1/5 Procedimiento Nº: E/01277/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por D. A.A.A. (en adelante, el reclamante) tiene entrada con fecha 24 de noviembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra CURENERGIA COMERCIALIZADOR DE ULTIMO RECURSO S.A., con NIF A95554630 (en adelante, el reclamado). Los motivos en que basa la reclamación son: “El pasado 20 de noviembre recibí en mi cuenta de correo electrónico personal una factura de la empresa CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U. No soy cliente de dicha empresa, por lo que la factura no corresponde a una propiedad mía. Llamé al número de atención al cliente a fin de pedir explicaciones. Era evidente que era un error, pero la cuestión es más grave: ¿por qué tenían mi correo electrónico si no soy cliente de dicha empresa? Después de unos minutos realizando consultas, el operario me dice que no puede hacer nada, que me dirija a una oficina de atención al público. Le digo que no tengo obligación de realizar dicha gestión, que es error suyo. No me dan respuesta. Por tanto, les ruego que realicen las gestiones correspondientes para que dicha entidad borre mi correo electrónico”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/00234/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: El reclamado, con fecha 20 de marzo de 2020, manifiesta: “que tras analizar la reclamación interpuesta por el reclamante, en la que básicamente alega que, ha recibido en su cuenta de correo electrónico una factura de CURENERGÍA no siendo cliente de dicha empresa, hemos podido averiguar que dicha dirección de correo electrónico fue facilitada por una persona que presuntamente fue su inquilino y a nombre del cual estuvo de alta el contrato de suministro desde 2009 a 2016, por lo que si dicha persona como titular del contrato, aportó una dirección de correo electrónico como propia, es algo que IBERCLI no puede cuestionar, debiendo dar la misma por buena. Cuando dicho cliente se cambia de domicilio y da de alta un nuevo contrato para otro punto de suministro, el correo electrónico que facilitó en su día, quedó vinculado a este cliente, procediendo el mismo a activar la factura electrónica a finales de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Éste es el motivo por el que el reclamante ha recibido un aviso, que como se ha dicho anteriormente, fue el que proporcionó el titular del contrato como si fuera suyo propio. Que toda vez que CURENERGÍA ha advertido esta situación, ha procedido a la eliminación de dicho correo electrónico a la mayor brevedad, corrigiendo inmediatamente dicha situación y ejecutando en su totalidad el derecho de supresión solicitado por el reclamante”. CUARTO: Con fecha 23 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de coC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 nocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 17 del RGPD, regula el derecho de supresión estableciendo que: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones.” IV En el presente caso, se presenta reclamación por una presunta vulneración del artículo 17 del RGPD que garantiza el derecho de supresión de los datos personales sin dilación indebida por parte del responsable del tratamiento, cuando los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o bien cuando se retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 En concreto se denuncia que el reclamante recibe en su correo electrónico personal una factura del reclamado. Señala que no es cliente de dicha empresa, por lo que la factura no corresponde a una propiedad suya. El reclamado manifiesta que el correo donde recibe la factura lo dio como propio su inquilino desde 2009 a 2016: El inquilino se dio de alta en otro punto de suministro y cuando se automatiza el aviso de que ya está la factura es cuando le avisó en el correo ligado al inquilino. Pues bien, una vez tuvo conocimiento de los hechos el reclamado, procedió a solucionar el problema, por lo que procede el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución al reclamante y reclamado. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es