AI-00286-2023

1/6  Expediente N.º: EXP202210240 RESOLUCIÓN DE CADUCIDAD DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 2 de septiembre se presentó reclamación por A.A.A. con NIF ***NIF.1 con número de registro de entrada REGAGE22e00037841476 ante la Agencia Española de Protección de Datos contra HOLALUZ-CLIDOM S.A. con NIF A65445033 (en adelante, la parte reclamada). Los motivos en los que la parte reclamante basaba su reclamación eran los siguientes: - La parte reclamante manifiesta que, tras la finalización de su contrato de arrendamiento y tras negarse la propietaria a efectuar el cambio de contrato, solicitó la baja definitiva del suministro eléctrico con la parte reclamada que era empresa suministradora de la misma, recibiendo contestación en fecha 2 de junio por la que se confirmaba dicha baja. - Posteriormente, afirma haber recibido un correo electrónico de la parte reclamada a través de la cual se indicaba que no había podido llevar a cabo la paralización de la baja definitiva solicitada, pese a que ella no había solicitado este trámite. - Asimismo, manifiesta haber recibido un cargo en su cuenta. Indica que, al solicitar información a la parte reclamada sobre la procedencia de este le indican que ese cargo se debe a los últimos días de su consumo y que al modificarse la dirección de correo electrónico asociado al contrato, no había recibido la comunicación de esa última factura de su suministro. - Afirma que por la parte reclamada se han tratado de forma indebida sus datos personales, puesto que ella en ningún momento ha procedido a solicitar paralización alguna de la baja definitiva. A efectos acreditativos se aporta la siguiente documentación: - Copia de los correos electrónicos intercambiados con la parte reclamada, en los que solicita la baja del servicio y reclama por la presunta paralización de la baja a su nombre. - Denuncia policial presentada ante la Comisaría de Policía Nacional de Getafe. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10/10/2022 como consta en el acuse de recibo que obra en el expediente. TERCERO: En respuesta a las actuaciones de traslado y de información realizadas, con fecha de 10 de noviembre de 2022 se recibe en esta Agencia escrito de alegaciones de la parte reclamada, en el que manifiesta lo siguiente: 1) Por el responsable del tratamiento (la parte reclamada) se manifiesta "que en ningún momento se llevó a cabo una suplantación de identidad de la (parte reclamante)". Afirma que consta en la base de datos del responsable una solicitud de la parte reclamante de fecha 30 de mayo de 2022 para dar de baja de los suministros de su titularidad. Asimismo, en fecha 3 de junio de 2022 "la propietaria del inmueble donde se residía la parte reclamante como inquilina contactó con la parte reclamada, identificándose en todo momento como la propietaria del inmueble, con el fin de gestionar un cambio de titularidad de los suministros". 2) Se manifiesta "que es la misma propietaria quien proporciona los datos del contrato de suministro para poder llevar a cabo el cambio de titular previamente a la baja de los suministros que había sido solicitada", Por consiguiente, afirman que no se ha facilitado dato alguno, sino que "la propietaria del inmueble disponía de los mismos en base a la relación contractual previa que existía entre ambas partes". 3) En este sentido alega que, en base a la normativa del sector, solamente el usuario efectivo de la energía puede ser el titular de contrato con la entidad comercializadora, y si "cambia el usuario de la energía en la instalación, como es el presente caso, debe cambiar en consecuencia, el titular del contrato de suministro con la empresa comercializadora". 4) Que el correo remitido a la parte reclamante iba dirigido a la propietaria de la vivienda, "quien había solicitado el cambio de titularidad del suministro previo a la baja definitiva del suministro". Se considera que su remisión a la parte reclamante fue causada por un error puntual, no habiéndose producido ningún perjuicio a la parte reclamante ya que la baja de suministro solicitada por la misma se llevó a cabo en el plazo convenido con la misma. CUARTO: Analizadas las razones expuestas por la parte reclamada, que obran en el expediente, ante la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos se dictó resolución por la Directora de la Agencia con fecha 15 de noviembre de 2022, acordando la no admisión a trámite de la reclamación. Dicha resolución es notificada a la parte reclamante, en fecha 5 de enero de 2023, según consta acreditado en el expediente. QUINTO: En fecha 2 de enero de 2023 la parte reclamante interpuso un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución de inadmisión recaída en el expediente EXP202210240, en el que muestra su disconformidad con la misma, solicitando que se admita a trámite la reclamación inicial presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 En el recurso de reposición, la parte reclamante alega que se ha producido una suplantación de su identidad, existiendo un correo electrónico