1/18 Expediente N.º: EXP202305717 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 16 de marzo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a IBERDROLA CLIENTES, S.A.U. con NIF A95758389 (en adelante, IBERCLI o la parte reclamada). Los hechos que se ponen en conocimiento de esta autoridad son: La parte reclamante, A.A.A., manifiesta que en el mes de octubre de 2022 tuvo conocimiento de que sus datos personales habían sido incluidos en el sistema de información crediticia ASNEF, a instancia de IBERCLI, por una deuda correspondiente al impago de facturas de suministro eléctrico de un local que no reconoce haber contratado. Solicita que se le facilite el contrato y las facturas, así como la suspensión del contrato y la exclusión en el fichero de ASNEF, no obstante, únicamente obtiene copia de las facturas. La parte reclamada le responde que el contrato es legal porque está firmado electrónicamente, pero no le entregan una copia porque para ello le exigen el número de teléfono desde el que se realizó la contratación dato que, obviamente desconoce, al no haberla realizado. Junto al escrito, se aporta: - Copia de diligencia de inicio por denuncia de infracción penal mediante comparecencia, presentada el 9 de enero de 2023 en el puesto P. de ***LOCALIDAD.1 (Madrid) ante la Guardia Civil, número de atestado ***REFERENCIA.1, para denunciar que ha tenido conocimiento de que IBERCLI le ha comunicado que tiene una deuda con ellos con facturas de suministros de un local (…) y que han comunicado a un sistema de información crediticia sus datos por la deuda existente. Posteriormente se pone en contacto con ellos y le indican que la situación es la misma pero no le facilitan dato alguno del contrato que supuestamente está a su nombre. El 13 de enero del mismo año, amplia la denuncia en el sentido de que como fue un contrato telefónico IBERCLI no le puede facilitar el contrato. Consta en la denuncia que “el denunciante afirma que ni tiene ni ha tenido nunca local alguno en Madrid (Madrid) y que nunca ha dejado a deber nada a esta empresa” - Copia de una factura bajo el concepto «Energía», expedida por IBERCLI, a B.B.B., número de contrato ***REFERENCIA.
- La fecha de emisión es 4 de marzo de 2022, el período de facturación corresponde desde el 25 de febrero al 2 de marzo, del año 2022, por un importe de 3,65€. - Copia de una factura bajo el concepto «Derechos de enganche y Derechos de acceso», expedida por IBERCLI, a B.B.B., con número de contrato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 ***REFERENCIA.2, fecha de emisión 28 de febrero de 2022 y por un importe de 148,63 euros. - Copia de un escrito de IBERCLI dando respuesta a una reclamación presentada por B.B.B., el 10 de enero de 2023, referencia del contrato ***REFERENCIA.2, número de la reclamación ***REFERENCIA.
- La descripción de los hechos son venta no consentida, cliente se le realizó un contrato vía telefónica sobres esta dirección que el titular dice desconocer. Cuando quiso contratar con IBERCLI le comunicaron la existencia de una deuda, y solicita anulación de las facturas y la baja en el ASNEF. - Copia de la contestación de IBERCLI, a B.B.B., en relación con la reclamación presentada en la que le informan de que revisada la documentación de que disponen, la contratación de este servicio consideran que se ha realizado de forma correcta. - Copia de un correo electrónico, de fecha 7 de febrero de 2023, remitido desde ***EMAIL.1 enviado a clientes@tuiberdrola.es, el asunto petición de contrato y baja ASNEF. En el texto del correo se identifica como A.A.A., con DNI ***NIF.1, en el que manifiesta que ha solicitado un contrato que IBERCLI dice tener a su nombre y la compañía se niega a facilitárselo. Les adjunta la denuncia presentada ante la Guardia Civil y solicita la baja en ASNEF. - Copia de un correo electrónico de clientes@tuiberdrola.es para ***EMAIL.1, de 7 de febrero de 2023, en el que le comunican que han iniciado las gestiones necesarias para responderle. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a IBERCLI, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACPA), fue realizada en fecha 10 de mayo de 2023, mediante notificación electrónica. TERCERO: IBERCLI, conforme a lo establecido en el artículo 32 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante LPACAP), solicita, el 9 de junio de 2023, la ampliación de plazo hasta el máximo legal posible. La Agencia acuerda ampliar el plazo hasta un máximo de 15 días hábiles, que deberán computarse a partir del día siguiente a aquel en el que finalice el primer plazo otorgado. CUARTO: Con fecha 16 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 QUINTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 11 de agosto de 2023, se reitera la petición de información solicitada a IBERCLI el 10 de mayo de
- SEXTO: Con fecha 24 de agosto de 2023 se recibe en esta Agencia escrito de respuesta de IBERCLI, adjuntando la siguiente documentación: Anexo
- Contestación de IBERCLI a la reclamación planteada por la parte reclamante, el 10 de enero de 2023, dirigida a B.B.B., número de referencia ***REFERENCIA.2 y código de la reclamación ***REFERENCIA.
