AI-00388-2024

1/7  Expediente N.º: EXP202409675 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 30 de mayo de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra GAOLANIA SERVICIOS, S.L. con NIF B98717457 (en adelante, la parte reclamada, GANA ENERGÍA o GANA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el 25 de abril de 2024 ha recibido llamadas en nombre de la parte reclamada con relación a un contrato de suministro eléctrico desde el teléfono ***TELÉFONO.1. A partir de ese momento, comenzó a recibir mensajes SMS en su teléfono móvil, correos electrónicos a una dirección que nunca había facilitado, así como varios cargos en la cuenta corriente de su madre, en relación con contratos formalizados a nombre de la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04/07/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 09/07/2024 se recibe en esta Agencia escrito de respuesta en el que, en síntesis, se indica lo siguiente: GANA ENERGÍA señala que el nombre del comercial facilitado por la parte reclamante coincide con el de un trabajador de ***EMPRESA.1 por lo que asegura que lo ocurrido se debe a un caso de mala praxis por parte de su encargado del tratamiento (***EMPRESA.1), con el que ha roto toda relación comercial desde el ***FECHA.1 y a quien ha denunciado a la Policía Nacional. Asegura, no obstante, que tuvo conocimiento de los hechos como consecuencia de las medidas de control interno que tiene implementadas, lo que le permitió la adopción de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 las medidas con carácter previo a la reclamación ante la AEPD. Aporta a este respecto copia del contrato de prestación de servicios entre las partes, copia del contrato de encargo, así como copia del escrito de resolución de contrato dirigido a ***EMPRESA.1 de ***FECHA.1 y de la denuncia presentada ante la Policía Nacional en la que se señala “(…)”. TERCERO: Con fecha 30 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada, por transcurso de plazo. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación, se comprueba que el contrato suscrito entre ***EMPRESA.1 y GANA ENERGÍA limitaba la participación del primero a la captación de clientes y la inclusión de sus datos en un sistema (...), correspondiendo al segundo la redacción de la propuesta contractual, su envío a los interesados, así como la formalización de los contratos. Por parte de GANA ENERGÍA se identificaron 3 contratos vinculados a la parte reclamante: dos de ellos suscritos desde el número de teléfono ***TELÉFONO.1 en marzo de 2024 y el tercero, de 25 de abril de 2024, que no llegó a ser firmado, tramitado con el número de teléfono ***TELÉFONO.2, correspondiente a la parte reclamante. Esta Agencia ha comprobado que el teléfono ***TELÉFONO.1 desde el que se hicieron las llamadas a la parte reclamante y desde el que se suscribieron los dos primeros contratos a su nombre, correspondía, en la fecha de los hechos, a A.A.A. con NIE ***NIE.1. Su identidad no coincide con el nombre del comercial facilitado por la parte reclamante, y su vinculación con ***EMPRESA.1 no ha podido determinarse al no encontrarse incluido entre los colaboradores de esta compañía ni los de la parte reclamada. Respecto a las acciones llevadas a cabo por GANA ENERGIA cuando tuvo conocimiento de los hechos: Señala la parte reclamada en su escrito de 11 de septiembre de 2025 que, el “uso de los mismos datos del titular con distinto teléfono móvil” le alertó para llevar a cabo una investigación por parte de su departamento de calidad y, además, pausar la facturación hasta el esclarecimiento de los hechos, sin reclamar los recibos que habían sido devueltos por la parte reclamante, así como anulando los contratos existentes. Además, ha confirmado el bloqueo de los datos de la parte reclamante. Asimismo, reitera que el ***FECHA.1 rescindió su relación comercial con ***EMPRESA.1 e interpuso una denuncia y enumera diferentes medidas adoptadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 para garantizar la seguridad y licitud de los procesos de contratación y evitar que situaciones de esta índole vuelvan a producirse: - (…). (…). (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Seguridad del tratamiento Señala el artículo 32 del RGPD en sus apartados 1 y 2: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
10. a)la seudonimización y el cifrado de datos personales;
11. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
12. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
13. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. IV Conclusión En el presente caso, los hechos que impulsaron el inicio de actuaciones previas de investigación conforme al artículo 67 de la LOPDGDD se referían al tratamiento de los datos personales de la parte reclamante por parte de GANA ENERGÍA para la formalización de contratos a su nombre, sin la participación de éste. Si bien GANA ENERGÍA asegura que las actuaciones resultarían imputables al que fuera en el momento de los hechos su encargado de tratamiento, ***EMPRESA.1, que, según GANA ENERGÍA habría incumplido sus instrucciones, no ha sido acreditado que la suscripción de los contratos desde el número de teléfono ***TELÉFONO.1 en marzo de 2024 fuese llevado a cabo por esta última. Además, no puede olvidarse que la formalización de los contratos correspondía, de acuerdo con la documentación obrante en el expediente, directamente a la parte reclamada. También correspondía a GANA ENERGÍA, en tanto que responsable del tratamiento, asegurar la adopción de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 todas las medidas de seguridad necesarias destinadas a garantizar la adecuada utilización de los datos personales de sus clientes, así como la licitud en su obtención. No obstante, a raíz de las presente actuaciones, GANA ENERGÍA ha informado de que, con carácter previo al traslado de la reclamación por parte la AEPD, en cuanto detectó lo ocurrido, procedió a la anulación de los contratos y al bloqueo de los datos de la parte reclamante, así como a adoptar medidas destinadas a reforzar la trazabilidad en los procesos de verificación de identidad y a identificar irregularidades y malas prácticas realizadas o bien directamente por sus empleados o por sus encargados del tratamiento. A la vista de todo lo expuesto, cabe hacer referencia a la Sentencia del Tribunal de Justicia de la Unión Europea de 24 de septiembre de 2024, dictada en el asunto C 768/21, analiza un supuesto de brecha de datos personales en el que una autoridad de control (el Comisionado para la Protección de Datos y la Libertad de Información del Estado Federado de Hesse, Alemania) decidió no imponer sanción atendiendo a las circunstancias del caso concreto. En la sentencia se afirma lo siguiente: “41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. (…) 43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora, aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento. 44 La interpretación según la cual la autoridad de control, cuando constata una violación de la seguridad de datos personales, no está obligada a adoptar en todos los casos una medida correctora con arreglo al artículo 58, apartado 2, del RGPD se ve corroborada por los objetivos perseguidos por este artículo 58, apartado 2, y por el artículo 83 de dicho Reglamento, respectivamente. 45 Por lo que respecta al objetivo perseguido por el artículo 58, apartado 2, del RGPD, del considerando 129 de este se desprende que esta disposición tiene por objeto garantizar la conformidad del tratamiento de datos personales con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 dicho Reglamento y la regularización de las situaciones de incumplimiento de este para que se ajusten al Derecho de la Unión, mediante la intervención de las autoridades de control nacionales (sentencia de 14 de marzo de 2024, Újpesti Polgármesteri Hivatal, C-46/23, EU:C:2024:239, apartado 40). 46 De lo anterior se infiere que la adopción de una medida correctora puede, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, no imponerse, siempre que la situación de infracción del RGPD ya haya sido subsanada y que se garantice la conformidad de los tratamientos de datos personales con dicho Reglamento por su responsable y que tal abstención de la autoridad de control no menoscabe la exigencia de una aplicación rigurosa de las normas, tal como se ha recordado en el apartado 38 de la presente sentencia.”. El TJUE incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, este demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. En consecuencia, de conformidad con la STJUE de 24 de septiembre de 2024, en el asunto C-768/2021 y atendiendo a las singulares circunstancias que conforman este caso, en particular, la anulación de los contratos a nombre de la parte reclamante y el bloqueo de sus datos, así como la adopción de otras medidas destinadas a evitar que situaciones similares vuelvan a producirse, esta Agencia considera que no procede el despliegue de sus poderes correctivos previstos en el artículo 58 del RGPD. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a GAOLANIA SERVICIOS, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
14. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es