AI-00443-2025

1/7  Expediente N.º: EXP202412018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de julio de 2024, se presentó reclamación con número de registro de entrada REGAGE24e (…), registrada el día 9, ante la Agencia Española de Protección de Datos contra IBERDROLA CLIENTES, S.A.U con NIF A95758389 (en adelante, la parte reclamada o IBERDROLA), remitida por la Autoridad Catalana de Protección de Datos (APDCAT). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que ***EMPRESA.1 e IBERDROLA han facilitado sus datos personales a un tercero, que suplantó su identidad en contrataciones fraudulentas. Junto a su reclamación aporta escrito de reclamación ante la APDCAT, denuncia policial, copia de contratos, intercambio de comunicaciones con dichas empresas y reclamaciones dirigidas a las mismas, junto con la contestación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 15/09/2024, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 16/09/2024. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos, no constando la recogida de dicha notificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 TERCERO: Con fecha 9 de octubre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos, en lo que a la actuación de IBERDROLA se refiere: En respuesta a un requerimiento de información de la Subdirección General de Inspección de Datos (en adelante SGID), la empresa distribuidora ha informado que quien envía las solicitudes relacionadas con el con el contrato de ATR (por sus siglas “Acceso a la Red de Terceros”) es la empresa comercializadora. Asimismo, señala recibió distintas solicitudes de cambio de comercializador más cambio de titular por parte de distintas empresas comercializadoras de energía: Con fecha 31 de diciembre de 2022 el CUPS (…) se encontraba asociado a ***EMPRESA.2 siendo la usuaria de energía la reclamante Con fecha 11 de diciembre de 2023 la empresa distribuidora recibió de IBERDROLA CLIENTES, S.A.U una solicitud de “Cambio de Comercializador más cambio titular” a favor de un tercero (A.A.A.), que quedó activado con fecha 12 de diciembre de 2023. Con fecha 4 de marzo de 2024 la empresa distribuidora recibió de ***EMPRESA.2 una solicitud de “Cambio de Comercializador más cambio titular” a favor de la reclamante, que se activó con fecha 5 de marzo de 2024. Con fecha 2 de abril de 2024 la empresa distribuidora recibió de IBERDROLA CLIENTES, S.A.U una solicitud de “Cambio de Comercializador más cambio titular” a favor de un tercero, distinto del mencionado en la solicitud de 11 de diciembre de 2023, (B.B.B.), que se activó con fecha 3 de abril de 2024. Con fecha 9 de abril de 2024 la empresa distribuidora recibió de ***EMPRESA.3, empresa vinculada a IBERDROLA, una solicitud de “Cambio de Comercializador más cambio titular” a favor de la reclamante, que se activó el 10 de abril de 2024. Con fecha 25 de abril de 2024 la empresa distribuidora recibió de ***EMPRESA.1 una solicitud de “Cambio de Comercializador sin cambios”, manteniéndose el usuario de la energía a favor de la reclamante. Dicho cambio se activó el 26 de abril de 2024. Con fecha 30 de abril de 2024 la empresa distribuidora recibió de ***EMPRESA.1 una solicitud de desistimiento sobre la solicitud de fecha 25 de abril de 2024, siendo rechazada, con fecha 30 de abril de 2024, por el motivo “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Con fecha 3 de mayo de 2024 la empresa distribuidora recibió de ***EMPRESA.1 – (…) una solicitud de desistimiento sobre la solicitud de fecha 25 de abril de 2024, quedando activada con fecha 4 de mayo de 2024, volviendo así con la comercializadora anterior, esto es, con ***EMPRESA.3, empresa vinculada a IBERDROLA, y manteniéndose como titular del contrato la reclamante. Dicho cambio se activó con fecha 5 de abril de 2024. No habiéndose recibido contestación al requerimiento de información enviado por la SGID, se contacta con el DPO de IBERDROLA por correo electrónico. El 12 de diciembre de 2025 se recibe respuesta de IBERDROLA en la que se indica: - “Que, Iberdrola no ha recibido notificación alguna sobre el requerimiento de información del Expediente (…) (en adelante, el “Requerimiento”) mencionado en la Comunicación y adjunto en la misma, pues se encuentra dirigido a la sociedad Iberdrola Energía, S.A. que no existe, por lo que se entiende que en realidad se encuentra referido a la sociedad Iberdrola Energía, S.A.U. a quien corresponde el CIF A78932514 que se recoge en la Comunicación.”. - “Que, Iberdrola ni, en su caso Iberdrola Energía, S.A.U., pueden dar contestación al Requerimiento, toda vez, que la relación contractual con clientes se lleva a cabo exclusivamente por entidades comercializadoras. Por lo tanto, ruego que el Requerimiento sea dirigido a la entidad comercializadora de energía del Grupo Iberdrola, esto es, Iberdrola Clientes, S.A.U., o, Curenergía Comercializador de Último Recurso, S.A.U., que a la vista del Requerimiento podrían ser, en su caso, destinatarias del mismo como responsables del tratamiento.”