AI-00490-2024

1/5  Expediente N.º: EXP202412304 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de julio de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra ENDESA ENERGÍA, S.A.U. con NIF A81948077 (en adelante, ENDESA o la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, durante una contratación de suministro eléctrico el 20 de junio de 2024, Energía XXI remitió comunicaciones (invitación y confirmación del proceso de firma) a dos direcciones de correo electrónico que él no había facilitado a esta compañía: ***EMAIL.1 y ***EMAIL.2. El reclamante sostiene que la dirección de contacto que él había aportado en el momento de la contratación es una tercera dirección de correo y sugiere la posible cesión intragrupo de datos entre Endesa Energía y Energía XXI. Añade que, el 22 de junio de 2024, remitió un correo a dpoc@endesa.es explicando el suceso, recibiendo como respuesta que dicho buzón atiende gestiones de protección de datos de Endesa Energía y que, para la cuestión planteada, debía dirigirse a dpoc.exxi@engergiaxxi.com. Junto a la reclamación acompaña los correos electrónicos recibidos en las dos direcciones indicadas y el mensaje enviado a la entidad reclamada. SEGUNDO: Con fecha 10 de septiembre de 2024 esta Agencia acordó inadmitir la reclamación al no apreciar indicios suficientes de infracción de conformidad con el artículo 65.2 de la LOPDGDD. La parte reclamante presentó recurso de reposición contra la inadmisión el 14 de septiembre de 2024 que fue estimado el 30 de octubre de 2024. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 Actuaciones con Energía XXI Comercializadora de Referencia S.L. Se efectuaron cuatro requerimientos de información a la compañía con el objetivo de aclarar el origen y uso de las direcciones de correo electrónico asociadas al expediente de contratación y la procedencia del IBAN incorporado al contrato. En su primera respuesta al requerimiento, Energía XXI aportó el acta del proceso de firma emitida por un prestador de servicios de confianza y el contrato firmado digitalmente, en el que constan dos direcciones de correo asociadas a la operación: ***EMAIL.1 (en el bloque de datos del cliente) y ***EMAIL.2 (en el bloque de datos de contacto). El documento contractual figura como “leído y aceptado” el 22 de junio de 2024, extremo que la entidad presentó como confirmación de la correcta culminación del flujo de contratación. Con esta primera remisión, la compañía descartó que se hubiera producido un error operativo en los envíos y situó toda la interacción (incluidas las comunicaciones de firma) dentro de la secuencia ordinaria de su procedimiento digital de alta. Además, aporta el contrato como documento adjunto a su respuesta (…). En el contrato aportado constan expresamente dichas direcciones, así como el IBAN “ES00 0000 0000 0000 0000 0000” bajo el epígrafe “Datos de pago”. Se aporta además captura de alta del IBAN en los sistemas y se afirma que no ha sufrido modificaciones posteriores. A raíz de los requerimientos de información posteriores realizados en el marco de las actuaciones previas de investigación, Energía XXI precisó que el modelo de contratación fue la gestión diferida en que el interesado inicia la solicitud en formulario web, y, a partir de ahí, un agente tramita y valida la operación, incluido el lanzamiento de la firma con el prestador de servicios de confianza. En este marco, la entidad identificó al agente interviniente y aportó, además, evidencias del proveedor de firma con los sellos temporales y eventos del flujo entre el 20 y el 22 de junio de 2024. En paralelo, y como pieza de ordenación probatoria, se remitió un cuadro consolidado de comunicaciones donde se relacionan las notificaciones efectivamente enviadas (con fecha y hora, asunto, dirección de destino y estado) destacando entre otras las dirigidas a ***EMAIL.1 (mensajes de firma el 20 de junio de 2024) y a ***EMAIL.2 (registro de solicitud el 22 de junio de 2024) así como las comunicaciones de bienvenida el 26 de junio a ***EMAIL.3. La compañía añadió que el 23 de junio de 2024, un día después de la firma, el propio interesado registró en su área privada la dirección de correo ***EMAIL.3 que pasó a constar como correo en la ficha de cliente. Con esta puntualización, Energía XXI pretendía explicar la coexistencia de tres direcciones en la cronología (las dos empleadas durante el trámite de contratación y la que se incluyó posteriormente desde el área privada). Actuaciones con Endesa Energía, S.A.U. En su primera contestación, Endesa Energía aclaró que no intervino en la contratación objeto de la reclamación (que corresponde al mercado regulado) y por ello, no dispone de grabación de contratación ni de comunicaciones asociadas en su perímetro. Acompañó con información de su relación histórica con el reclamante para contextualizar la ausencia de actuaciones propias en esas fechas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 Posteriormente, en un segundo requerimiento, Endesa aclaró un par de aspectos por los que se le preguntaron. En primer lugar, la trazabilidad del IBAN en su ámbito, acreditando que el cliente tuvo uno inicial dado de alta por canal telefónico que sustituyó el 20 de abril de 2024 desde el área privada, quedando este último activo. Con relación al correo remitido por el interesado a dpoc@endesa.es el 22 de junio de 2024, Endesa detalla que registró la incidencia en su circuito interno de privacidad, verificó que la contratación cuestionada correspondía al mercado regulado y, por tanto, al perímetro de Energía XXI, y procedió a derivar la gestión al canal específico de la comercializadora regulada. Una vez efectuada la remisión al DPO competente, Endesa cerró el expediente interno asociado a esa consulta. Finalmente, al requerimiento de gobernanza y accesos a los sistemas, Endesa describió (…) y remitió documentación corporativa de políticas de acceso y matriz de roles. La parte reclamada sostiene la (…) dentro del mismo entorno tecnológico y, en particular, que no se produjo comunicación de datos desde su perímetro hacia Energía XXI en el caso analizado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Conclusión En el presente caso, la parte reclamante afirma que Energía XXI le remitió comunicaciones sobre una contratación a dos direcciones de correo electrónico distintas a la que él había facilitado a esa compañía. Por ello sugiere la posible cesión de datos entre dos empresas del mismo grupo empresarial: Endesa Energía y Energía XXI. No obstante, durante las actuaciones previas de investigación no se han encontrado indicios racionales suficientes que suscriban lo sostenido por la parte reclamante en su reclamación, por cuanto de la documentación aportada por Energía XXI quedaría acreditado, con el acta del prestador de servicios de confianza y el contrato leído y aceptado por el reclamante, que las direcciones ***EMAIL.1 y ***EMAIL.2 figuran en la documentación contractual y se emplearon efectivamente en las comunicaciones del trámite de contratación con Energía XXI. Por su parte, la dirección ***EMAIL.3 se incorporó posteriormente por el propio interesado desde su área privada y pasó a figurar como correo en los sistemas de la compañía con fecha posterior a la firma. Por tanto, de las actuaciones de investigación practicadas no se desprende la supuesta cesión ilícita de datos personales entre ambas empresas. En consecuencia, en base a lo indicado en los párrafos anteriores, no se han encontrado indicios racionales suficientes que acrediten la existencia de infracción en el ámbito de la normativa de protección de datos de carácter personal en el ámbito competencial de esta Agencia. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es