiento de captación de clientes por vía telefónica y aclarar el procedimiento utilizado para comunicar a AECORP la información relativa a la parte reclamante. La parte reclamada FROM ZERO responde a este requerimiento de información con fecha de registro 8 de mayo de 2024 y número REGAGE24e00033576058, proporcionando la siguiente documentación junto a su escrito de respuesta (FROM_ZERO_Resp#2): .- Argumentario tipo (FROM_ZERO_Resp#2_Doc#1) A partir de sus respuestas se puede extraer la siguiente información: -4.1-. Respecto a los datos personales de la parte reclamante, su origen y el cumplimiento del deber de información en el momento de su recogida. FROM ZERO, en su escrito de respuesta al segundo requerimiento de información (FROM_ZERO_Resp#2), indica que no dispone de ningún dato personal de la parte reclamante. “la llamada fue aleatoria, no podíamos saber la identidad del titular de la línea ni dato alguno de esa persona.” Con relación al cumplimiento del deber de información en el momento de la recogida de los datos, especifica: “El artículo 13, en lo referente a la información que se ha de proporcionar cuando se obtienen datos personales del interesado. En nuestra mecánica de trabajo, como ya hemos explicado, no tenemos acceso a datos personales del llamado. Son llamadas aleatorias. Cuando el sujeto muestra interés, él accede a una página web, introduce su número de teléfono, y consiente se le realice una llamada en la que, en esa si, se obtendrán sus datos personales. El artículo 14, respecto a la obligación de indicar al interesado el origen de los datos personales cuando estos no se hayan obtenido del interesado. Redundo en la respuesta anterior, no teníamos acceso a datos personales, por lo que no ha lugar a informar de su origen.” (Nota: el subrayado ha sido incorporado por la Agencia) Es importante destacar que el contrato suscrito entre AECORP y FROM ZERO (Documento AECORP_Resp#1_Doc#4) especifica que los números de teléfono que utiliza FROM ZERO deben ser previamente informadas a AECORP (léase ANEXO II A – (PREM) – 2. Obligaciones en el apartado 3.3 anterior). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 -4.2-. Respecto a la llamada de captación y el procedimiento utilizado para comunicar los datos a AECORP. Solicitada la copia de la grabación de la llamada de captación y la identificación de la línea telefónica utilizada para ello, FROM ZERO especifica que “No disponemos de esta llamada. Fue producto de una campaña temporal que consistía en hacer saber a la persona la disponibilidad de una oferta. La llamada se realizó con un programa de emisión de llamadas que se llama Leaddesk.” Con relación al consentimiento otorgado por la parte reclamante para la recepción de dicha llamada, FROM ZERO aclara que: “En el momento de realizar la llamada, febrero de 2023, el destinatario de la llamada, para poder recibirla o no, tan sólo se corroboraba que el mismo no estuviera inscrito en la lista RobinDson. Esa verificación si se hizo. “ Respecto al procedimiento utilizado para comunicar a AECORP la información relativa a la parte reclamante, FROM ZERO especifica: “En la llamada de captación, una vez la persona era informada de la oferta y mostrando interés en la misma, esta, debía introducir su número de teléfono móvil en una web, tras lo cual recibía una llamada para poder iniciar la tramitación de la contratación.” Es importante destacar que el contrato suscrito entre AECORP y FROM ZERO (Documento AECORP_Resp#1_Doc#4) especifica que es obligación del AGENTE (FROM ZERO) disponer de un sistema de grabación de llamadas, debiendo grabar todas las llamadas realizadas a los destinatarios de la oferta comercial de principio a fin. -4.3-. Respecto al procedimiento de captación de clientes por vía telefónica. FROM ZERO manifiesta en su escrito de respuesta al segundo requerimiento de información (FROM_ZERO_Resp#2): “El procedimiento en febrero de 2023 era: Se llamaba a teléfonos filtrados por Robinson y se les informaba que en caso de tuvieran interés existían ofertas disponibles en relación a su suministro de energía eléctrica. Para que el futurible cliente pudiera escuchar la oferta se les indicaba la página web en la que debían teclear su número de teléfono para recibir la llamada con el detalle de la oferta y las condiciones de la contratación. La persona interesada recibiría la llamada por parte de AECORP. En ese punto nosotros desaparecemos de la ecuación siendo AECORP quien conoce los detalles de la llamada. Adjuntamos un argumentario TIPO.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 Sin embargo, el documento proporcionado (argumentario tipo) no recoge lo anteriormente explicado respecto a la llamada de captación. En lugar de aportar el argumentario tipo de la llamada de captación que realiza FROM ZERO, han facilitado el argumentario de la llamada que realiza AECORP para concluir el proceso de contratación con FACTOR, para verificar los datos y para hacerle llegar el contrato para su firma. En dicho documento, titulado SCRIPT AECORP, se muestra el argumentario que debe transmitir el operador telefónico, en el que resaltan los siguientes puntos: .