1/8 Expediente N.º: EXP202212474 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: En fecha 10 de noviembre de 2022 tuvo entrada en la Agencia Española de Protección de Datos (en adelante, AEPD) escrito de reclamación con número de registro REGAGE22e
- La parte reclamante manifiesta que IBERDROLA CLIENTES, S.A.U., (en adelante “IBERCLI”), le requiere el pago de una deuda asociada al alta de dos suministros de electricidad, cuando no ha realizado la contratación de los mismos. Asimismo, incide en que no está de acuerdo con lo indicado por “IBERCLI” en el EXP202209194 en cuanto a la negativa a la supresión de sus datos personales por mantener deuda asociada a dos contratos de suministro de electricidad, en la medida en la que no ha firmado contrato de suministro eléctrico con la misma. Documentación relevante aportada por la parte reclamante: - Copia de las facturas de su compañía eléctrica, asociadas al periodo de facturación que le imputa la reclamada. - Copia de los contratos con la reclamada sin rellenar ni firmar. En el lateral izquierdo de dicho contrato aparece el CEV terminado en ….XXXX correspondiente registro de la documentación presentada en el Ayuntamiento de Gijón y los CSV IBE…XXXX y CSV IBE...XXXX, correspondientes a los contratos de suministro de electricidad de los dos inmuebles de titularidad de la parte reclamante. Fecha en la que tuvieron lugar los hechos reclamados: 15/09/
- SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a estos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación a “IBERCLI” para que procediera a su análisis y diera respuesta en el plazo de un mes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 TERCERO: En fecha 5 de enero de 2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la parte recurrente, en fecha 20 de enero de 2023, según consta acreditado en el expediente. CUARTO: En fecha 7 de febrero de 2023 la parte recurrente interpone un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202212474, en el que muestra su disconformidad con la resolución impugnada, solicitando que se admita a trámite la reclamación inicial presentada. QUINTO: En fecha 3 de julio de 2023 se remitió el recurso interpuesto a “IBERCLI” en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes. La parte reclamada no ha presentado alegaciones. SEXTO: En fecha 6 de septiembre de 2023 se estimó el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 5 de enero de 2023, y, admitir a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SÉPTIMO: Con fecha 3 de octubre de 2023 “IBERCLI” presenta escrito que denomina “Audiencia del interesado en recurso potestativo de reposición” en el que aporta: Los contratos supuestamente firmados por la parte reclamante para el suministro de electricidad en dos inmuebles de su propiedad. En el lateral izquierdo de dicho contrato aparecen los CSV IBE…XXXX y CSV IBE...XXXX, correspondientes a los contratos de suministro de electricidad de los dos inmuebles de titularidad de la parte reclamante (Páginas 71 y siguientes del EXP202212474). Y también, aporta documentos de Información Certificada Proceso Firma de dichos contratos emitidos por EDATALIA DATA SOLUTIONS S.L., a través de la Plataforma de firma remota ecoSignature (Páginas 102 y siguientes del EXP202212474). En dichos documentos de Información Certificada Proceso de Firma figura como emisor del documento: Iberdrola Delta y el correo electrónico ***EMAIL.1; como validador figura la parte reclamante así como correo electrónico del mismo figura ***EMAIL.2 (este correo electrónico coincide con el aportado por la parte reclamante como documentación que acompaña a su escrito presentado en fecha 07/02/2023, página 45 del EXP202212474), también figura el DNI de la parte reclamante y su teléfono móvil. Como información de trazabilidad de todas las acciones