PS-00028-2024

1/36  Expediente N.º: EXP202305278 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EDP SOLAR ESPAÑA, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202305278 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR...................................1 HECHOS....................................................................................................................... 1 PRIMERO: Contenido de la reclamación y documentación que adjunta el reclamante ................................................................................................................................... 1 SEGUNDO: Traslado de la reclamación.....................................................................5 TERCERO: Admisión a trámite.................................................................................19 CUARTO: Actuaciones previas de investigación......................................................19 QUINTO: Consulta datos de la empresa EDP SOLAR ESPAÑA, S.A......................21 FUNDAMENTOS DE DERECHO.................................................................................21 I Competencia.......................................................................................................21 II Obligación incumplida........................................................................................21 III Tipificación de la conducta infractora................................................................27 IV Propuesta de sanción.......................................................................................28 V Adopción de medidas........................................................................................31 SE ACUERDA:............................................................................................................. 32 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/36 De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Contenido de la reclamación y documentación que adjunta el reclamante A.A.A. (en adelante, A.A.A.) con fecha 3/03/2023, interpuso reclamación ante la Agencia Española de Protección de Datos. Los motivos en que se basa son los siguientes: El 22/02/2023, recibió un correo electrónico del dominio @ECODES.org, en el que se le anexaban a él y “al menos 99 personas diferentes, incluido yo” … un archivo adjunto en formato PDF que contenía, entre otros, los siguientes datos personales: -“nombre, apellidos, DNI, número de teléfono móvil, dirección de correo electrónico, dirección postal, localidad, código postal; de al menos 99 personas diferentes, incluido yo mismo.” Aporta: - en DOCUMENTO 1, copia de un correo electrónico recibido el 22/02/2023, en “***EMAIL.1@gmail.com” con el título: “notificación comercializadora-Pabellón siglo XXI”, “Cco”, solo la dirección del reclamante, “como participante en Actur Barrio Solar”. El literal informa sobre la conexión de las instalaciones fotovoltaicas, autoconsumo de energía solar, y : “Como parte del proceso, el viernes pasado, la empresa distribuidora ha dado aviso a todas las comercializadoras de los participantes de Barrio Solar de que tienen que habilitar el autoconsumo en sus contratos domésticos. Por eso es probable que hayáis recibido alguna comunicación de vuestra comercializadora de luz, ya sea por teléfono o correo electrónico, pidiéndoos una serie de información sobre la instalación de autoconsumo a la que estáis inscritos. La documentación que tenéis que enviarles cada uno de vosotros y que os adjuntamos en este correo electrónico es la siguiente: -Contrato de Coeficientes de Reparto (PDF) -Archivo TXT (bloc de notas “ (se ven los dos documentos ANEXOS en el correo electrónico, uno en formato .txt, el otro con una numeración seguida del nombre: “(...)_Listado poderes.pdf”, aunque el reclamante no los aporta en abierto para ver su contenido, por tanto, estos no se visualizan). En la parte inferior del correo figura el logo de EDP SOLAR. Aporta también el reclamante como parte del DOC 1: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/36 -un correo electrónico enviado por el reclamante a ECODES.org, del mismo 22/02/2023, 19:16. en el que le inquiere, porque ha mandado “todos los datos personales de las personas participantes del proyecto Barrio Solar, en el anexo del correo electrónico, no solo los míos”. -un correo electrónico de ECODES.org al reclamante, de 23/02/2023, 9:52, del literal: “Los documentos que os hemos enviado y los contenidos de los mismos son los que exige el proceso de activación del autoconsumo colectivo de una instalación fotovoltaica comunitaria. El documento de reparto sigue un modelo regulado y debe incluir los datos de los participantes y la firma. En este caso, EDP actúa en representación de los participantes, y en estos casos se exige que junto al documento de reparto se incluya la aceptación de esta representación de todos ellos, documento que nos ha remitido EDP para su anexión.” -otro correo electrónico del reclamante a ECODES.org, de 24/02/2023 a las 18;37, solicitando se le informe del responsable del tratamiento de sus datos. -correo electrónico de ECODES.org al reclamante, de 27/02/2023, con copia a dpd@edpenergia.es, en el que, en respuesta a su solicitud, le informa que “el responsable del tratamiento en el proyecto Actur Barrio Solar que es a quien debe dirigir su solicitud es EDP SOLAR ESPAÑA SA”, (en lo sucesivo EDP) indicando su dirección y los datos de contacto de su DPD. Añadiendo que “el encargado de tratamiento es Fundación Ecología y Desarrollo, ECODES”, junto a sus datos de contacto del DPD. -correo electrónico del reclamante de 28/02/2023 a EDP, indicando que desde la dirección de ECODES, se le envió un correo electrónico en el que “a todos los destinatarios se les remitía un fichero en el que se pueden leer siguientes datos personales: nombre, apellidos, DNI, número de teléfono móvil, dirección de correo electrónico, dirección postal, localidad, código postal”, y ejerce su derecho de acceso. -en el archivo adjunto de la reclamación (…), copia de correo electrónico de EDP al reclamante, de 2/03/2023: que da respuesta a la solicitud del reclamante, indicándose entre otros: “EDP está tratando datos