- “de conformidad con la normativa, le informamos que sus datos proceden de un fichero titularidad de AECORP 005, S.L. En cualquier momento usted podrá ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, dirigiéndose a la dirección electrónica info@grupoaecorp.com o por esta vía.” .- existe un apartado que indica “VERIFICACION / RECOGIDA DE DATOS” donde se recogen Nombre y Apellidos, DNI, teléfono de contacto, correo electrónico, fecha de nacimiento y edad. .- “Podrá leer detalladamente las condiciones del contrato al enlace que le enviaremos al móvil que nos ha indicado para que pueda confirmar la contratación y el cambio de comercializador a FACTOR ENERGIA.” .- “Le informamos que trataremos sus datos personales para mantener y desarrollar la relación contractual con FACTOR ENERGIA y cumplir con las obligaciones legales. Sus datos podrán ser comunicados a administraciones públicas, y se podrán consultar ficheros de solvencia patrimonial y de crédito y en el caso de impago, los datos relativos al mismo podrán ser comunicados a dichos ficheros.” Es importante destacar que, aunque FROM ZERO manifiesta realizar únicamente una llamada de publicidad para hacer saber a la persona la disponibilidad de una oferta, el contrato suscrito entre AECORP y FROM ZERO (Documento AECORP_Resp#1_Doc#4) especifica el protocolo de venta y calidad (ANEXO II A) que incluye la llamada de venta, la firma del contrato y la validación de la contratación (léase ANEXO II A – (PREM) – en el apartado 3.3 anterior). -.Una vez revisada toda la información aportada por los distintos intervinientes de este expediente, se resume que existen tres tipos llamadas distintas: .- Llamada de captación, realizada por la empresa FROM ZERO y de la cual no se han podido obtener evidencias. .- Llamada de contratación, efectuada por la empresa AECORP. .- Llamada de bienvenida, realizada a modo de verificación por la empresa AECORP. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Análisis del supuesto 1. Los hechos puestos de manifiesto en la presente reclamación se materializan en la presunta contratación fraudulenta en el suministro de energía eléctrica a la parte reclamante. El artículo 6 del RGPD, Licitud del tratamiento, dispone en su apartado 1: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. También el Considerando 40 de la RGPD, dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» 2. El tratamiento de datos de carácter personal requiere la existencia de una base legal que lo legitime. Por tanto, la cuestión fundamental radica en determinar si la parte reclamada contaba con alguna de las bases que legitiman el tratamiento de los datos de carácter personal de conformidad con el artículo 6.1 del RGPD o si adoptó las medidas que la diligencia exige a fin de acreditar que la persona de quien recabó y obtuvo los datos para llevar a cabo la contratación del correspondiente suministro era su titular. En este sentido, la parte reclamante ha manifestado que recibió una llamada en la que se identifican como su empresa de energía, ofreciéndole una tarifa más ventajosa. La parte reclamante ha señalado que tenían todos sus datos personales, recibiendo tras la llamada un mensaje de texto con la solicitud de firma electrónica del contrato. Finalmente recibió un mensaje de texto confirmando el contrato, pese a que indica no haber aceptado el mensaje, recibiendo un cargo en cuenta bancaria de la comercializadora. Hay que señalar que con carácter previo a la reclamación remitida a la AEPD, existió una reclamación de la parte reclamante que fue gestionada y contestada por la parte reclamada. De la documentación aportada al expediente y manifestaciones de las partes en la contratación intervienen tres entidades: primero, la parte reclamada (FACTOR ENERGIA), en su condición de responsable del tratamiento; segundo, la empresa colaboradora en su condición de encargada del tratamiento (AECORP) y, tercero, la entidad que actúa como agente de la anterior (FROM CERO). En cuanto al modus operandi llevado a cabo en la contratación, el agente (FROM ZERO) contacta con el/los posible/s cliente/s informando/les de la/s oferta/s, lo que se conoce como llamadas de captación, informando al posible cliente de la oferta y, habiendo mostrado interés por la misma, le indica la página web en la que se debe introducir número de teléfono y CUPS a fin de recibir llamada con detalle de la oferta y condiciones para la contratación de parte de la empresa colaboradora (AECORP). Posteriormente, AECORP contacta por teléfono con el