AI-00487-2024

1/8  Expediente N.º: EXP202411957 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9/07/2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra ENDESA ENERGÍA, S.A.U. con NIF A81948077 (en adelante, ENDESA o la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era cliente de la comercializadora Energía XXI, perteneciente a ENDESA, cuando, el día 12/12/2023, sin su autorización y utilizando sus datos personales, le dieron de baja, realizando un cambio de comercializadora y cambio de titular, pero manteniendo el mismo CUPS. El día 05/03/2024, la parte reclamante se vuelve a dar de alta en Energía XXI, y nuevamente, utilizando sus datos personales, le vuelven a dar de baja para contratar con la compañía ***EMPRESA.1 (mercado libre), con distinto nombre y apellidos, distinto DNI pero el mismo CUPS. El día 10/04/2024, la parte reclamante se dio de alta como cliente en ***EMPRESA.1 (***EMPRESA.1), y el día 25/04/2024, se le vuelve a dar de baja sin su autorización para contratar nuevamente con la parte reclamada, utilizando nuevamente sus datos personales. Refiere la parte reclamante que, en este nuevo contrato, ENDESA le envía un correo electrónico figurando en el contrato todos sus datos personales pero una cuenta corriente de la que no es titular. Frente a ello, la parte reclamante desistió de su contrato con la parte reclamada el día 29/04/2024. La parte reclamante indica que se dirigió a ENDESA para solicitar información de quién está utilizando sus datos personales para darle continuamente de baja y de alta, recibiendo únicamente de la parte reclamada un contrato suscrito sin su autorización y en el que figura una cuenta corriente de la que no es titular, como ya se ha indicado. Junto a su reclamación aporta denuncia policial, copia de contratos y reclamaciones dirigidas a las reclamadas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ENDESA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5/09/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 4/10/2024 se recibe en esta Agencia escrito de respuesta de la parte reclamada, en el que manifiesta en síntesis y en lo que aquí interesa: - La parte reclamada aporta el análisis de riesgos realizado por Endesa Energía, para garantizar la privacidad desde el diseño y por defecto respecto del tratamiento que se solicita información, concretamente sobre la “Contratación a través de un formulario web”, en el que se incluye la valoración realizada por el Delegado de Protección de Datos. - ENDESA manifiesta que, como consecuencia de la reclamación presentada, el Delegado de Protección de Datos ha contactado por teléfono con la interesada con fecha 3/10/2024, y le ha informado de que, según consta en los sistemas comerciales de ENDESA, el día 25/04/2024 se recibió una solicitud de contratación de suministro eléctrico a través del sitio web www.endesa.com (en adelante, el “Canal Web”) a su nombre, para el punto de suministro sito en la calle ***DIRECCIÓN.1, en la que se facilitaron todos los datos necesarios para realizar el trámite. Dicho contrato estuvo en vigor durante el periodo comprendido entre el 26 de abril y el 3 de mayo de 2024, y la factura generada por el suministro recibido consta como abonado. Por tanto, no hay ninguna obligación pendiente de pago asociada a la parte reclamante. - ENDESA aporta la comunicación remitida por correo electrónico a la reclamante en la que se confirman los extremos tratados en la conversación telefónica y, facilita el informe de resolución amistosa del caso elaborado por el Delegado de Protección de Datos. - La parte reclamada, con respecto a las causas que han motivado la incidencia que ha originado la reclamación, indica que según consta en los sistemas comerciales de ENDESA, con fecha 25/04/2024, se registró, a través del Canal Web, una solicitud de contratación de suministro eléctrico para el punto de suministro sito en calle ***DIRECCIÓN.1, a nombre de la parte reclamante. Dicho contrato estuvo en vigor durante el periodo comprendido entre el 26 de abril y el 3 de mayo de 2024, en dicho formulario se facilitaron todos los datos necesarios para poder realizar el trámite de contratación, esto es, nombre y apellidos, número de DNI, correo electrónico, número de teléfono, dirección del punto de suministro, Código Universal del Punto de Suministro (en adelante, “CUPS”) y número de cuenta bancaria para domiciliar el pago de las facturas. Siguiendo con el procedimiento establecido, una vez facilitados todos los datos necesarios para la solicitud de contratación, procedieron al registro electrónico de la dirección I.P. desde la que se accedió al formulario de contratación y de la fecha en la que tuvo lugar dicha solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 ENDESA señala que esta contratación se llevó a cabo de conformidad con lo establecido en la Resolución de 12/04/2011, de la Dirección General de Política Energética y Minas, por la que se aprueba el procedimiento marco de contratación telefónica, electrónica y telemática para el mercado de gas natural (en adelante, la “Resolución de 12 de abril de 2011”) que, en su artículo 4.2 relativo a la contratación electrónica y telemática, establece lo siguiente: “En caso de contratación telemática sin firma digital avanzada la prueba documental de la conformidad del cliente será un registro electrónico de los datos introducidos por el cliente en el website del comercializador.” Por tanto, de acuerdo con los requisitos establecidos en la Resolución de 12 de abril de 2011, la contratación cuestionada por la parte reclamante contaba con elementos más que suficientes que la dotaban de licitud y de autenticidad en la prestación del consentimiento, pues (