- Con respecto a la reclamación planteada, le informamos de que hemos procedido a revisar la documentación de que disponemos y, de acuerdo con la misma, la contratación de este servicio consideramos se ha realizado de forma correcta. Le remitimos adjunta copia de su contrato en el que se recoge el detalle de las condiciones de la oferta contratada con su firma digital. Anexo
- Grabación de la contratación telefónica Anexo
- Documentación contractual, que comprende: - Copia de un contrato de suministro de electricidad, en el que figuran como partes contratantes IBERCLI y B.B.B., con NIF ***NIF.1, la dirección de suministro es ***DIRECCIÓN.1 (Madrid) (ejemplar para el cliente) (…). - Copia de orden de domiciliación de adeudo directo SEPA, donde consta el nombre del titular B.B.B., dirección del titular ***DIRECCIÓN.2 (Madrid) y número de cuenta bancaria. - Documento de desistimiento sin cumplimentar y condiciones generales del contrato de suministro de energía y otros servicios. Anexo
- Requerimiento de pago de IBERCLI a B.B.B., de 13 de julio de 2022, en el que le comunican que Le notificamos el requerimiento del pago de la deuda que tiene contraída de 150,48 euros, derivada de facturas pendientes de pago del suministro de luz con contrato ***REFERENCIA.2 que tiene suscrito con nosotros en ***DIRECCIÓN.1 (MADRID), por los períodos indicados en el párrafo …. Le incluyen la posibilidad de comunicar a ASNEF la deuda al fichero de morosidad ASNEF. Junto con la documentación adjuntan un escrito contestando al requerimiento de información, en el que exponen las siguientes consideraciones: “Que La contratación se hizo de manera correcta a petición del reclamante. Los tratamientos de datos realizados lo han sido en virtud de la relación y obligaciones contractuales de las partes y por tanto con base en el interés legítimo. Con anterioridad a la recepción de esta reclamación a través de esa AEPD, el cliente interpuso reclamación ante la reclamada. Con respecto a la reclamación planteada en ese momento, la reclamada ya le remitió, conforme se puede comprobar en el escrito que se acompaña como Anexo 1, que se había procedido a revisar la documentación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 e información disponible y que de acuerdo con la misma, se concluyó que la contratación de este servicio se realizó de forma correcta ya que se evidencia que fue el propio reclamante quien se puso en contacto telefónico con IBERCLI solicitando él mismo el alta del contrato (se aporta como Anexo 2 copia de la grabación de la contratación), aportando todos los datos personales e información necesarios para la contratación, remitiéndole copia de su contrato que él mismo firmó digitalmente y en el que se recoge el detalle de las condiciones de la oferta contratada, documento que se aporta como Anexo
- Los motivos de la inclusión del reclamante en ASNEF fue una deuda contraída por el reclamante con la reclamada derivada de facturas pendientes de pago del suministro de luz relacionado con el contrato suscrito con la reclamada. Dicha deuda le fue reclamada al reclamante conforme a lo indicado en contrato, conforme se puede comprobar en requerimiento de pago que se acompaña como Anexo
- Dichos requerimientos de pago resultaron infructuosos y por ello conforme se advierte tanto en el contrato, como en los requerimientos de pago, se procedió a incluirle en el fichero ASNEF. Mientras se llevó a cabo la investigación de lo sucedido, IBERCLI ésta procedió a retirar provisionalmente los datos del reclamante de ASNEF. En la actualidad, pese a que actualmente la deuda sigue pendiente de pago y podría ser incluido nuevamente en dicho fichero, no han sido reintroducidos sus datos en el mismo. Se acompaña pantallazo que evidencia a mayo de 2023 que el reclamante no figuraba en ASNEF. La reclamante manifiesta que han realizado una contratación fraudulenta del suministro a su nombre con la compañía reclamada, originando una deuda cuyo impago tuvo la consecuencia de la inclusión de sus datos personales en sistemas de información crediticia, aportando denuncia policial, reclamación efectuada ante la compañía y contestación de esta informando de que la contratación se realizó de manera correcta. Como se ha adelantado en la cuestión anterior, efectivamente con anterioridad a la recepción de esta reclamación a través de esa AEPD, el cliente interpuso reclamación ante la reclamada. Con respecto a la reclamación planteada la reclamada tras investigar lo sucedido le remitió al reclamante, conforme se puede comprobar en el escrito que se acompaña como Anexo 1, que se había procedido a revisar la documentación e información disponible y que de acuerdo con la misma, se concluyó que la contratación de este servicio se realizó de forma correcta ya que fue el propio reclamante quien se puso en contacto telefónico con IBERCLI solicitando él mismo el alta del contrato, conforme se evidencia en el referido Anexo 2 con la copia de la grabación de la contratación. Asimismo, el contrato fue firmado digitalmente por el reclamante conforme se acredita en el documento incorporado en el Anexo
- Como ya se ha dicho, el reclamado contrajo una deuda con IBERCLI, derivada de facturas pendientes de pago del suministro de luz relacionado con el contrato suscrito con la reclamada. Dicha deuda le fue reclamada al reclamante conforme a lo indicado en contrato, a través, entre otros medios, del requerimiento de pago que se acompaña como Anexo