personales referentes a su persona, que fueron facilitados originariamente por ECODES, a quién manifestó su interés para formar parte del proyecto Barrio Solar y que, posteriormente, fueron completados por usted para la formalización del contrato de participación en el mismo. Los datos objeto de tratamiento son los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/36 Datos identificativos: Nombre y Apellidos, Dirección, CIF, Datos de contacto: Teléfono, Correo Datos del punto de suministro: Dirección, Número, Piso, Escalera, Letra, Código Postal, Población, Municipio, País, CUPS Datos del Producto contratado: Número de cuotas de participación, Forma de Pago, Datos de Facturación: IBAN Documentos compartidos: Factura y DNI. Sus datos son tratados con la finalidad de gestionar, mantener, desarrollar, cumplimentar y controlar la contratación y funcionamiento del servicio “Barrio Solar”, así como para proporcionarles servicios complementarios relacionados con instalaciones solares, servicios complementarios de revisión, asistencia técnica o mantenimiento. Adicionalmente, conforme a lo específicamente solicitado, se exponen a continuación los concretos tratamientos de datos realizados en el marco de la contratación realizada por su parte en el marco del proyecto “Barrio Solar”: El proceso la participación de los consumidores en el autoconsumo colectivo se establece en el Real Decreto 244/2019, de 5/04, por el que se regulan las condiciones administrativas, técnicas y económicas del autoconsumo de energía eléctrica, para cuya concreción se publicó la Guía “IDAE 021: Guía Profesional de Tramitación del Autoconsumo” del Instituto para la Diversificación y Ahorro de la Energía, dependiente del Ministerio para la Transición Ecológica. En cumplimiento de las obligaciones recogidas en esta normativa y siguiendo las indicaciones de la Guía, se procedió, como conoce, a: -la firma de un mandato a favor de EDP para poder llevar a cabo los trámites correspondientes ante las empresas distribuidoras y comercializadoras eléctricas, así como - la gestión de la aceptación por todos los consumidores interesados del correspondiente acuerdo en el que se recogen los criterios de reparto del autoconsumo Tanto por usted como por el resto de los consumidores firmaron el mandato mediante un sistema de firma electrónica provisto por un prestador de servicios de confianza cualificado, cuyo funcionamiento se regula en el reglamento e-IDAS: Reglamento (UE) n ° 910/2014 del Parlamento Europeo y del Consejo, de 23/07/2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior. Este sistema, generó un justificante electrónico de las firmas efectuadas. Posteriormente, se procedió, por parte del mandatario de EDP, a la firma del acuerdo de reparto general en nombre de todos los consumidores que le habían apoderado al efecto, entre los que se encuentra usted. Para que dicho acuerdo sea válido, es necesario que en el mismo consten los mandatos firmados por los consumidores. En este caso, como el apoderamiento se hizo por medios digitales, en lugar de una firma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/36 física se aporta el justificante de la firma digital, que contiene la información a la que usted hace referencia en su consulta, de ahí que consten en el acuerdo. Finalmente, el acuerdo se puso a disposición de todos los consumidores participantes, para que tengan constancia del acuerdo suscrito en su nombre, como parte del mismo. Al tratarse de un contrato digital, el mismo ha de entregarse con su contenido íntegro, puesto que cualquier alteración implicaría que la copia digital entregada se detectase como manipulada, por lo que no serviría para justificar el acuerdo suscrito. Por lo tanto, como se ha expuesto, el intercambio de información realizado se ajusta a las exigencias normativas para la creación de la comunidad de autoconsumo energético. No obstante, le indicamos que, ante su petición, se ha procedió a tramitar una cuestión ante la Agencia Española de Protección de Datos para que aclare todos los puntos del proceso regulados en la norma e interpretados en la guía del IDAE. Complementariamente a lo previamente informado, le indicamos que, durante la vigencia del contrato, sus datos podrán ser comunicados a las siguientes entidades: La empresa distribuidora correspondiente, produciéndose con la misma un intercambio de información permanente para la adecuada prestación del servicio. Organismos y Administraciones Públicas que por ley corresponda. Bancos y entidades financieras para el cobro de los servicios prestados. Otras empresas del grupo empresarial, únicamente para fines administrativos internos y la gestión de los productos y servicios contratados”. SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 27/04/2023, se dio traslado de dicha reclamación a FUNDACIÓN ECOLOGÍA Y DESARROLLO, ECODES, y a EDP SOLAR ESPAÑA SA para que procediesen remitir a esta Agencia la siguiente información, con el fin de conocer las circunstancias del caso concreto y admitir o no a trámite la reclamación: 1. DESCRIPCIÓN DETALLADA Y CRONOLÓGICA DE LOS HECHOS OCURRIDOS. 1.1 Con fecha 24/05/2023, se recibe respuesta de FUNDACIÓN ECOLOGÍA Y DESARROLLO, ECODES (ECODES en lo sucesivo) que comienza indicando que es una organización independiente sin ánimo de lucro que desde 1992 trabaja por el desarrollo sostenible y respetuoso con el medio ambiente. El proyecto “Barrio Solar” es una iniciativa de autoconsumo colectivo pionera, donde 100 vecinos pueden aprovechar la energía solar generada en la cubierta de un edificio municipal de su zona, mediante el abono de una cuota mensual y sin necesidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/36 instalar nada en sus viviendas. Es lo que técnicamente se denomina un proyecto de autoconsumo colectivo de energía solar. Para ponerlo en marcha se firmó un Convenio entre EDP ENERGÍA SAU, una empresa española perteneciente al grupo EDP España, dedicada a la producción de energía eléctrica, el Ayuntamiento de Zaragoza y ECODES. Este Convenio contiene un anexo relativo al tratamiento de datos personales en el que se establece que EDP es el responsable del tratamiento de los datos