realizadas en el proceso de firma figura una tabla que contiene los siguientes campos: Email (el de la parte reclamante); Estado (Recibido, visualizado, aceptado, validado, firmado, enviado, eliminado, recibido); Evento (explicación de en qué consiste cada uno de los estados); IP; Fecha y hora (en que se realiza cada evento, en el caso del contrato con CSV IBE…XXXX comprende desde 9/15/2021, 12:54:37 PM UTC + 02:00:00 hasta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 9/23/2021 1:03:13 PM UTC + 02:00:00; y en el caso del contrato con CSV IBE...XXXX comprende desde 9/15/2021, 1:01:18 PM UTC + 02:00:00 hasta 9/23/2021 1:03:11 PM UTC + 02:00:00) y Navegador. OCTAVO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De los hechos que constan en los antecedentes se deduce que la cuestión a dilucidar es la existencia o no de contratos firmados válidamente entre la parte reclamante y la parte reclamada. La parte reclamante manifiesta que no ha firmado ningún contrato, aportando copia de los contratos en los que no figura su firma manuscrita, aunque en el lateral izquierdo de los mismos, si figuran los CSV IBE…XXXX y CSV IBE...XXXX. Y que existe otra empresa que le ha facturado el suministro de luz del mes de septiembre que comprende los días cuya deuda le exige la parte reclamada. “IBERCLI” entiende que la parte reclamante firmó los contratos electrónicamente como certifica EDATALIA DATA SOLUTIONS S.L., a través de la Plataforma de firma remota ecoSignature en los documentos de Información Certificada Proceso Firma de dichos contratos. EDATALIA DATA SOLUTIONS S.L., a través de la Plataforma de firma remota ecoSignature, estaría actuando como prestador de servicios electrónicos de confianza. El Ministerio para la Transición Digital y de la Función Pública, es el encargado de gestionar en España el Registro de Prestadores de Servicios Electrónicos de Confianza, en el que existen dos secciones: - Prestadores de servicios electrónicos de confianza cualificada, y, - Prestadores de servicios electrónicos de confianza no cualificada. Conforme a la información contenida en el Registro de Prestadores de Servicios Electrónicos de Confianza la entidad certifica EDATALIA DATA SOLUTIONS S.L., sería un Prestador de Servicios Electrónicos de Confianza no Cualificado como puede comprobarse en la siguiente captura de pantalla: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 En fechas 12/02/2024 y 13/02/2024 se requirió información a “IBERCLI” y a la entidad que certifica la firma electrónica de los contratos. En fecha 05/03/2024 la entidad que certifica la firma electrónica de los contratos presenta escrito de contestación al requerimiento de información en el que expone:
- Que no tiene acceso a los contratos suscritos entre Iberdrola y sus clientes ya que el servicio contratado no contempla la custodia de los mismos. Una vez firmado el contrato en la plataforma de firma, Iberdrola lo descarga a su sistema de información y envía un aviso a Edatalia para que sea eliminado de la plataforma.
- Que se facilitan adjuntos los certificados de evidencias de la firma de los dos contratos. Estos certificados están vinculados a los contratos que están custodiados por Iberdrola. Estos certificados contienen evidencias del proceso de firma: datos del firmante, (nombre, apellidos, DNI, correo electrónico, teléfono), datos del proceso (hora recepción correo, hora firma contrato, IP…). Los certificados de evidencias de firma son los mismos que los aportados por la parte reclamada en su escrito de 03/10/
- Que se facilitan adjuntos los documentos en materia de RGPD que se firmaron entre Iberdrola y Edatalia en el momento de la firma del contrato de prestación de servicios que datan de
- Además, se aportan los documentos que se firmaron en la última prórroga del servicio (finales de 2021).