- Dichos requerimientos de pago resultaron infructuosos y por ello conforme se advierte tanto en el contrato, como en los requerimientos de pago, se procedió a incluirle en el fichero ASNEF. No obstante lo anterior, mientras se llevó a cabo la investigación de lo sucedido, IBERCLI procedió a retirar provisionalmente los datos del reclamante de ASNEF. Ninguna considerando que la contratación se llevó a efecto de manera correcta como se ha acreditado a lo largo del presente escrito y no se ha producido por tanto ningún tratamiento de datos incorrecto por la parte reclamada a juicio de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 SÉPTIMO: El 7 de noviembre de 2023 se inadmite la reclamación presentada y se comunica a la parte reclamante y a IBERCLI. OCTAVO: La parte reclamante solicita copia del expediente, se le remite copia del mismo el 22 de noviembre de
- NOVENO: En fecha 28 de noviembre de 2023 la parte reclamante presenta en esta Agencia, en tiempo y forma, recurso de reposición contra la resolución dictada por esta Agencia en fecha 6 de noviembre de
- DÉCIMO: En fecha 4 de junio de 2024 se notificó electrónicamente a IBERCLI que la parte reclamante había interpuesto recurso de reposición para que, en el marco de lo establecido en el artículo 118.1 de la LPACAP presentara los documentos y justificantes que estimase procedentes. IBERCLI presentó, en tiempo y forma, escrito en fecha 17 de junio de 2024, en el que manifestaba, en síntesis, lo siguiente: (….) El reclamante manifiesta que no se le envió el contrato solicitado, pero en la respuesta enviada el 13 de enero de 2023 y que ya se adjuntó, se le envió el contrato asociado a su reclamación. Se vuelve a adjuntar nuevamente en esta ocasión dicho la respuesta dada por IBERCLI aportando dicho contrato como ANEXO
- En el recurso de reposición presentado por el reclamante, este alega que el contrato presentado no está firmado, no obstante, el contrato está firmado digitalmente tal y como se puede comprobar. Adjuntamos de nuevo el contrato firmado digitalmente como ANEXO 2 El reclamante manifiesta que el segundo apellido que se menciona en la grabación no se corresponde con el suyo y que, en consecuencia, en el contrato también está mal recogido. Por ello, desde IBERCLI se decide volver a analizar la grabación. Al escuchar la grabación comprobamos que es muy difícil diferenciar si el titular dice “***APELLIDO.1” o “***APELLIDO.2”, no obstante, verificamos que el resto de información aportada por el llamante se recoge de forma clara y sin atisbo de duda, por lo que no cabe más que interpretar que el agente telefónico, por error humano, escuchó ***APELLIDO.2 en vez de ***APELLIDO.1 y así lo recogió en el contrato. Adjuntamos de nuevo la grabación como ANEXO
- (….) DECIMOPRIMERO: En fecha 12 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó estimar el recurso de reposición interpuesto por la parte reclamante contra la resolución dictada por esta Agencia y admitir a trámite la reclamación referida. DECIMOSEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: En relación con la contratación de suministro de luz por vía telefónica, IBERCLI aunque los hechos reclamados se refieren al alta de un nuevo punto de suministro, en su respuesta hace mención al informe de la CNMC relativo al cambio de comercializador porque en él se recogen los requisitos que la CNMC estima necesarios para la contratación. En el Informe la CNMC supervisa la actividad comercializadora de las fuerzas de ventas de las comercializadoras de electricidad y gas, en el punto 5.3 Control de calidad en el proceso de contratación. Según IBERCLI: La propia CNMC en el Informe de supervisión de ventas señala este Informe de Supervisión de cambio de comercializador en su punto 5.3 (Control de calidad en el proceso de contratación) como buena práctica en el proceso de contratación. Buena práctica indistintamente si se trata de un cambio de comercializadora o de un alta de nuevo suministro. De hecho, esta parte trae a colación dicho documento debido a que no se ha publicado actualmente un Informe de Supervisión de la CNMC (con un contenido similar al documento mentado) que sea relativo al alta de nuevos suministros. En relación con los hechos reclamados, IBERCLI describe el proceso que llevó a cabo: En este caso, esta representación manifiesta que la contratación realizada en fecha 24 de febrero de 2022, se practicó siguiendo los protocolos exigidos por la normativa aplicable en relación con la contratación a distancia, así como en relación con el informe de la CNMC sobre de supervisión del efectivo consentimiento del consumidor al cambio de comercializador, habiéndose solicitado toda la información pertinente como se indica a continuación: En el caso que nos ocupa en el que la contratación comenzó con la llamada del propio cliente a IBERCLI, en dicho momento la llamada es grabada y el agente comercial debe determinar, en primer lugar, el tipo de movimiento contractual que necesita el cliente: alta de nuevo suministro (nunca ha habido antes luz y la quiere contratar por primera vez), un alta (el contrato está de baja pero ha habido