y ECODES es el encargado de tratamiento. Manifiesta que se dispuso un formulario de contacto en su web, para que los interesados en formar parte de dicho proyecto introdujeran su correo electrónico y/o su teléfono. Los datos contenidos en este formulario llegan a una única cuenta de correo de ECODES.org, administrada por ECODES, cuenta a la que solo acceden dos personas de ECODES, siendo su finalidad, elaborar el listado de participantes y potenciales reservas de interesados en el proyecto. “En el caso de que el solicitante de información a través del correo mencionado quiera finalmente participar en la iniciativa, ECODES cede los datos de contacto, el correo electrónico y teléfono a EDP, empresa encargada del proyecto, quién contacta con ellos e inicia el proceso de formalización del contrato de participación para lo que se” (se corta). Y sigue: “Para la formalización de la participación los interesados acaban proporcionando directamente a EDP sus datos personales, bien vía web, bien telefónicamente (incluyendo domicilio, CUPS y número de cuenta entre otros).” En un punto del proceso, EDP solicita a ECODES que, siguiendo el proceso establecido en el citado Real Decreto 244/2019 de 5/04, por el que se regulan las condiciones administrativas, técnicas y económicas del autoconsumo colectivo de energía eléctrica, reenvíe un correo electrónico a los 100 participantes. ECODES lo hace, siguiendo las directrices recibidas de EDP. Envía un correo electrónico con copia oculta a todos los participantes. Adjunta en formato Excel, el contenido del relato sucedido con el reclamante y las comunicaciones recibidas y emitidas, con la fecha de realización de las acciones llevadas a cabo. 1.2 Con fecha 26/05/2023, se recibe respuesta de EDP en lo sucesivo, que indica que en el marco de la creación de una “comunidad” de consumidores asociados para el autoconsumo colectivo de energía, al amparo de la regulación contenida en Real Decreto 244/2019, de 5/04, se procedió a la creación de dicha comunidad, aglutinando, a tal efecto, a los consumidores interesados en participar en la misma, ascendiendo a un total de 99 consumidores, inclusive el ahora reclamante. “Para llevar a cabo, de conformidad con la normativa vigente, la tramitación del alta de la comunidad ante las empresas distribuidoras y comercializadoras de energía se procedió: a: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/36 -la firma de un mandato a favor de EDP para poder llevar a cabo los trámites correspondientes ante las empresas distribuidoras y comercializadoras eléctricas, atendiendo a la habilitación expresa prevista en el Anexo del Real Decreto anteriormente referido para poder realizar el proceso, así como, -la gestión de la firma por todos los participantes del correspondiente acuerdo en el que se recogen los criterios de reparto del autoconsumo, de conformidad con lo dispuesto en el artículo 4.3 de la citada norma, así como. Este proceso se realizó de forma digital, remitiendo a los consumidores implicados una copia del acuerdo a través del sistema de firma electrónica facilitado por EDP a estos efectos, para que, una vez validado, manifestasen su conformidad, respondiendo afirmativamente a su participación en la comunidad en los términos comunicados. Adicionalmente, se remite un contrato de mandato para que apoderen a EDP para que ésta firme en su nombre el acuerdo de reparto y realice las gestiones necesarias para la finalización de la contratación ante las empresas distribuidoras y comercializadoras de energía. De este modo, el sistema electrónico empleado para llevar a cabo el proceso de aceptación electrónica del mandato permite a los usuarios comunicar su aceptación, garantizando que ha sido efectivamente manifestada por el usuario, que previamente ha sido identificado por parte de EDP como consumidor participante de la comunidad de autoconsumo, el momento exacto en el que se realiza el proceso de aceptación, así como la integridad del documento efectivamente firmado.” Informa EDP que para el proceso de aceptación electrónica del mandato cuentan con “un proveedor de servicios de tercero de confianza en el ámbito de los Sellos de tiempo cualificados, de conformidad con la legislación nacional aplicable en España en referencia al Reglamento eIDAS (Reglamento (UE) n ° 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE y que el proceso implica el tratamiento de los datos de contacto referido para generar las evidencias correspondientes, de conformidad con lo establecido en el artículo 3 del Reglamento eIDAS, y en relación a lo dispuesto en el artículo 42 del mismo texto legal, a fin de poder acreditar la información oportuna para dar cumplimiento al servicio de sellado de tiempo cualificado y permitir generar una evidencia de la aceptación de los acuerdos y mandatos conforme al citado Reglamento eIDAS. Es decir, los datos de contacto son los que, en última instancia, vinculan al participante con la aceptación de los términos del contrato y el mandato, siendo imprescindibles para poder comprobar este hecho, así como para justificar que la copia le ha sido debidamente entregada, tal como exige la normativa en materia de consumo (se adjunta como documento nº1 Informe sobre la contratación vía SMS y correo electrónico en el servicio del proveedor). Una vez finalizada la gestión de las firmas individuales de los mandatos, se genera el acuerdo de reparto general aceptado por los consumidores participantes con todos los CUPS y porcentaje de participación de cada consumidor de la comunidad (para lo que se adjuntan todos los mandatos de representación de los participantes) y se firma por el mandatario de EDP para su remisión a las entidades distribuidoras y comercializadoras correspondientes y se pone a disposición de todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/36 consumidores participantes de la comunidad, para que tengan constancia del acuerdo suscrito en su nombre. Concretamente, dichos documentos han sido elaborados con el contenido dispuesto en la Guía “IDAE 021: Guía Profesional de Tramitación del Autoconsumo” del Instituto para la Diversificación y Ahorro de la Energía, dependiente del Ministerio para