1/8 Expediente N.º: EXP202312088 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17/07/2023 A.A.A., con DNI ***NIF.1, (en adelante parte reclamante), presentó escrito de reclamación ante la Agencia Española de Protección de Datos contra NATURGY IBERIA, S.A. con NIF A08431090 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en fecha 12/07/2023 recibe un correo electrónico de la parte reclamada NATURGY, dándole de alta en contratos de suministro de gas y luz. Señala no haber solicitado cambio de empresa alguno, por lo que, tras efectuar solicitud de acceso a las grabaciones, le remiten la grabación que manifiesta es efectuada por una tercera persona, suplantando su identidad. Aporta correo electrónico referido y copia de la grabación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 13/09/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14/09/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 17/10/2023 de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: PUNTO
- En el marco del traslado de la reclamación la parte reclamada manifestó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 - En los sistemas de NATURGY consta registrada la contratación de suministro de gas y de electricidad, y los servicios de mantenimiento, a nombre de la reclamante. - Dicha contratación fue realizada el día 06/07/2023 por la empresa colaboradora (EC) de NATURGY, GRUPO MYJ SERVICIOS GENERALES 2020 SL (en adelante MYJ), que es una sociedad que, en calidad de encargada del tratamiento, presta a NATURGY servicios de asesoría y apoyo comercial y técnico para la captación de clientes. - De acuerdo con la información obrante en los sistemas de NATURGY, la contratación se realizó por medio de una herramienta en la que, durante la llamada comercial, si el cliente manifiesta su intención de contratar un producto, se le envía un SMS, que contiene un enlace a una web en la que es mostrada al cliente la información de los productos ofrecidos y condiciones contractuales, y donde debe pulsar en un "botón" para dar su consentimiento para la contratación y el adeudo SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su voluntad de contratar, así como la IP desde la que se realiza. -Todo el proceso de contratación, desde el envío del SMS, contenido del mismo, acceso a la web enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la contratación, es certificado por una Tercera Parte de Confianza, la entidad Aviva Voice Systems & Services, S.L. (en adelante Aviva). - El 17/07/2023, el reclamante, dando respuesta al correo en el que se le había enviado la grabación de la llamada, escribe un correo a NATURGY e indica que la mujer que aparece en la grabación no es su esposa. - Manifiestan que todas las evidencias existentes llevan a concluir que la contratación de los servicios objeto de la reclamación se produjo de forma correcta y lícita. Indican que las evidencias documentales por si solas así parecen confirmarlo, y además, en las propias grabaciones no se identifican elementos que puedan hacer sospechar de ellas. No obstante, como NATURGY carece de medios para comprobar si la voz que se escucha en las grabaciones pertenece a la esposa del reclamante, NATURGY ha trasladado la acusación del reclamante a la EC que realizó dichas llamadas, MYJ, quien rechaza con rotundidad que su agente haya incurrido en las prácticas denunciadas por el Reclamante, y asegura que la contratación se hizo de forma correcta y lícita. PUNTO
- Dado que en las contrataciones a distancia un suplantador puede facilitar un número de teléfono de una línea en su poder que no tiene por qué corresponder a la persona cuyos datos facilita, con el envío de un SMS a ese número de teléfono no es posible verificar la identidad del contratante. Por ello se ha pedido a la parte reclamada que aporte el procedimiento seguido de verificación de la identidad de los contratantes para evitar las posibles suplantaciones de identidad. Se ha requerido aportar, para la vía de contratación de este caso (telefónica), información detallada del procedimiento establecido para la atención de las solicitudes, incluyendo los controles para la verificación de la identidad del solicitante y los datos y documentos que se le requieren, así como el detalle de las verificaciones que se realizan sobre los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 En concreto, la parte reclamada ha manifestado sobre el procedimiento establecido los siguientes detalles: - La contratación relativa a este caso se realizó por medio del canal de venta telefónico. El proceso de contratación para dicho canal se inicia con una llamada telefónica comercial, que fue grabada por MYJ en este caso, y durante la cual, si el cliente manifiesta su intención de contratar un producto, se le envía un SMS, que contiene un enlace a una web en la que es mostrada al cliente la información de los productos ofrecidos y condiciones contractuales, y donde debe pulsar en un “botón” para dar su consentimiento para la contratación y el adeudo SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su voluntad de contratar, así como la IP desde la que se realiza. - Por lo tanto, en los supuestos de contratación telefónica como el del presente