luz anteriormente), un cambio de comercializadora (está con otra compañía y quiere contratar con Iberdrola) o una modificación de su contrato. De acuerdo a los propios criterios de la propia CNMC en el citado informe, se le requiere al cliente una serie de datos personales de los cuales solo puede disponer él como, nombre, apellidos, número de DNI, dirección de suministro, CUPS, número de cuenta, teléfono e email de contacto y en caso de no poder relacionar mediante la documentación enviada la correspondencia del CUPS con el titular que aparece en dicha documentación, se deberá facilitar copia de cualquier documentación complementaria que permita establecer de manera suficiente la vinculación de la persona identificada en la documentación el CUPS de referencia. Posteriormente, se comprueba si el punto de suministro es “contratable” y se le envía al cliente el contrato con las condiciones para que realice la firma digital a través de SMS para la confirmación de la contratación, siguiendo con lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 recogido en el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado mediante el Real Decreto Legislativo 1/2007, de 16 de noviembre, según la redacción dada por la Ley 3/2014, de 27 de marzo, (vigente desde el 29 de marzo de 2014), que recoge el empresario en la celebración de un contrato a distancia deberá confirmar la oferta al consumidor y usuario por escrito, o salvo oposición del mismo, en cualquier soporte de naturaleza duradera. El consumidor y usuario sólo quedará vinculado una vez que haya aceptado la oferta mediante su firma o mediante el envío de su acuerdo por escrito, que, entre otros medios, podrá llevarse a cabo mediante papel, correo electrónico, fax o sms. En relación con lo anterior tenemos adaptados nuestros protocolos a los requisitos de nuestro organismo regulador, la CNMC, al objeto entre otros motivos, de establecer medidas para evitar errores en la identificación de los clientes, concretamente: “En la contratación telefónica, especificar con claridad en el SMS de confirmación de la oferta el trinomio titular-dirección de punto de suministro-CUPS. De modo análogo en contratación telemática y presencial mostrar claramente el trinomio titular-dirección del punto de suministro-CUPS antes de validar oferta, mediante un documento resumen separado del contrato, con los datos y condiciones de contrataciones básicas”. Como medidas adicionales a las descritas, IBERCLI ha reforzado la formación a los agentes de los distintos canales de atención, incidiendo en la importancia de solicitar al cliente y cumplimentar el código CUPS durante la contratación. Para ello, entre otras cosas, se les ha indicado que, en la medida de lo posible, indiquen al cliente que disponga de una factura de su anterior comercializadora para consultar el código CUPS y cómo pueden hacerlo. A continuación, se relaciona con más detalle el modo en que IBERCLI ha implantado en su canal de contratación telefónica las medidas indicadas anteriormente: La confirmación de la contratación de un Punto de Suministro (“PS”) mediante canal telefónico en IBERCLI se puede llevar a cabo mediante cualquiera de los siguientes procedimientos: C/ Jorge Juan, 6 28001 – Madrid o Firma digital: antes de terminar la contratación se envía al cliente un SMS o un email que contiene un enlace a la documentación contractual que el cliente debe firmar digitalmente para hacer efectiva la contratación. En aplicación de una Decisión Jurídica Vinculante de la CNMC, IBERCLI ha incorporado el trinomio titular-dirección del punto de suministro-CUPS en la carta que acompaña a la oferta de contratación. o SMS: antes de terminar la contratación se envía al cliente un SMS a su móvil personal aportado durante la contratación con el resumen de la contratación, al cual el cliente debe responder para hacer efectiva la contratación. www.aepd.es sedeaepd.gob.es 8/18 o Grabación telefónica: cuando la formalización de la contratación se realiza mediante grabación de la conversación telefónica, en la grabación se incluye el trinomio. IBERCLI aporta como documentación acreditativa de la contratación objeto de las presentes actuaciones de investigación: la respuesta de IBERCLI a la parte reclamante fechada el 13 de enero de 2023, la grabación telefónica y el contrato de suministro, Anexos 1, 2 y
- A continuación, se reproduce el contenido de la grabación telefónica: Agente comercial: Buenos días ¿en qué puedo ayudarle? Cliente: Hola, muy buenas, te llamaba porque queremos dar de alta un nuevo punto de suministro. Agente comercial: Muy bien, ¿es para una vivienda, para un local? Cliente: Es un local. Agente comercial: ¿Ese local es de obra nueva o ya ha tenido suministro antes? Cliente: No ha tenido nunca suministro. Agente comercial: Perfecto, indíqueme su nombre para dirigirme a usted, por favor. Cliente: (…) Agente comercial: ¿Le han facilitado Ángel, alguna referencia como pueda ser código CUPS de la instalación por algún casual? Cliente: Sí, el código CUPS ya le tengo también. Agente comercial: Muy bien, si me lo indica tan amable. Cliente: (…) Agente comercial: Vamos a comprobarlo, un momento por favor. Gracias por la espera, no hay ningún inconveniente para poder gestionar la contratación. ¿Qué va a ir, a nombre de usted o a nombre de una sociedad? Cliente: ¿Me ha dicho que hay un inconveniente? Agente comercial: Que no hay ningún inconveniente. Cliente: Ah vale, perfecto. A mi nombre. Agente comercial: Muy bien, ¿sabe qué potencia va a contratar? Cliente: Sí, 5,75 KW Agente comercial: Indíqueme, si es tan amable, su DNI como titular, por favor. Cliente: ***NIF.1 Agente comercial: Me indica, por favor, su nombre completo. Cliente: B.B.B. Agente comercial: Muy bien, un teléfono suyo de contacto, por favor. Cliente: (…) Agente comercial: Y, por último, si es tan amable, una dirección de email para enviarle las facturas, (…). Cliente: ***EMAIL.