E-08199-2020

1/5  Procedimiento Nº: E/08199/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La Comisión Nacional de los Mercados y la Competencia (en adelante, CNMC) con fecha 22 de mayo de 2020 pone en conocimiento de la Agencia Española de Protección de Datos las reclamaciones presentadas por varios consumidores, contra Inserimos Energía, S.L, con NIF B27779818 (en adelante, la reclamada), en relación con contrataciones fraudulentas realizadas por la reclamada. Documentación relevante aportada por la CNMC: - Copia de las reclamaciones presentadas por ocho consumidores ante la reclamada. - Copia de la reclamación presentada por la empresa comercializadora EDP Energía, S.A.U ante la reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/05573/2020, se dio traslado de dicha reclamación a la reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Al trasladar la reclamación a la reclamada, presentó escrito indicando que, en relación con el traslado de la reclamación y solicitud de información, no procede ya que se encuentran inhabilitados desde el mes de octubre del

1. - Adjuntan copia de la publicación en Boletín Oficial del Estado con fecha de 26 de septiembre de 2019 de inhabilitación para el ejercicio de la actividad de comercialización a la reclamada y se determina el traspaso de sus clientes a un comercializador de referencia. Con fecha de 24 de agosto de 2020, se recibe en esta Agencia nuevo escrito remitido por la reclamada solicitando que le sean remitidas las reclamaciones efectuadas con objeto de poder proceder a un análisis pormenorizado de estas y poder proceder a dar respuesta al traslado con la información requerida, así como las decisiones adoptadas en base a ello. Remitida a la reclamada las reclamaciones para que procediera a su análisis, y con objeto de determinar la licitud del tratamiento, se requiere a la reclamada que presente las grabaciones de las contrataciones y contratos firmados por los consumidores. No se recibe la documentación solicitada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 TERCERO: Con fecha 27 de agosto de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha de 20 de enero de 2021 se recibe en esta Agencia los siguientes documentos: Para uno de los afectados: - Solicitud de cita para información y/o contratación de los productos de la reclamada en el que el consumidor acepta el tratamiento de sus datos personales para esta finalidad. Documento firmado por el denunciante. - Contrato firmado en el que figura la reclamada como parte y en el que consta marcada la casilla “Cambio de comercializador”. Documento firmado por el denunciante con fecha de 3 de junio de
2. Para otro de los afectados - Grabación realizada por del departamento de calidad de la reclamada. Esta grabación sigue el procedimiento habitual de confirmación de todos los aspectos de la contratación mediante preguntas y respuestas monosilábicas con un “Si”. Al inicio de la grabación se recaba el consentimiento del denunciante para la contratación telefónica del servicio. En ningún momento se aprecia que la reclamada se haga pasar por otra compañía, siendo todas las referencias a la entidad contratada a lo largo de la grabación como la reclamada. - Certificado por tercero de confianza de SMS con fecha de entrega de 8 de julio de 2019 en el que consta que el consumidor acepta la oferta mediante respuesta afirmativa mediante SMS. Se comprueba que en el contenido del mismo figura “[…] distribuidora regional actual no cambia. confirmamos solicitud portabilidad contrato suministro eléctrico mediante oferta Inserimos Energía SL.”., Para el resto de los afectados - En todas las grabaciones confirman con el afectado sus datos personales y condiciones de contratación identificándose como la reclamada y no habiendo constancia en estas grabaciones de que se hagan pasar por la compañía con la que los afectados tenían contratados los servicios con anterioridad (objeto de las reclamaciones ante la CNMC en las que esta Agencia no tiene competencia). Se comprueba en el Registro Mercantil Central que con fecha de 28 de octubre de 2020 la reclamada se encuentra en situación concursal. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “
3. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV En el presente caso, la CNMC pone en conocimiento de la Agencia Española de Protección de Datos las reclamaciones presentadas por varios consumidores, en relación con contrataciones fraudulentas realizadas por la reclamada, por una presunta vulneración del artículo 6 del RGPD en relación con la licitud del tratamiento de sus datos personales porque se han utilizado sus datos personales sin su consentimiento para la contratación de suministros. De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación de la reclamada para ejercer la potestad sancionadora. Pues bien, en todas las grabaciones confirman con el afectado sus datos personales y condiciones de contratación identificándose como la reclamada y no habiendo constancia en estas grabaciones de que se hagan pasar por la compañía con la que los afectados tenían contratados los servicios con anterioridad (objeto de las reclamaciones ante la CNMC en las que esta Agencia no tiene competencia). Por lo tanto, el tratamiento de los datos se realizó, de acuerdo con las grabaciones aportadas, con una causa legitimadora de los mismos, la ejecución de la relación contractual para la contratación con la reclamada. Todas estas actuaciones indican el cumplimiento de una diligencia razonable por parte de la reclamada. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en dicha normativa. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la CMC y a la reclamada. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es