posible cliente informando sobre el producto a contratar, validar sus datos y enviarle el contrato a fin de que sea firmado con la nueva comercializadora a través de un SMS (llamada de contratación). Dentro de las 24 horas posteriores a la firma, se realiza llamada de bienvenida a modo de verificación. Es cierto que en el presente caso no figura acreditada la primera llamada, denominada de captación no constando su grabación e ignorándose por tanto como se obtuvieron los datos de carácter personal de la parte reclamante (FROM CERO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 señala que la llamada fue aleatoria), pero también lo es que con posterioridad a la misma AECORP realizó la verificación del contrato, aportando evidencias que lo acreditan: contrato de suministro, llamada de contratación y certificado emitido por el tercero de confianza (acreditativo de la confirmación por SMS) y llamada de bienvenida a modo de verificación. Por otra parte, la parte reclamada ha manifestado que “la llamada comercial fue realizada por una empresa externa colaboradora de nuestra compañía …, denominada AECORP, con la que se mantiene una relación mercantil de agencia (no de prestación de servicios), por lo que dicha empresa realiza su actividad comercial con su propia base de datos de la cual es responsable del tratamiento, correspondiendo el tratamiento de datos relativo a la emisión de la llamada a dicha empresa.” Asimismo, señala que los datos personales fueron obtenidos por AECORP, quien “remitió la contratación obtenida por la misma como consecuencia del ejercicio de su labor de agencia (promoción de ventas) para su posterior validación y activación con FACTOR”. En la grabación de la llamada de contratación figura que el agente se identifica correctamente de conformidad con el protocolo aportado, le indica el motivo de la misma y recaba su consentimiento de forma verbal por vía telefónica para continuar con la oferta, tras lo cual se confirma la contratación. Además, la parte reclamante ha reconocido la llamada pues n su escrito de reclamación señala “Que en fecha 7 de febrero de 2023 me realizaron una llamada telefónica diciendo que era mi empresa comercializadora de energía eléctrica (BASER), que podían ofrecerme una tarifa más ventajosa”, y también la recepción del SMS con la solicitud de firma del contrato y otro SMS posterior que le envía el contrato, aunque señala que no aceptó, “Posteriormente me llegó un SMS (Se adjunta foto) con una solicitud de firma electrónica de contrato” y “a los minutos me llegó otro SMS como que ya había firmado el contrato sin haberlo hecho yo". No obstante, la parte reclamada ha aportado certificado de un tercero de confianza, que certifica haber generado en sus registros evidencias electrónicas de las operaciones realizadas por AECORP en nombre de la parte reclamada en las fecha de la contratación: el envió del SMS al teléfono móvil ***TELÉFONO.1 para la formalización del contrato que incluía un enlace a dicho contrato; el acceso a la web para su firma y la recepción de petición HTTPS desde la IP (…) correspondiente al evento de firma mediante “Pulsación de botón de firma”. A mayor abundamiento, la titularidad de la línea a la que se envían los sms pertenece a la parte reclamante. 3. Por todo ello, hay que señalar que la valoración que merece la documentación aportada, como la actuación llevada a cabo por la parte reclamada, es que ha actuado con una razonable diligencia; por tanto, la conducta examinada no puede ser merecedora de reproche o sanción administrativa conforme a la normativa de protección de datos, pues la presencia del elemento subjetivo de la infracción es esencial para exigir responsabilidad en el marco del derecho administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26 sancionador. La razón es que la entidad ha observado con ocasión de la incidencia producida el procedimiento y la diligencia que le es exigible a fin de garantizar el derecho fundamental a la protección de datos personales. Se hace necesario señalar que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos reclamados y de las actuaciones llevadas a cabo por esta Agencia, no se han acreditado elementos de juicio suficientes que permitan atribuir a la parte reclamada la vulneración de la normativa en materia de protección de datos, además de haber procedido dicha entidad en su actuación, con una razonable diligencia a la hora de acreditar la identidad de la parte reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 Por tanto, se considera que la conducta de la parte reclamada no vulnera el principio de licitud consagrado en el artículo 6.1 del RGPD, tipificada en el artículo 83.5
- a)del RGPD. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FACTOR ENERGÍA, S.A. con NIF B05470380 y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es