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 Agente comercial: Perfecto. Antes de nada, le recuerdo que dando cumplimiento a la LOPD le informamos (…) que vamos a consultar los archivos de solvencia patrimonial y de crédito con lo que poder valorar la posible operación contractual que nos solicita. Bien, gracias por la espera, no hay ningún inconveniente para que pueda ser usted el titular. Vamos a gestionarlo (…) La contratación sería con Iberdrola Clientes con una duración de doce meses, sin ningún tipo permanencia ni de penalización sería con el plan estable (…) Recuerde que las facturas se le enviarán por correo electrónico a la dirección gmail que me ha indicado (…) Lo que voy a necesitar, si es usted tan amable, es que me facilite, por favor, (…), el código IBAN y los 20 dígitos bancarios de la que va a ser la cuenta de domiciliación bancaria, por favor. Cliente: (…) Agente comercial: Es usted el titular de la cuenta, ¿verdad? Cliente: Sí. Agente comercial: Muy bien, por la LOPD le voy a hacer dos preguntas, si es tan amable me contesta sí o no como usted considere oportuno (…) Recibirá un correo electrónico con un contrato para que usted solamente de ese contrato nos tiene que mandar firmado la orden de domiciliación adeudo SEPA, nos lo manda a la misma dirección desde la cual yo se lo he enviado, y a la que nos mande, por favor, el SEPA firmado nos manda también el boletín. ¿De acuerdo? Cliente: Tengo que mandar el SEPA y el boletín. Agente comercial: Eso es, a la misma dirección de mail desde la cual le llegará el correo. Cliente: Dígame a qué dirección. Agente comercial: Se lo pone en el correo, es reenviarlo como le indico. Cliente: Ah, hay que reenviar al correo que ustedes me mandan el SEPA, les reenvío el boletín. Agente comercial: El boletín y el SEPA eso es. Cliente: Vale. Agente comercial: Luego recuerde que recibirá otro correo electrónico con un enlace donde tiene que pinchar para que se le habilite el usuario y contraseña de su Área de Clientes para que luego ahí pueda ver las facturas. En unos minutos recibirá un mensaje de texto al móvil con un enlace en el que tiene que pinchar, se le abrirá una validación de datos, tiene que ir al final del documento, pinchar un cuadradito que pone validar datos y después darle aceptar y luego se le abrirá un documento de Iberdrola en el que tiene que ir nuevamente al final del todo, pinchar en un cuadradito que pone aceptar y le saldrá un aviso que le dirá documento aprobado. Cliente: Vale. […] Al comparar los datos facilitados por el “Cliente” al agente comercial durante la llamada telefónica con los datos de la parte reclamante se observa que coinciden el nombre, el primer apellido y el n.º del DNI. Sin embargo, no coincide el segundo apellido y la parte reclamante no reconoce como propios el número de teléfono ni la dirección de correo electrónico facilitados al agente comercial durante la contratación telefónica. En el marco de las presentes actuaciones de investigación IBERCLI describe las acciones que emprende la entidad cuanto detecta un caso de suplantación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 identidad en el marco de una contratación de suministros, a continuación, se reproducen: El equipo de Reclamaciones/Operaciones consulta en el sistema de gestión de clientes la documentación relativa al contrato y solicita al canal información acerca de la venta si no se la han dado previamente (solicitud de documentación si no existe en el sistema de gestión de clientes) y, si la venta o reclamación no está clara, hace una serie de indicaciones que gestionará Reclamaciones/Operaciones, llamando al cliente si fuera necesario. En este contacto con el cliente, el equipo de Reclamaciones/Operaciones trata de solucionar los casos si resulta posible, llegando a acuerdos. Para determinar si una venta es no deseada Reclamaciones/Operaciones sigue las siguientes premisas: o el equipo de Análisis de la reclamación y documentación aportada correspondiente a la referencia de contrato reclamada y comprobación de la existencia de las reclamaciones previas. En caso de que el motivo de la reclamación no esté claro o sea necesario confirmar algún dato, se contacta con el cliente por teléfono. Si los teléfonos no coinciden, se sospecha de la verificación, se llama al teléfono de contacto para comprobar que realmente es del titular y que es su voz la de la grabación. Si se quiere la verificación completa, sea de un contrato hecho fuera de la oficina o del canal telefónico, se solicitan todos los datos que conciernen a esa grabación a los responsables del Canal No Presencial. Comprobación de datos de contratación en la línea de oferta de la