. En contestación a un requerimiento posterior de información de la SGID enviado a IBERDROLA, la parte reclamada indica que durante los años 2023 y 2024 encuentran dos contratos asociados al punto de suministro objeto del requerimiento: “Cod Contrato: (…) a. Nombre del titular del contrato: A.A.A. b. Fecha de inicio del contrato: 11/12/2023 c. Fecha de baja del contrato: 04/03/2024 d. Servicio contratado: Suministro de electricidad e. Estado actual del contrato: Baja del contrato por comercializadora saliente f. Distribuidora: (…) (…) 2. Cod Contrato: (…) a. Nombre del titular del contrato: B.B.B. b. Fecha de inicio del contrato: 02/04/2024 c. Fecha de baja del contrato: 09/04/2024 d. Servicio contratado: Suministro de electricidad e. Estado actual del contrato: Baja del contrato por comercializadora saliente f. Distribuidora: (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 Acompañan copia de dichos contratos y acreditación de (…). Se comprueba que el CUPS y la dirección postal coinciden con los de la parte reclamante, pero no el número de cuenta bancaria. IBERDOLA señala que los contratos fueron dados de alta a petición de cada uno de sus titulares, que los datos para la contratación fueron proporcionados por dichos titulares en el proceso de contratación. Durante dicho proceso, como medida de verificación de identidad para la validación del contrato, (…). (…). En ambas contrataciones intervino un encargado del tratamiento (***EMPRESA.4). La parte reclamada manifiesta que en la actualidad no existe relación contractual con dicho encargado. Se comprueban mediante diligencia, el contenido de la página web de la Comisión Nacional de los Mercados y la Competencia (CNMC) relativo a cómo contratar un suministro eléctrico y la sección relativa a la documentación que necesitas para dar de alta un nuevo contrato de luz, que figura en la página web de IBERDROLA. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Conclusión Ha de señalarse que el Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, indica en su artículo 7, relativo al Sistema de información de puntos de suministro, apartado 2: “En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a los datos recogidos en los apartados c),
10. z)y
11. aa)del apartado 1” Dichos apartados se refieren a los siguientes datos:
12. c)Ubicación del punto de suministro
13. z)Nombre y apellidos, o en su caso denominación social y forma societaria, del titular del punto de suministro.
14. aa)Dirección completa del titular del punto de suministro El Real Decreto 88/2026, de 11 de febrero, por el que se aprueba el Reglamento general de suministro, comercialización y agregación de energía eléctrica en su artículo 8, relativo al Sistema de información de puntos de suministro, que actualmente regula dicha materia, no ha supuesto una variación sustancial con respecto a lo previsto en el Real Decreto 1435/2002, de 27 de diciembre en relación con la información a la que pueden acceder las empresas comercializadoras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 Por tanto, el comercializador entrante no tendría acceso a la información sobre la ubicación del punto de suministro ni la identidad del titular. Por ello, se aprecia ausencia de culpabilidad en la conducta de la parte reclamada, que habría actuado en base a una apariencia legal de contratación. El principio de culpabilidad se encuentra recogido en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, al disponer en su artículo 28.1 que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Como señala la STS de 18 de marzo de 2005, recurso 7707/2000, es evidente “que no podía estimarse cometida una infracción administrativa si no se concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de la infracción administrativa no fuera imputable a título de dolo o culpa”. En este mismo sentido, la Sentencia de la Audiencia Nacional, de 14 de diciembre de 2006, recurso nº 1363/2005, señala en sus Fundamentos Jurídicos lo siguiente: “La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SsTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998 , "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho” En suma, el principio de culpabilidad, en palabras del Tribunal Constitucional (STC 246/1991, de 19 de diciembre) “constituye un principio estructural básico del Derecho Penal” y según refiere la citada sentencia “rige también en materia de infracciones administrativas, pues en la medida en que la sanción de dicha infracción es una de las manifestaciones del ius puniendi del Estado resulta inadmisible en nuestro ordenamiento un régimen de responsabilidad objetiva o sin culpa (STC 76/1990)”. Por lo tanto, en base a lo indicado en los párrafos anteriores, analizada la documentación que obra en el expediente, no existen en este caso circunstancias que justifiquen el inicio de un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es