la Transición Ecológica, en concreto el modelo 5. Al dar cumplimiento a estos últimos trámites, en el documento final puesto a disposición de los consumidores participantes se puede incluir alguna información de contacto de estos, derivada del medio empleado para la firma de los mandatos, por cuanto que, como se ha indicado, la firma de estos documentos se realiza por medios electrónicos cuya evidencia digital incluye esta información. Dado que EDP actúa como mandatario de los consumidores, y no en nombre propio, ha de poner a disposición de estos el contenido del acuerdo, por ser cada uno de ellos parte en el mismo. Del mismo modo, puesto que el acuerdo se firma digitalmente, cualquier manipulación o modificación de su contenido (para eliminar información personal de la firma) implicaría que la copia entregada no sirviese al consumidor como evidencia integra del contenido del contrato, por cuanto no cumpliría con el requisito de integridad al haber sido, efectivamente, modificado”. Como respuesta especifica a la cronología y descripción de los hechos, EDP manifestó que el reclamante suscribió el 5/07/2021 un CONTRATO DE SERVICIOS DE AUTOCONSUMO COLECTIVO Y EFICIENCIA ENERGÉTICA CON EDP, aporta DOCUMENTO 2. En la misma fecha, el reclamante otorgó poder especial a EDP para que efectuase, en su nombre y representación, determinados actos en el marco de la contratación del Proyecto “Barrio Solar”, aporta DOCUMENTO 3 Del DOCUMENTO 2, destaca entre otros:  Englobado por un primer documento que es la “confirmación del contrato EDP” en el que interviene el tercero prestador de servicios de confianza, documento electrónico. Figura como envió para la aceptación por SMS el, CONTRATO SOLAR EDP, figurando entre los datos del envío, el número de teléfono móvil y el correo electrónico del reclamante que coincide con el que el aporta en su reclamación donde se envió el fichero adjunto objeto de la reclamación. También se contiene su nombre y apellidos completo, documento generado el 5/07/2021. En el apartado “seguimiento de la solicitud”, se visiona la cronología de la confirmación del contrato con mensajes SMS, figurando el primer envío el 2/07/2021, “Contrato Solar EDP: (...)”, para que “respondiera con un SI a este mensaje para confirmar contratación” con confirmación de 5/07/2021.  Le sigue el documento: “CONTRATO DE SERVICIOS CON EDP” que es una hoja “que contiene quizás precumplimentado con letra de ordenador, nombre y apellidos, la dirección del cliente, el NIF, el número de teléfono, la dirección del punto de suministro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/36 y el CUP electricidad y los datos IBAN para cargo en cuenta”. Le sigue el apartado: “condiciones específicas del contrato”. -Una segunda hoja que no contiene logo alguno, ni firma, que (carece de numero de página también) contiene, la siguiente información sobre los datos personales: “Los datos personales serán tratados por EDP Solar España SA en calidad de responsable del tratamiento para el mantenimiento, desarrollo, cumplimiento y gestión del relación contractual, prevención del fraude, realización de perfiles basados en información facilitada por el cliente y/o derivada de la prestación del servicio por parte de EDP, así como envío de comunicaciones comerciales como las relativas a productos y servicios relacionados con instalaciones solares y el consumo de energía y que podrán ser personalizadas en base a su perfil del cliente, y según se informa en las condiciones generales, pudiendo oponerse en cualquier momento al envío de comunicaciones comerciales. Así mismo este contrato mantendrá la finalidad de que el cliente reciba información y pueda participar en las actividades asociadas al Barrio Solar: talleres y realización de encuestas en relación con la participación en dicho proyecto, seguimiento de los consumos de energía y envío de consejos sobre consumos de electricidad y aprovechamiento de la energía solar producida.  Le sigue el clausulado informativo de las “condiciones generales del servicio EDP Barrio Solar”, con las siguientes características: Consta un apartado 8: “Protección de Datos de carácter personal”, del que destaca: 8.1 Finalidades, para la formalización del contrato 8.2 categorías de datos personales, 8.3 Comunicaciones y destinatarios de los datos 8.4 derechos. -Relata el detalle cronológico indicando que en la citada fecha el reclamante otorgó poder a favor de EDP para que efectuase en su nombre y representación determinados actos en el marco de la contratación del proyecto. Aportan copia de documento 3 “poder de representación y confirmación de firma”, que es un documento de tercero de confianza en el que figura mensaje SMS, de “poder representación EDP SOLAR”, enviado por SMS al teléfono destinatario del reclamante, para que responda con un Si al SMS para confirmar, figurando detalles en otra dirección, enviado el 5/07/2021, y con respuesta del mismo día (si). Se acompaña otro documento titulado “poder de representación”, de 3/07/2021, en el que se comprende: 1. Todas las gestiones necesarias para la inscripción, modificación y/o baja de la instalación solar en la que participa el Cliente (en adelante la Instalación) en los Registros Administrativos de Autoconsumo y, en su caso, de Instalaciones de Producción de Energía Eléctrica. 2. Firma, en nombre del Cliente, del Acuerdo de Reparto de la energía generada por la Instalación, previa determinación del coeficiente que corresponde al Cliente en función C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/36 de la capacidad de la Instalación, del número de consumidores asociados que la compartan y de lo que se haya acordado en el contrato firmado entre el Cliente y EDP. 3. Firma, en nombre del Cliente, de las modificaciones del Acuerdo de Reparto que sean precisas. 4. Realización de las comunicaciones que resulten necesarias en relación con el Acuerdo de Reparto a la empresa distribuidora y a la comercializadora con la que el Cliente tenga contratado el suministro. 