venta reclamada (sólo en esa línea, ya que es la que se está indicando que es fraudulenta). Dependiendo del origen de la venta, la contratación puede ser soportada por varios tipos de documentación: (….) Contrato mediante grabación de voz (telemarketing y canal telefónico). (….) Contrato mediante Edatalia/Signaturit (contrato firmado y Certificado de evidencias). Contrato en el que se envía al móvil del cliente un SMS con un link al contrato el cual es aceptado digitalmente por el cliente. A continuación, el contrato se envía a verificar C/ Jorge Juan, 6 28001 – Madrid Revisión de toda la documentación con el fin de comprobar de que esté completa y que coincidan los titulares, fechas de firma con la de contratación y teléfonos de contacto con los que se han volcado en el sistema de gestión de clientes. Determinación de si una venta no es deseada: www.aepd.es sedeaepd.gob.es 11/18 Venta correcta/completa: existe contrato y /o grabación y todo está correcto. Venta incompleta: o En el caso de empresa/particular, firma una persona que no sea autorizada o titular. o Si se realiza un cambio de comercializador con cambio de titular y no se adjunta título justo. o Si la venta es a un particular con más de 75 años (a no ser que haya firmado en presencia o tras consulta con un familiar y se le haya informado a este del tipo de contrato). Venta no deseada: o Si no hay contrato o grabación (en el caso de los canales telefónicos), se solicita, y si no se aporta. o Si la firma no se corresponde con la del titular. o Si no se corresponde el teléfono ni la voz con la del titular El equipo de Reclamaciones/Operaciones con esta información evalúa lo ocurrido y adopta las decisiones más favorables para el cliente. En consecuencia, se solicita a IBERCLI que aporte la siguiente información: - Orden de domiciliación de adeudo SEPA firmada y boletín eléctrico aportados por correo electrónico por la persona que se puso en contacto con IBERCLI, documentos requeridos por el agente comercial durante la conversación telefónica de la contratación. - Explicación de las actuaciones que ha realizado como consecuencia de la reclamación interpuesta por la parte reclamante (código de reclamación ***REFERENCIA.3), en particular, se solicita explicación de si ha verificado que el n.º de teléfono facilitado durante la contratación (en la conversación telefónica) pertenece a la parte reclamante y explicación de si ha comprobado que la documentación recabada está completa y coinciden los titulares (mandato SEPA firmado y boletín técnico) A continuación, se reproduce la respuesta que IBERCLI da a estos aspectos en su escrito con fecha 8 de mayo de 2025: Sobre el detalle concreto de la firma del anexo SEPA, cabe señalar a la AEPD que el adeudo se encuentra adjunto a toda la documentación contractual con una firma electrónica vigente que garantiza que toda la documentación se encuentra validada con el mismo certificado. Es por ello que la aportación de la documentación de contratación evidencia suficientemente que el adeudo SEPA se encontraba adecuadamente firmado al garantizar dicha firma electrónica la integridad y no variabilidad de dicha documentación. La documentación de contratación a la que se refiere IBERCLI es a la aportada como Anexo
- (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 Adicionalmente adjuntamos el certificado de instalación eléctrica de dicho CUPS. Como se observa, dicho certificado no detalla el usuario efectivo de la energía sino el que realiza la primera alta […] Por todo lo anterior, no puede sino considerarse que se ha provisto la documentación necesaria correctamente. […] Tal y como se recoge en la grabación, a partir del minuto 10:30 de grabación, para proceder a la validación de datos del contratante se envía un mensaje de texto al móvil facilitado de manera que pueda validar la información sobre la contratación realizada. Es importante señalar que el proceso de contratación tiene en cuenta canales diferentes para validar la contratación con el contratante, por un lado, se remite por mensaje de texto al móvil facilitado una validación de los datos de la contratación, mientras que al correo electrónico se envía la orden SEPA para su firma. Adicionalmente, en este caso se solicita el boletín para comprobar que los datos coinciden. […] En relación con la comprobación del resto de documentación, como se indica en apartado anterior, ha quedado documentado que el boletín presentado no coincide en nombre ya que está referenciado al representante de una persona jurídica, que puede o no coincidir con el dato del contratante del punto de suministro como ya se ha explicado anteriormente. No obstante, se ha evidenciado, con respecto al SEPA y al resto de documentación aportada, los datos son totalmente coincidentes con los que el usuario ha confirmado a través de la validación de datos por SMS y la firma del adeudo SEPA. En resumidas cuentas, se han confirmado las siguientes coincidencias: o Los datos aportados en la llamada telefónica. o La existencia del CUPS. o Los datos aportados en el adeudo SEPA por el contratante. o La coincidencia del domicilio y punto de suministro en el boletín aportado por el contratante. o La validación de datos confirmada a través de email enviado a la dirección facilitada por la contratante Como