expediente, el consentimiento del cliente, más allá de manifestarse por el cliente en la conversación telefónica con el agente comercial, debe prestarse accediendo a la web de confirmación de la voluntad de contratar a la que se accede a través del enlace que se facilita al cliente mediante un SMS remitido a su teléfono. - Así, para poder remitir ese SMS, el agente comercial debe introducir en el sistema el teléfono del cliente al que debe enviarse, de modo que le posibilite acceder a la información y confirmar su voluntad de contratar. Del mismo modo debe introducir en el sistema el resto de los datos del cliente necesarios para cumplimentar el contrato, de modo que el cliente al acceder al SMS pueda verificarlos y, en su caso, corregir cualquier error que pudiera existir antes de proceder con la aceptación del contrato. Entre dichos datos se encuentra también la dirección de correo electrónico del cliente al que serán remitidos dos correos: uno de confirmación del inicio del proceso de activación del contrato, y otro correo de bienvenida una vez que se ha activado el contrato, así como una encuesta de calidad, tal y como se expondrá más adelante. - Todo el proceso de contratación, desde el envío del SMS, contenido del mismo, acceso a la web enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la contratación, es certificado por una Tercera Parte de Confianza. El certificado de esa entidad correspondiente a la presente contratación fue aportado por NATURGY a la AEPD junto con la respuesta al primer requerimiento de información de la AEPD. Asimismo, también se aportó la grabación de la llamada de contratación. - Indican que el mecanismo antes descrito por el que se recaba el consentimiento del cliente durante el proceso de contratación, así como otras medidas que se indican a continuación, están diseñados para evitar, dificultar y desincentivar las prácticas irregulares de las EECC, como por ejemplo la suplantación de identidad: ○ En el sistema de contratación de NATURGY se ha implementado un control automatizado que bloquea el proceso de contratación cuando el teléfono introducido para remitir el SMS ya ha sido empleado previamente en varias ocasiones para formalizar otras contrataciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Destacan que han verificado que el número de teléfono al que fue remitido el SMS de confirmación de la contratación, y que consta reflejado en el certificado Aviva, no ha sido empleado para confirmar ninguna otra contratación con NATURGY. ○ Existe otro control automatizado que bloquea el proceso de contratación, implementado por NATURGY para prevenir posibles contrataciones fraudulentas por suplantación de identidad. Indican que cuando un contrato se activa, NATURGY remite al cliente un correo electrónico confirmando la activación del contrato y dándole la bienvenida. Un ejemplo de dicho correo es el que el propio reclamante reconoce haber recibido en su cuenta de correo electrónico y que ha sido adjuntado por él en su escrito presentado ante la AEPD. Parece razonable pensar que, si una EC pretende celebrar una contratación suplantando la identidad del cliente, evitará introducir en el sistema el correo electrónico del cliente, de modo que el cliente no reciba el correo de bienvenida y llame a NATURGY para advertir de lo sucedido, pues ello derivaría en las acciones de NATURGY contra dicha EC anteriormente descritas. Por el contrario, la EC que pretende cometer fraude introducirá en el sistema una cuenta de correo que no pertenece al cliente, una cuenta de correo gestionada por esa EC o por el agente que comete el fraude. Para evitar que las EECC puedan incurrir en esta práctica, en el sistema de contratación de NATURGY se ha implementado otro control automatizado similar al ya descrito anteriormente con respecto del número de teléfono, de modo que el sistema bloquea el proceso de contratación cuando el correo electrónico del cliente introducido en el sistema por las EECC es coincidente con otro empleado en varias contrataciones en los últimos 12 meses. Manifiestan que, además, en el caso del presente expediente, el mero hecho de que MYJ introdujera en el sistema el correo electrónico real del cliente, haciendo que el cliente recibiera su correo de bienvenida, pone de manifiesto que es altamente improbable que haya existido una suplantación de identidad. ○ Por otra parte, tan pronto como el cliente acepta la contratación a través de la web de confirmación de la voluntad de contratar, recibe un correo electrónico con un enlace al contrato que ha aceptado, informándole asimismo de que se arranca el proceso de activación, que dura alrededor de 10 días. Indican que en el caso de que una EC hubiera incurrido en alguna práctica fraudulenta durante la contratación, como por ejemplo una suplantación de identidad, el cliente tendría pleno conocimiento de lo sucedido al recibir este correo, pudiendo contactar con NATURGY para advertir de lo sucedido, desistir de los contratos antes incluso de su activación, o adoptar aquellas otras medidas que considere más convenientes, y NATURGY podrá a su vez iniciar las acciones oportunas frente a la EC. En relación con el presente expediente, este correo fue remitido