5. Cualquier otra comunicación con la distribuidora, la comercializadora, las Comunidades Autónomas o cualquier organismo competente que resulte necesaria para tramitar o confirmar el alta, modificación o baja del autoconsumo por parte del Cliente, así como cualquier comunicación en relación con el Acuerdo de Reparto. En particular, EDP SOLAR ESPAÑA, S.A. queda habilitada para solicitar a la distribuidora y/o a la comercializadora del Cliente confirmación de la fecha en la que se haya activado el autoconsumo al Cliente, así como la de su eventual baja o modificaciones, así como para conocer en cada momento el estado de tramitación de los procesos asociados al autoconsumo por parte de dichas empresas.” Declara EDP que dichos documentos han sido elaborados con el contenido dispuesto en la Guía IDAE 021, “Guía Profesional de Tramitación del Autoconsumo” del INSTITUTO PARA LA DIVERSIFICACIÓN Y AHORRO DE LA ENERGÍA, dependiente del Ministerio para la Transición Ecológica, en concreto el modelo 5. -Pasa a relatar a continuación que con fecha 27/02/2023, recibió escrito del reclamante, que figura en el anexo 1 de la reclamación de este. Con fecha 28/02/2023 se recibió ejercicio del derecho de acceso del reclamante que fue atendido el 2/03/2023, figurando también en el ANEXO 1 del reclamante. También aporta documento 5, en el que según EDP titula “correo electrónico enviado por el reclamante a EDP el 3/03/2023”, con el literal: “adjunto envío mail en el que indicaba expresamente en el momento de la contratación que no consentía el tratamiento de mis datos personales a otras empresas o terceros que no fuesen los estrictamente necesarios para la relación contractual Me reitero en mi solicitud y le ruego que limite el tratamiento y cesión de mis datos personales a los fines estrictamente necesarios para la relación contractual” Según manifiesta EDP, se trata de que ”El ahora Reclamante traslada contestación a EDP SOLAR dando por buenas las explicaciones facilitadas en relación con el tratamiento de sus datos en el correo electrónico de 2/03/2023, así como, reiterando que sus datos se traten estrictamente para aquellas finalidades necesarias para cumplir con la relación contractual.“ -Manifiesta EDP que el 28/02/2023, a raíz del correo electrónico recibido, EDP presentó consulta a la AEPD a fin de aclarar si compartir determinados datos personales con el resto de miembros de la comunidad para dar cumplimiento íntegro al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/36 proceso regulado en el Real Decreto 244/2019, de 5/04, por el que se regulan las condiciones administrativas, técnicas y económicas del autoconsumo de energía eléctrica y la Guía IDAE 021: Guía Profesional de Tramitación del Autoconsumo, podría tener un impacto negativo para los interesados desde el prisma de la privacidad y protección de sus datos personales. Se aporta copia de la Consulta planteada a la AEPD como documento nº4. En esta consulta que aporta, existe un probable error en la fecha del escrito, que indica 27/02/2022. Se destaca de la consulta, entre otros puntos necesarios para relacionar la consulta y sus términos, con la eventual respuesta, lo siguiente que se expone, según el orden dado en la consulta:  En el marco de la creación de una comunidad de consumidores asociados para el autoconsumo colectivo de energía, se procedió a la creación de la misma, siendo 99 consumidores interesados participantes, citando el RD 244/2019 de 5/04.  Todos los participantes firmaron un mandato a favor de EDP para llevar a cabo los trámites correspondientes ante las empresas distribuidoras y comercializadoras eléctricas, atendiendo a la habilitación expresa prevista en el Anexo del Real Decreto anteriormente referido para poder realizar el proceso (no menciona a cuál de los anexos se refiere) precisando que “se incluye modelo de contrato y modelo de poder de representación “, desconociendo exactamente que documentos fueron enviados.  Manifiesta que, “adicionalmente se remite un contrato de mandato para que apoderen a EDP para que esta firme en su nombre el acuerdo de reparto y realice las gestiones necesarias para la finalización de la contratación ante las empresas distribuidoras y comercializadoras de energía.”  “una vez finalizada la gestión de las firmas individuales de los mandatos se genera el acuerdo de reparto general aceptado por los consumidores participantes con todos los CUPS y porcentaje de participación de cada consumidor de la comunidad (para lo que se adjuntan todos los mandatos de representación de los participantes) y se firma por el mandatario de EDP para su remisión a las entidades distribuidoras y comercializadoras correspondientes y se pone a disposición de todos los consumidores participantes de la comunidad para que tengan constancia del acuerdo suscrito en su nombre Concretamente dichos documentos han sido elaborados con el contenido dispuesto en la guía IDAE 021 guía profesional de tramitación del autoconsumo, modelo 5. Se accede a dicha guía y en los modelos de acuerdos sobre criterios de reparto se indica que en aplicación del RD 244/2019, de 5/04, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/36 siguientes consumidores acordamos asociarnos a la instalación de autoconsumo colectivo de energía eléctrica con las siguientes características, figurando un listado a completar con los datos del consumidor asociado-titular del suministro – en los que deben consignar NIF, CUPS, y coeficiente de reparto. Manifiesta la reclamada, que: “Al dar cumplimiento a estos últimos trámites se detectó que el documento final puesto a disposición de los consumidores participantes puede incluir alguna información de contacto de estos, derivada del medio empleado para la firma de los mandatos, por cuanto que como se ha indicado, la firma de estos documentos se realiza por medios electrónicos cuya evidencia digital incluye esta información (se adjunta modelo de confirmación de poder de representación). Ha de señalarse el punto 13 de la guía IDAE, requiere que este acuerdo sea firmado por todos debiendo ser remitido por cada consumidor a la compañía distribuidora, o bien directamente o a través de su comercializadora. Si para la realización del autoconsumo colectivo se hubiese optado por formar una Comunidad de energías renovables esta podría ejercer la representación de los consumidores