acción adicional de estas comprobaciones, cabe señalar que se realizaron averiguaciones adicionales para verificar que la persona reclamante es la misma que realizó la contratación. En este sentido, tanto el correo electrónico que realizó la contratación, como que el que inició la reclamación pertenecen a la misma persona. Así las cosas, el correo electrónico que inició dicha reclamación, aportado por la reclamante en su escrito es el siguiente (***EMAIL.1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 Por otra parte, se aporta a continuación el correo electrónico (***EMAIL.2) que realizó la contratación (evidencia del registro de IBERCLI de la firma del contrato). Como ya se ha indicado en este escrito, la contratación se hizo para un local, un negocio que tiene su web en el siguiente dominio: ***URL.1(coincidente con ambos correos, tanto de la reclamación, como de la contratación). Es por ello por lo que IBERCLI realizó un análisis de este sitio, identificando que en la Política de Privacidad de dicha web (***URL.1), se indica que A.A.A. (el reclamante) es el titular de dicho negocio. IBERCLI aporta captura de pantalla de dicha web donde figura como responsable del tratamiento la parte del reclamante y se muestra el correo electrónico de contacto de la web, ***EMAIL.
- Es decir, que tanto el correo electrónico que inició la reclamación, así como el que realizó la firma del contrato es de la misma persona, el Reclamante, por lo que queda evidenciado que esta reclamación ha sido realizada con malicia y con intención de atrasar el cobro de la deuda existente. Una vez revisada la respuesta aportada se solicita aclaración de los siguientes aspectos a la parte reclamada y la respuesta de IBERCLI tiene entrada en esta Agencia en fecha 12 de julio de 2025: - Aclaración de las actuaciones realizadas para validar el número de teléfono facilitado por el cliente durante la conversación telefónica. De manera previa a las aclaraciones a realizar, es preciso resaltar que, atendiendo a la característica de los servicios prestados y a la normativa aplicable, es obligación del titular proveer información veraz y real. Dado el supuesto descrito, el propio interesado facilita sus datos personales y, por tanto, siguiendo el tenor del artículo 8.5 de la LOPDGDD, “los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste.” No obstante, a lo anterior, como bien ha sido descrito, de cara a la realización de la contratación, se tienen en cuenta canales diferentes para validar la contratación con el contratante y su identidad, además de los datos identificados en la llamada: o o o Por un lado, se remite por mensaje de texto al móvil facilitado en la llamada para realizar una validación de los datos de la contratación. Al correo electrónico facilitado se envía la copia del contrato firmado. Todo lo anterior es adicional a los datos facilitados en la llamada sobre la identificación de la ubicación para realizar el alta del suministro. En este sentido, y teniendo en cuenta la característica de la contratación y del objeto social de IBERCLI, no resulta una obligación legal realizar acciones adicionales para validar el número de teléfono facilitado, cuando ya se informa del resto de características de contratación. En este sentido, cabe traer a colación los informes ya presentados por la CNMC en el que se expone a través de las distintas alegaciones presentadas en el presente expediente, que, la contratación fue realizada de conformidad a la normativa y por tanto no cabe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/18 interpretar que recaiga la responsabilidad de verificación de número de teléfono a la entidad de suministro de energía. […] En definitiva, esta parte entiende que en ningún caso se puede considerar necesario para validar una contratación a distancia, la comprobación de la titularidad del número de teléfono del contratante. […] Puesto que durante la contratación que nos ocupa, no llevó a sospechar de la identidad del interesado, puesto que cumplía con todos los parámetros, no se planteó abrir otro protocolo. Además, traemos a colación de nuevo la grabación ya presentada, en la que a partir del minuto 10:30 de grabación, se validan los datos del contratante y se envía un mensaje de texto al móvil facilitado de manera que pueda validar la información sobre la contratación realizada. Es decir, es totalmente esencial atender al canal de contratación y lo exigido por la normativa para poder formalizar dicha contratación. Esto es, se remite por mensaje de texto al móvil facilitado una validación de los datos de la contratación, mientras que al correo electrónico se envía la orden SEPA para su firma. Adicionalmente, en este caso se solicita el boletín para comprobar que los datos coinciden. - Explicación de cómo concluye en su respuesta, con fecha de entrada en esta Agencia en fecha 20 de mayo de 2025, que la dirección de correo electrónico ***EMAIL.2 pertenece a la parte reclamante si esta dirección es distinta a la que la parte reclamante utiliza para dirigirse a IBERDORLA CLIENTES, S.A.U. para gestionar la reclamación y también distinta a la dirección de correo electrónico que figura en los datos de contacto de la web ***URL.1 de la web (***EMAIL.1). Asimismo, tampoco coincide el teléfono de contacto de la web ***URL.1con