1. i)se facilitaron todos los datos necesarios para dar de alta el contrato de suministro de electricidad y (
2. ii)se procedió al correspondiente registro electrónico del CUPS y dirección IP. Por último, ENDESA pone de manifiesto que no hay ninguna obligación pendiente de pago asociada a la parte reclamante ya que la factura emitida por el tiempo que estuvo en vigor el contrato consta abonada. - Sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia, ENDESA indica que la contratación cuestionada contaba con elementos suficientes que la dotaban de autenticidad y validez, puesto que se trataba de una contratación telemática en la que la prueba documental de la conformidad del interesado consiste en el registro electrónico de los datos introducidos en el formulario de contratación del sitio web, así como en el registro de la dirección I.P. y del CUPS. No obstante lo anterior, la parte reclamada señala que el área que gestiona el Canal Web tiene implantado actualmente un proceso de mejora consistente en la certificación de las contrataciones mediante el envío al teléfono móvil asociado a la ficha del cliente (en caso de que tuviera otro contrato en vigor), o al teléfono móvil que facilite en ese momento (si se trata de una persona que no tenga ningún otro contrato en vigor), de un SMS con un código único de autenticación (OTP) que se deberá insertar para dar por finalizado el proceso de certificación, así como en la solicitud de documentación que refuerce la validez de los datos aportados antes de proceder a la tramitación de la venta. TERCERO: Con fecha 9/10/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 Se comprueba mediante una diligencia que en la web www.endesa.com el acceso para la contratación de suministro eléctrico conduce a un formulario que requiere los siguientes datos: nombre, apellidos, NIF, email y teléfono móvil y un enlace a la política de privacidad. Se comprueban los datos de línea móvil, cuenta bancaria y dirección IP que figuran en el formulario web aportado por la parte reclamada y que son distintos a los aportados por la parte reclamante. Se comprueba con el operador de telecomunicaciones que la línea móvil ***TELÉFONO.1 es titularidad a 25/4/2024, en modalidad prepago, desde el 19/12/2023 a nombre de A.A.A. con número de pasaporte ***REFERENCIA.1 y nacionalidad colombiana. Se comprueba con la entidad bancaria que la cuenta ***REFERENCIA.2 no existe en tal entidad. Se comprueba que la dirección IP ***IP.1 está localizada en Bogotá, Colombia. Se solicita información a ***EMPRESA.1 respecto de las circunstancias de la resolución de la reclamación ante ***EMPRESA.1 con nº ***REFERENCIA.3 de 7/5/2024, en concreto, respecto al cambio de comercializadora usando los datos de la reclamante, y esta manifiesta lo siguiente: “En fecha 9 de abril de 2024 la reclamante realizó una contratación telefónica del suministro de luz. Adjuntamos como anexo 1 el contrato firmado desde el email de la reclamada. Sin embargo, en fecha 25 de abril de 2024 el contrato se dio de baja por comercializadora saliente, pero al solicitar la nueva comercializadora un desistimiento a la inversa, tal y como estipula la normativa, volvió a darse de alta dicho contrato con ***EMPRESA.1. Entre tanto, la reclamante presentó una reclamación ante ***EMPRESA.1 para la reactivación del bono social, ya que al haber habido una baja de contrato de por medio, no se le volvió a activar de forma correcta. De ahí la respuesta enviada a la reclamante, que se adjunta como anexo 2.” Se comprueba que el anexo 1 es un documento de 9/4/2024 con los datos identificativos que coinciden con el alta de 10/4/2024: titular y NIF, dirección suministro, CUPS electricidad y un contrato de suministro de electricidad para el cliente firmado por ***EMPRESA.1 con las Condiciones generales del contrato de suministro de energía eléctrica, firma certificada por ***EMPRESA.2 por cliente desde ***EMAIL.1 el 9/4/2024 a 10:34:27 UTC; y el anexo 2 de 20/5/2024 es la respuesta con Código de Reclamación: ***REFERENCIA.3 atendiendo la solicitud de la reclamante de aplicación del bono social. Se solicita información a la parte reclamada respecto de los cambios de contrato y la cuenta bancaria no reconocida por la parte reclamante y esta responde: “En los sistemas de Endesa Energía únicamente consta un único contrato de suministro eléctrico a nombre de la reclamante para el punto de suministro sito en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 calle ***DIRECCIÓN.1, que estuvo en vigor durante el periodo comprendido entre el 26 de abril y el 3 de mayo de 2024.” Sobre el proceso de contratación telemática: “Se aporta, como Documento número 2, las capturas de pantalla del proceso de contratación actual a través de la web de Endesa Energía www.endesa.com“ Se comprueba que el Documento número 2 contiene el formulario comprobado mediante diligencia, además de las siguientes pantallas de la contratación en que se requiere los datos de pago, n.