asociados en todos estos trámites siempre que los consumidores asociados lo autoricen adecuadamente.” Dado que EDP debe actuar como mandatario de los consumidores, y no en nombre propio, ha de poner a disposición de estos el contenido del acuerdo, por ser cada uno de ellos parte en el mismo. Del mismo modo, puesto que el acuerdo se firma digitalmente, cualquier manipulación de su contenido para eliminar información personal de la firma implicaría que la copia entregada no sirviese al consumidor como evidencia integra del contenido del contrato, por cuanto no cumpliría con el requisito de integridad, al haber sido efectivamente modificada - se viene a plantear a la AEPD si considera que el procedimiento requerido por parte del Real Decreto 244/2019 y la guía del IDAE es un procedimiento que pueda ser conforme con la normativa de protección de datos personales, en tanto todos los miembros de la comunidad, firmantes de la documentación, podrán tener acceso a determinados datos personales de los otros consumidores, en tanto son todos ellos parte de un mismo contrato, atendiendo así al literal de lo requerido por el Real Decreto de referencia y en su caso la Guía del IDAE referenciada, todo ello tomando en consideración que hasta la fecha, no han sido constituidas este tipo de comunidades de consumidores en España, siendo la que se ha planteado a EDP de las primeras existentes a nivel nacional, así como que el plazo legal establecido para poder remitir a la comercializadora energética de los consumidores la documentación marcada por parte del Real Decreto es un plazo muy breve de tiempo, 10 días naturales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/36 Concretamente la principal preocupación que se plantea a EDP no es otra que, en caso de dar cumplimiento íntegro al literal requerido por parte del Real Decreto y en su caso por parte de la Guía del IDAE, conlleva necesariamente, que todos los miembros de la comunidad conozcan, determinados datos personales del resto de miembros de la comunidad, algo que si bien desde el punto de vista de la normativa energética parece razonable y justificado en Derecho, parece que podría tener un impacto negativo para los consumidores desde el prisma de la privacidad y protección de sus datos personales” Manifiesta EDP, que con fecha 14/03/2023, se recibió respuesta de la AEPD, indicando EDP que “en este sentido, referenciar que la AEPD no se opuso o no refiere que el proceso detallado y llevado a cabo por EDP fuese contrario a lo dispuesto en la normativa de protección de datos.” Aporta DOCUMENTO 6, en el que se ve la fecha de respuesta de 14/03/2023, y de la que conviene destacar entre otros aspectos:  En general repasa las bases de legitimación y remite a la norma sectorial, pudiendo existir la del 6.1.

1. c)del RGPD, y si fuese esta, no se precisaría el consentimiento de los afectados.  Añade el respeto de los principios del RGPD, resaltando el de minimización del artículo 5.1.
2. c)del RGPD y del principio de la responsabilidad proactiva. Finaliza indicando que “Esta respuesta constituye una actividad meramente informativa de la AEPD; no tiene efectos vinculantes, no modifica la situación jurídica del solicitante y no constituye un acto recurrible.” 1. ESPECIFICACIÓN DETALLADA DE LAS CAUSAS QUE HAN HECHO POSIBLE EL INCIDENTE.  ECODES manifestó que se ha seguido el procedimiento establecido en el RD 244/2019 de 5/04 y la guía de autoconsumo IDAE, en los que se establece el documento de reparto, con un formato preestablecido necesario para poder dar de alta y tramitar el autoconsumo colectivo. Manifiesta que los únicos datos personales tratados y, que no se mencionan expresamente en el citado Real Decreto, son el email y el teléfono; pero ha sido necesario recogerlos por parte de EDP para poder llevar a cabo la representación vía firma electrónica (procedimiento que sí estaba previsto en la documentación anteriormente referida).  EDP manifestó que en ningún caso los hechos detallados pueden considerarse como un incidente en materia de Protección de Datos, en base a que la compartición de determinados datos con el resto de los miembros de la comunidad se ajusta a las exigencias normativas en materia energética, así como en la normativa de Protección de Datos. Los datos personales del reclamante se trataron en el marco de la contratación que éste realizó en el proyecto denominado “Barrio Solar”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/36 “De acuerdo con las condiciones que establece el RD 244/2019 de 5/04 y la Guía IDAE, se procedió a la gestión de la aceptación por todos los consumidores interesados del correspondiente acuerdo en el que se recogen los criterios de reparto de autoconsumo, así como la firma de un mandato a favor de EDP para llevar a cabo los trámites ante las empresas distribuidoras y comercializadoras eléctricas”. Tanto el reclamante como el resto de los consumidores firmaron el mandato mediante un sistema de firma electrónica provisto por un prestador de servicios de confianza cualificado. Posteriormente, EDP como mandatario, procedió a la firma del acuerdo de reparto general en nombre de los consumidores que le habían apoderado a tal efecto. Para que dicho acuerdo resulte válido es necesario que en el mismo consten los mandatos firmados por los consumidores. En este caso, como el apoderamiento se realiza por medios digitales, en lugar de una firma física se aporta el justificante de la firma digital, que contiene información del resto de participantes, de ahí que consten en el acuerdo. Finalmente, el acuerdo se puso a disposición de todos los consumidores participantes, para que tengan constancia del acuerdo suscrito en su nombre, como parte del mismo. Al tratarse de un contrato digital, el mismo ha de entregarse con su contenido íntegro, puesto que cualquier alteración implicaría que la copia digital entregada se detectase como manipulada, por lo que no serviría para justificar el acuerdo suscrito. Por lo tanto, como se ha expuesto, el intercambio de información realizado se ajusta a las exigencias normativas para la creación de la comunidad de autoconsumo energético. Asimismo, y, de conformidad con la respuesta a la consultada planteada a la AEPD los puntos del proceso regulados en la norma e interpretados en la guía IDAE son plenamente compatibles con la normativa de protección de datos”. 