distinto al suyo en su ficha de cliente tras la baja del contrato. Alega que, tras ser informada de ello por el servicio de atención telefónica de la parte reclamada, solicitó que le informasen de este correo, siéndole denegado, y posteriormente recibiendo comunicación de que sus datos habían sido eliminados antes de poder averiguar quién había solicitado la modificación de sus datos sin su autorización. También considera contrario a derecho el hecho de que la parte reclamada se comunicase con la titular de la vivienda ya que suponía la realización de gestiones por parte de un tercero sobre un contrato del que el mismo no era titular. SEXTO: Con fecha 8 de agosto de 2023, en el procedimiento RR/00002/2023 la Agencia Española de Protección de Datos estimó el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 15 de noviembre de 2022 y acordó llevar a cabo actuaciones de investigación en relación con la presunta suplantación de identidad para la contratación de suministros eléctrico y de combustible. SÉPTIMO: Como consecuencia de dicha resolución, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, llegando a las siguientes conclusiones: “Se ha comprobado que los contratos se dieron de baja tras la solicitud de la parte reclamante y que no se ha efectuado ninguna nueva alta a nombre de la parte reclamante. Se ha comprobado, en las grabaciones de las llamadas aportadas como evidencia por la parte reclamada, que la persona llamante se identifica como representante de la propietaria del inmueble. El objetivo de las llamadas es cambiar la titularidad de los contratos de suministro y, al estar en proceso de baja, se abre previamente una incidencia para intentar paralizar dicha baja del servicio. Se ha cotejado en la normativa sectorial que el contrato de suministro es personal y su titular deberá ser el efectivo usuario de la energía/combustible y que en los casos en que el usuario efectivo de la energía/combustible sea persona distinta al titular que figura en el contrato, podrá exigir el cambio a su nombre del contrato existente, sin más trámites. Se ha confirmado que la arrendadora, como usuaria efectiva del suministro, tiene derecho a exigir el cambio a su nombre del contrato existente y, por tanto, puede realizar comunicaciones con la parte reclamada respecto de un contrato que no es de su titularidad. La parte reclamada ha aportado capturas de pantalla de los datos de los que disponen actualmente en sus ficheros respecto al titular de los contratos de suministro para los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 CUPS ***REFERENCIA.1 y ***REFERENCIA.2. Se ha confirmado que coinciden con los datos personales de la parte reclamante. Se ha comprobado que no ha habido suplantación de identidad ni para paralizar las bajas de los contratos ni para solicitar modificaciones en los datos personales de la parte reclamante. Respecto al derecho de acceso no atendido, la parte reclamada ha indicado que se ha debido a un error humano (el agente que respondió el correo confundió la resolución del derecho de acceso por el derecho de supresión). Se ha evidenciado que se ha atendido correctamente la solicitud de acceso con fecha 10 de noviembre de 2023.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Actuaciones previas de investigación El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las actuaciones previas de investigación: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” III Caducidad de las actuaciones En relación con las actuaciones previas, el Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, en vigor en todo aquello que no contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD, en su artículo 122.4 dispone que “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas si, transcurridos más de doce meses contados desde la fecha de admisión a trámite de la reclamación, no se ha procedido a dictar y notificar el acuerdo de inicio de procedimiento sancionador. En el presente supuesto el cómputo de los doce meses de duración máxima de las actuaciones previas se inició el día 15 de noviembre de 2022, fecha en la cual se declaró la inadmisión, finalizando dicho plazo, por tanto, el 15 de noviembre de 2023. No obstante, la firma del documento de actuaciones de investigación tuvo lugar en diciembre de 2023, un mes más tarde al vencimiento de dicho plazo, por lo que, en consecuencia, tales actuaciones deben declararse caducadas. Debe de tenerse en cuenta que en la tramitación del recurso de reposición no se han tenido en cuenta otros hechos, alegaciones o documentos nuevos que las aducidas en la reclamación, por lo que la interposición y posterior estimación de dicho recurso no afecta al plazo de caducidad que poseen las actuaciones de investigación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD de las presentes actuaciones previas de investigación. SEGUNDO: NOTIFICAR la presente Resolución a HOLALUZ-CLIDOM S.A. y a la parte reclamante. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 907-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es