al reclamante el 6 de julio de 2023 a las 18:58h., a la cuenta de correo electrónico que el reclamante reconoce como propio, y fue abierto por el destinatario. Adjuntan a su respuesta como Anexo VIII una captura del sistema que muestra el envío, y se adjunta copia del texto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 contenido en dicho correo como Anexo IX. Manifiestan que la captura indica las 10:58 am porque refleja el horario CST, que en horario peninsular de verano son las 18:58 pm. ○ Indican que adicionalmente, como parte del proceso de contratación, todas las EECC están obligadas a realizar y grabar una llamada de verificación de todas las contrataciones. Esta es una llamada en la que, después de que el cliente haya confirmado su voluntad de contratar a través del mecanismo del SMS antes descrito, la EC realiza una llamada adicional al cliente para confirmar con el mismo todos los datos de la contratación y, fundamentalmente, su voluntad de contratar con NATURGY. Manifiestan que el registro de la contratación en el sistema no se puede completar hasta que la EC no incorpora al sistema tanto la llamada de venta inicial como la llamada de verificación de la contratación. Es decir, sin la grabación de la llamada de verificación el sistema no admite la venta y nunca se procesará. La empresa colaboradora debe subir todas las grabaciones requeridas además del certificado de Aviva o la venta nunca será admitida/grabada. Además, indican que la llamada de verificación no puede ser efectuada por el mismo agente que ha realizado la venta, sino que dicha llamada debe ser realizada desde otro equipo de back office. Por lo tanto, de los elementos necesarios para que se complete una contratación no todos pueden ser realizados por un solo agente de ventas, sino que siempre es necesaria la intervención de varios equipos diferentes. Esta medida permite prevenir que un solo agente pueda incurrir en conductas fraudulentas, como la suplantación de identidad. Adjuntan como Anexo X uno de los correos enviados al equipo de ventas de NATURGY, de fecha 3 de junio de 2022, en el que se le informa en el apartado 2 de diferentes obligaciones que deben cumplir las EECC que realizan venta en remoto. Se verifica que el apartado 2.k) indica “queda prohibido por parte del vendedor validar sus propias ventas”. En el apartado 2.i se cita “Es obligatorio tener la grabación de la llamada de venta desde el inicio y la locución del texto legal + llamada de verificación.” Se comprueba la parte reclamada aportó copia de dos grabaciones de llamada. La llamada de contratación y la de verificación en el marco del AT/04554/
- Se verifica que en el contrato de luz y gas aportado por la entidad (en el marco del AT) figuran como datos personales de la cliente los que se citan en las grabaciones (nombre de la reclamante, su DNI, dirección, email, teléfono de contacto y CUPS de gas y electricidad). El número de teléfono de contacto la reclamante no lo ha reconocido como suyo, manifestando desconocer a quien pertenece FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 6.1 del RGPD, Licitud del tratamiento, dispone que: “
- El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Análisis del caso En el presente caso, la parte reclamante manifiesta su sorpresa ante la recepción de correo electrónico de la parte reclamada informándole del alta en los contratos de suministro de gas y electricidad sin haber solicitado el cambio de comercializadoras y que, solicitado el acceso a las grabaciones, señala la suplantación de su identidad en las citadas contrataciones al no reconocer su voz en las mismas. Sin embargo, hay que señalar que a pesar de los esfuerzos realizados por los servicios de inspección de este centro directivo en aclarar los términos de la reclamación planteada por la parte reclamante no han dado sus frutos puesto que no se han precisado la existencia de indicios suficientes que determinen que existió una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 suplantación de identidad en la contratación, o que la misma se llevase a cabo fraudulentamente con la intervención de agentes de la entidad que presta servicios a la parte reclama-da. Cabe destacar que la contratación fue comunicada puntualmente mediante correo electrónico dirigido a la dirección de correo de la parte reclamante, que pudo actuar en consecuencia. En este orden de ideas debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” A la luz de lo expuesto se concluye que el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención del presunto infractor. Trasladando los razonamientos precedentes al supuesto que nos ocupa, habida cuenta de que no se ha podido determinar razonablemente la existencia de la suplantación de identidad e identificar a su responsable, conducta que pudiera ser constitutiva de una infracción del RGPD, corresponde acordar el archivo de las actuaciones de investigación practicadas. IV Conclusión Por lo tanto, en base a lo señalado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento, de acuerdo con lo señalado, Por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a NATURGY IBERIA, S.A. con NIF A08431090, y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es