1. NÚMERO DE PERSONAS AFECTADAS SEGURIDAD DE LOS DATOS PERSONALES. POR LA VIOLACIÓN DE LA  ECODES indica que “100 personas han visto comunicados sus datos personales a los otros 99 participantes en el proyecto”.  EDP manifestó que “no se ha producido un incidente o violación de seguridad que afecte los derechos y libertades de los interesados y, por ende, no existen personas afectadas. No obstante, lo anterior, y a efectos meramente informativos, debemos aclarar que el número total de consumidores participantes en el proyecto “Barrio Solar”, entre los que se incluye al ahora reclamante, asciende a 99 consumidores, si bien, el intercambio de determinados datos con el resto de los participantes es lícito y se ajusta a las exigencias de la normativa sectorial, así como a la normativa de protección de datos.” 4. CATEGORÍA DE LOS DATOS PERSONALES INVOLUCRADOS.  ECODES indica que “los datos revelados han sido de categoría general: nombre, apellidos, DNI, número de teléfono móvil, dirección de correo electrónico, dirección postal, localidad, CUPS y código postal”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/36  EDP manifestó que: “no se detectan datos personales involucrados, habida cuenta, que, como se ha puesto de manifiesto, el intercambio de datos personales se llevó a cabo en estricto cumplimiento del Real Decreto 244/2019, de 5/04, así como la Guía IDAE, por tanto, no podemos considerar que existan personas involucradas afectadas y, en consecuencia, categorías de datos personales involucrados ya que no se ha manifestado la existencia de un incidente de seguridad.” No obstante, indica que los únicos datos que se intercambiaron en el marco del proceso de firma por los participantes de la comunidad son: Copartícipes - Datos de Identificación, Datos de Contacto Personal, Condiciones Comerciales y Contractuales. 5. POSIBLES CONSECUENCIAS PARA LAS PERSONAS AFECTADA.  ECODES manifestó que las consecuencias, aunque con escasa probabilidad de ocurrencia, pueden ser las siguientes: Pérdida de control sobre sus datos personales, daños reputacionales y, en menor medida (por estar circunscrito a cien vecinos del barrio), ser víctima de campañas de phising/spamming.”  EDP manifestó que no se detectan consecuencias en personas afectadas, puesto que no se ha materializado ningún incidente de seguridad. “El intercambio de información se realizó en todo momento con una base de legitimación plenamente lícita y en cumplimiento de la normativa en materia energética que resulta de aplicación al Responsable del Tratamiento, máxime cuando dicho proceso fue puesto de manifiesto a la AEPD y esta no se opuso o planteó objeción al mismo.” 6. DESCRIPCIÓN DETALLADA DE LAS ACCIONES TOMADAS PARA SOLUCIONAR EL INCIDENTE Y MINIMIZAR SU IMPACTO SOBRE LAS PERSONAS AFECTADAS.  ECODES responde que “las acciones que se tomaron fueron las medidas previstas en la implantación del Sistema General de Protección de Datos, de manera previa a la reclamación; a saber: -contestación inmediata y diligente al afectado; -puesta en conocimiento del responsable del tratamiento de manera inmediata, al tener conocimiento de la situación, -traslado al afectado de su contestación, -seguimiento telefónico y vía e-mail en ambas direcciones (hacia el afectado y hacia el responsable del tratamiento). -Por parte del responsable del Tratamiento se presentó a fecha 02/03/2023 una cuestión ante la Agencia Española de Protección de Datos para que aclarase que todos los puntos del proceso regulados en la norma e interpretados en la guía del IDAE son plenamente compatibles con la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/36 -Propuesta de ECODES de mejorar el procedimiento consistente en que EDP, haciendo uso de su poder de representación, enviase directamente a las comercializadoras el documento de reparto. Dicha propuesta fue aceptada por Endesa e Iberdrola como procedimiento válido para sus clientes participantes, pero se desconoce si el resto de comercializadoras lo adoptarán, al no ser el procedimiento establecido por el RD 244/2019.”  EDP manifestó que “no ha existido un incidente de seguridad que requiera acciones que minimicen el impacto sobre las posibles personas afectadas, por parte de EDP SOLAR y, tal y como se ha indicado en la descripción cronológica de los hechos, en cumplimiento del principio de responsabilidad proactiva, y tras recibir los correos electrónicos del ahora reclamante planteó consulta previa a la AEPD con el fin de corroborar y verificar si, efectivamente, el proceso llevado a cabo conforme a la normativa en materia energética era acorde con la normativa de protección de datos”. También reitera EDP que “atendiendo a la respuesta facilitada por la AEPD, podemos interpretar que el proceso era lícito y se ajustaba a la normativa de protección de datos”, citando partes de la respuesta, sobre base de legitimación y principios de tratamiento. 7. MEDIDAS DE SEGURIDAD DE LOS TRATAMIENTOS DE DATOS PERSONALES ADOPTADAS CON ANTERIORIDAD AL INCIDENTE, ASÍ COMO LA DOCUMENTACIÓN ACREDITATIVA DEL ANÁLISIS DE RIESGOS QUE HA CONLLEVADO LA IMPLANTACIÓN DE DICHAS MEDIDAS DE SEGURIDAD Y, EN SU CASO, COPIA DE LAS EVALUACIONES DE IMPACTO DE LOS TRATAMIENTOS DONDE SE HA PRODUCIDO LA VIOLACIÓN DE SEGURIDAD DE LOS DATOS PERSONALES.  ECODES respondió que “Al inicio del proyecto, se identificó a ECODES en esta fase como Encargado del Tratamiento de los datos personales y se llevaron a cabo las medidas de seguridad pertinentes para garantizar la adecuación del tratamiento a la legalidad. Los únicos activos de ECODES implicados en este proyecto son una cuenta de e-mail creada ad hoc y un archivo de Excel operados únicamente por dos personas (compartido en Google Drive solo por ellos), siguiendo las directrices de seguridad de ECODES. El tratamiento de los datos personales que han originado la reclamación ha sido deliberado, siguiendo las directrices del Real Decreto 244/2019; a juicio de ECODES no ha existido ninguna brecha de seguridad, ya que en ningún momento ha habido una divulgación de datos no intencionada. El correo electrónico se envió con copia oculta a todos ellos. En lo que respecta a ECODES, se actuó diligentemente”.  