º de documento de identificación y anverso y reverso del citado documento, y firma mediante SMS. Sobre el número de cuenta corriente incluido en el último contrato remitido a la parte reclamante y que ésta indica desconocer: “… tal y como se acredita en el Documento número 3, el número de cuenta incluido en el contrato de suministro eléctrico de Endesa Energía a nombre de la reclamante para el punto de suministro … consta que fue facilitado en el formulario de contratación de la web de Endesa Energía www.endesa.com el día 25 de abril de 2024.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
3. f)y
4. h)RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8
8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. III Conclusión En el presente caso, los contratos a los que se refiere la parte reclamante, tanto el firmado con ENDESA, el 24/07/2016 y el de Energía XXI, de 4/3/2024 modificado el 19/3/2024, fueron firmados con todos los datos de la parte reclamante y los contratos posteriores se realizaron desde el formulario de la web de ENDESA. El contrato, de 25/04/2024, a través del formulario web de ENDESA, se realizó aportando unos datos bancarios no reconocidos por la parte reclamante y comprobada en las actuaciones previas de investigación, la dirección IP desde la que se rellenó el formulario corresponde a una ubicación en Colombia. Según la documentación aportada por la parte reclamada, en la fecha del contrato objeto de la reclamación, del 25/04/2024, el formulario web de Endesa sería conforme a la Resolución de 12 de abril de 2011, de la Dirección General de Política Energética y Minas, por la que se aprueba el procedimiento marco de contratación telefónica, electrónica y telemática para el mercado de gas natural (...) que, en su artículo 4.2 relativo a la contratación electrónica y telemática, establece lo siguiente: "En caso de contratación telemática sin firma digital avanzada la prueba documental de la conformidad del cliente será un registro electrónico de los datos introducidos por el cliente en el website del comercializador." (...). Ha de señalarse asimismo que el Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, indica en su artículo 7 apartado 2 En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a los datos recogidos en los apartados c),
11. z)y
12. aa)del apartado 1 Dichos apartados se refieren a los siguientes datos:
13. c)Ubicación del punto de suministro
14. z)Nombre y apellidos, o en su caso denominación social y forma societaria, del titular del punto de suministro.
15. aa)Dirección completa del titular del punto de suministro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 Por tanto, el comercializar entrante no tendría acceso a la información sobre la ubicación del punto de suministro ni la identidad del titular. Por ello, se aprecia ausencia de culpabilidad en la conducta del reclamado, que habría actuado en base a una apariencia legal de contratación. El principio de culpabilidad se encuentra recogido en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, al disponer en su artículo 28.1 que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Como señala la STS de 18 de marzo de 2005, recurso 7707/2000, es evidente “que no podía estimarse cometida una infracción administrativa si no se concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de la infracción administrativa no fuera imputable a título de dolo o culpa”. En este mismo sentido, la Sentencia de la Audiencia Nacional, de 14 de diciembre de 2006, recurso nº 1363/2005, señala en sus Fundamentos Jurídicos lo siguiente: “La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SsTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998 , "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho”. En suma, el principio de culpabilidad, en palabras del Tribunal Constitucional (STC 246/1991, de 19 de diciembre) “constituye un principio estructural básico del Derecho Penal” y según refiere la citada sentencia “rige también en materia de infracciones administrativas, pues en la medida en que la sanción de dicha infracción es una de las manifestaciones del ius puniendi del Estado resulta inadmisible en nuestro ordenamiento un régimen de responsabilidad objetiva o sin culpa (STC 76/1990)”. Por lo tanto, en base a lo indicado en los párrafos anteriores, analizada la documentación que obra en el expediente, no existen en este caso circunstancias que justifiquen el inicio de un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
16. c)de la LPACAP y de conformidad con lo establecido en los arts. 112 y 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es