- Se facilita también un documento elaborado con el objeto de describir cómo es el proceso de firma en la plataforma y cómo se informa al reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 • eMail que recibe el firmante para el inicio del proceso. Se aporta captura de pantalla de un modelo, no del email enviado a la parte reclamante. Figurando un cuadro de texto aclaratorio en el que se indica, resaltado en color de fuente rojo: “Inicio del proceso: el firmante recibe un correo electrónico personalizado por Iberdrola que le invita a leer, aceptar y firmar el documento. También se le informa de que tras la firma del documento, recibirá una copia del mismo firmada”. • Pantalla de validación por parte del firmante de los datos personales facilitados para la firma del contrato. Figurando varios cuadros de texto aclaratorio en los que se indica, resaltado en color de fuente rojo: “Pinchando sobre el botón “Ver Documento”, el firmante inicio el proceso de firma. Accede a visualizar el documento antes de proceder a su aceptación y firma. También tiene la opción de rechazarlo indicando los motivos del rechazo. Antes de acceder a la visualización del documento, accede a una pantalla de autenticación de datos. El firmante visualiza sus datos y puede acceder a leer las condiciones generales de uso de la plataforma de firma. El firmante debe validar sus datos (nombre apellidos, email, DNI y número de teléfono) y aceptar las condiciones generales de uso de la plataforma antes de proceder a la firma del documento”. • Pantalla de acceso a las condiciones generales de uso de la plataforma de firma donde dice cómo se van a tratar sus datos personales por parte del tercero de confianza (Edatalia). Figurando un cuadro de texto aclaratorio en el que se indica, resaltado en color de fuente rojo: “Pinchando aquí, el firmante accede a leer las condiciones generales de uso de la plataforma de firma”. • Firma del contrato (en el punto 2 facilitamos las trazas del proceso). En fecha 18/03/2024 la parte reclamada presenta escrito de contestación al requerimiento de información efectuado, en el que expone entre otros los siguientes aspectos: - Que en relación a la aportación de la grabación de la llamada realizada el 22/09/2021, a las 17:20 horas, por la parte reclamante al número de teléfono ***TELÉFONO.1, IBERDROLA, en el que contacta con la reclamante XXXXXX, haciéndole saber que no aceptaba esos contratos que rechazaba totalmente, en el que le comunican que quedaban anulados los mismos manifiesta que a fecha del presente escrito no se dispone de la copia de la grabación. La llamada señalada en el expediente se clasificó como llamada de calidad, consecuentemente, de conformidad con lo dispuesto en el artículo 4.5 de la LOPD y con la política interna de IBERCLI de retención, cancelación y borrado de datos personales, dicha llamada fue borrada cuando finalizó el periodo necesario para el fin para el que fue registrada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Si bien, debe ponerse de manifiesto que la solicitud de baja que la reclamante manifestó en la llamada fue atendida procedentemente. Aporta captura de pantalla que recoge la fecha de baja de los contratos el día posterior a la llamada, 23/09/
- - Que adjunta como Anexo 1.1 y Anexo 1.2 los archivos .xml que contienen las lecturas realizadas por la distribuidora de los contadores correspondientes a los CUPS ES00…XXXXX y ES00…XXXX. Es importante señalar que dichas lecturas las realiza siempre y en todo caso la empresa distribuidora, de acuerdo con la normativa del sector energético, y nunca IBERDROLA, que es empresa comercializadora de energía. - Que adjunta como Anexo 2.1 y Anexo 2.2 las facturas correspondientes a los 2 suministros. - Que adjunta como Anexo 3.1-3.7 la documentación contractual relativa a la relación en materia de protección de datos existente entre IBERDROLA, como responsable del tratamiento, y la empresa EDATALIA DATA SOLUTIONS S.L., como encargado del tratamiento, con la que se mantiene contratado el servicio de firma electrónica para contratos con clientes. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "
- El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Manifestaciones de la parte reclamada En el presente caso, la parte reclamante manifiesta que “IBERCLI” le requiere el pago de una deuda asociada al alta de dos suministros de electricidad, cuando no ha realizado la contratación de los mismos. Pues bien, en respuesta a las actuaciones de traslado y de información realizadas, se ha recibido en esta Agencia escrito de “IBERCLI” en el que, por lo que aquí interesa: 1.- Los contratos aportados por la parte reclamante cuando presentó la reclamación en el lateral izquierdo de los mismos, si figuran los CSV IBE…XXXX y CSV IBE...XXXX. 2.- Los CSV IBE coinciden con los que figuran en los contratos aportados por la parte reclamada en un escrito presentado por ésta al trámite de audiencia del recurso potestativo de reposición, si bien se presentaron en fecha posterior a la notificación de la resolución de dicho recurso a la parte reclamada. 3.- Existe un tercero que certifica que esos contratos se han firmado electrónicamente mediante una plataforma de firma electrónica. 4.- El tercero que certifica que esos contratos se han firmado electrónicamente figura inscrito en el Registro de Prestadores de Servicios Electrónicos de Confianza del Ministerio para la Transición Digital y de la Función Pública como Prestador de Servicios Electrónicos de Confianza no Cualificado. 5.- La facturación se realiza desde el día de la contratación 15/09/2021 a las 12:54 hasta el día siguiente a la llamada en que se solicita la baja telefónica, que es el 23/09/
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es