el facilitado por el interlocutor durante la contratación telefónica. Tal y como se desprende de la información aportada, la información que recoge la dirección de correo electrónico corresponde a la misma organización, “(…)”, que se trata de una escuela de música cuyo responsable de tratamiento es el propio reclamante: A.A.A. CIF: ***NIF.1 (…) por lo que no cabe sino interpretar que la contratación además de haber sido formalizada de conformidad a los protocolos debidos se realizó por la persona reclamante. Por todo lo anterior, esta representación quiere traer a colación lo alegado en las distintas contestaciones que, desde el primer requerimiento de información se han aportado todas las evidencias propias para poder evidenciar la licitud del tratamiento de datos del ahora denunciante y, en ningún caso la contratación ha sido considerada ilícita. Asimismo, no podemos obviar que el denunciante tiene una deuda pendiente afectando a las facturas de febrero y marzo de 2022, facturas que fueron reclamadas en julio de
- Facturas que, según explica el agente comercial C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/18 en la conversación telefónica que se ha reproducido anteriormente en el presente informe, habrán sido remitidas al correo electrónico facilitado durante la contratación telefónico, correo electrónico no reconocido como propio por la parte reclamante. Teniendo en cuenta todas las alegaciones y evidencias presentadas desde la primera contestación, no cabe sino interpretar que IBERCLI ha operado desde el inicio, tanto durante la contratación, como en las contestaciones al expediente de referencia, de conformidad a la normativa. Que, en ningún caso, existe un tratamiento de datos ilícito, por parte de IBERCLI ya que la contratación se realizó conforme a la normativa y a las indicaciones de la CNMC. No obstante, tal y como indica el interesado en su reclamación, la posible usurpación de identidad sufrida por el mismo ha sido denunciada por éste a las autoridades competentes, que serán las encargadas de determinar si el interesado ha sufrido la usurpación de identidad por parte de un tercero, asunto totalmente ajeno a IBERCLI. Por su parte IBERCLI se atendrá al veredicto de dichas autoridades competentes. DÉCIMOTERCERO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad IBERDROLA es una empresa constituida en el año 2014, y con un volumen de negocios de 11.353.755.000 euros en el año
- FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Prescripción de posible infracción El artículo 32 del RGPD establece lo siguiente: “
- Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/18 probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
- Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
- La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
- El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros. En el presente caso, cabría analizar si el tratamiento de los datos personales de la parte reclamante, realizados por IBERCLI, cumplía las medidas las correspondientes medidas de seguridad de índole técnica y organizativa adecuadas al riesgo que garantizaran que el tratamiento era conforme a la normativa vigente. El eventual incumplimiento de lo establecido en el artículo 32 del RGPD se encuentra tipificado como infracción en el artículo 83.4 al señalar: “
- Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (….) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/18 La LOPDGD establece en el artículo 71 que Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica. La citada ley, en los artículos 72, 73 y 74, califica a efectos de prescripción las infracciones del RGPD estableciendo que las infracciones muy graves prescriben a los tres años, las graves a los dos años y las leves transcurrido un año desde que se cometieron. En concreto, el artículo 73 señala: A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los dos años, conforme al artículo 73 de la LOPDGDD, que califica de grave la siguiente conducta: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes (…) f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/
- (…)” En el caso que nos ocupa, los hechos objeto de reclamación tuvieron lugar en el mes de febrero de
- En consecuencia, la posible conducta infractora de la parte reclamada, o de cualquier otra que pudiera derivarse de los hechos reclamados, se encontraría prescrita por el transcurso del plazo de dos años establecido para las infracciones graves, al no haberse incoado procedimiento sancionador alguno con anterioridad a la finalización de dicho plazo, de conformidad con lo establecido en el artículo 30 de la LPACAP, según el cual: “
- El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, de un procedimiento administrativo de naturaleza sancionadora.” Por lo tanto, en base a lo indicado en los párrafos anteriores, habiendo transcurrido ya más de dos años desde los hechos reclamados, habría prescrito cualquier presunta infracción del RGPD. Atendiendo a lo anterior, al haber prescrito las posibles infracciones del RGPD, procede dictar resolución en los términos previstos por el artículo 21 de la LPACAP. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/18 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES, S.A.U y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es