EDP manifestó que adoptó medidas de seguridad, enunciando diversas como elaboración de un RAT, DOCUMENTO 7, que describen como “gestión del proceso de contratación de las ventas realizadas de instalaciones y servicios de EDP Solar”, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/36 la finalidad “gestión de la contratación de las instalaciones y servicios de EDP Solar”, y con base licitud de tratamiento “ejecución del contrato”. En “comunicaciones de datos, figura entre otras, “entidades comercializadoras y distribuidoras eléctricas”, y “copartícipes-ejecución del contrato-“ y análisis de riesgos en DOCUMENTO 8, indicando que “Conforme al nivel de riesgo detectado se determinan las medidas de seguridad mínimas aplicables”, entre las que cabe citar: -la relacionada con el personal con acceso a datos, la suscripción de compromiso escrito de confidencialidad, conocimiento de reglas y procedimientos que deben ser adoptadas, disponen de procedimiento de control de acceso a los datos, de copias de respaldo, de archivo de soportes y dispositivos para su almacenamiento, inventario y control de entrada y salida de documentos y soportes, definición e implantación de un procedimiento de anonimización de los datos personales en los casos que sea técnicamente posible. El documento 8 de “análisis de riesgos del tratamiento”, aportado, es una tabla Excel con dos columnas de las que se limita a responder No a todas las cuestiones, como: Tratamiento automatizado A gran escala de categorías especiales Observación sistemática a gran escala de una zona de acceso público Evaluación de perfiles Decisiones automatizadas Observación sistemática de los interesados Datos sensibles muy o muy personales Tratamiento de datos a gran escala Interconexión de datos big data Datos relativos a interesados vulnerables Uso de tecnologías innovadoras Tratamiento inevitable/restricción del ejercicio de derechos 8. Copia del Registro de Actividad de los tratamientos donde se ha producido el incidente.  ECODES adjunta el RAT de “Grupo de ficheros: Barrio Solar”, Descripción: “control de participantes y reservas del proyecto de autoconsumo solar comunitario Barrio Solar”. Finalidad y usos: Tramitar la inclusión de participantes/reservas en el proyecto de autoconsumo”. Legitimación: consentimiento del interesado Conservación: Se conservarán durante el tiempo estipulado para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad, tras la finalización del proyecto”. Origen de los datos: El propio interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/36 Destinatarios de cesiones de datos: EDP Responsable de seguridad, figurando una persona, Ejercicio de derecho, “Fundación Ecología y Desarrollo, y figura la dirección, teléfono”, mismos datos que el pie del correo electrónico remitido al reclamante. Campos de información: CIF/NIF, CUPS, consumo energético, nombre y apellidos, dirección postal electrónica, firma manual o digitalizada, teléfono. Después en ficheros, señala la existencia de dos: - ACTURBARRIOSOLAR@ECODES.ORG: descrito cuenta de correo electrónico dedicada a recibir las solicitudes de interesados en el proyecto Barrio Solar, “campos de información” : Nombre y apellidos, Dirección (postal/electrónica), Teléfono, figurando “supervisor” una persona física. “BARRIO SOLAR”: descrito como “contacto de participantes y reservas del proyecto “Barrio Solar”, “campos de información”: “consumo energético, pertenencia o no a Zaragoza vivienda, CUPS, CIF, NIF, firma manual o digitalizada, nombre y apellidos, dirección postal- electrónica teléfono”, figurando “supervisor” una persona física.  EDP manifestó que aporta copia del RAT en documento 7. 9. SI LA VIOLACIÓN DE SEGURIDAD HA SIDO COMUNICADA A LAS PERSONAS AFECTADAS, INDIQUE EL CANAL UTILIZADO, FECHA DE LA COMUNICACIÓN Y DETALLE DEL MENSAJE ENVIADO. EN CASO NEGATIVO, INDICAR LOS MOTIVOS  ECODES respondió que:” al no entender que haya habido una violación de seguridad, no se inició el proceso de comunicación a los interesados ni a la AEPD, según el procedimiento de Incidentes y brechas de seguridad establecido en el Sistema de Gestión de Protección de Datos. No obstante, tal y como se describe en la relación de hechos, se actuó con diligencia y proactividad al comunicárselo al responsable. “Sí que se envió un correo a todos los participantes advirtiendo de que no lo respondieran, que esperasen nuevas instrucciones”.  EDP manifestó que al no existir violación de seguridad que afecte a los interesados, no ha sido necesario realizar comunicación alguna. 10. INDIQUE SI LA VIOLACIÓN DE SEGURIDAD HA SIDO NOTIFICADA A ESTA AUTORIDAD DE CONTROL. En caso contrario, indique los motivos por los que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/36 violación de seguridad no ha sido notificada a esta Autoridad de Control antes del transcurso de 72 horas desde que se haya tenido constancia de ella. Puede obtener información sobre la gestión y notificación de brechas de seguridad en el siguiente enlace de la Agencia: https://www.aepd.es/sites/default/files/2019- 09/guia-brechasseguridad.pdf  ECODES indica que “No ha sido notificada, ya que no entendíamos que fuera una violación de seguridad, sino la comunicación de datos según el procedimiento necesario para la participación en el proyecto “Barrio Solar” de autoconsumo colectivo, establecidas por el Real Decreto 244/2019”  EDP manifestó que no se produjo brecha de seguridad y no ha sido necesario la notificación a la autoridad de control, “planteando en un ejercicio de transparencia con la AEPD y en cumplimiento del principio de responsabilidad proactiva, se efectuó consulta a la AEPD” en la que se detallaba de manera pormenorizada el proceso llevado a cabo en cumplimiento de la normativa en materia energética a fin de confirmar si éste resultaba acorde con la normativa de protección de datos. Reitera que la generación de un acuerdo de reparto general aceptado por todos los consumidores participantes en el que se detallan los CUPS y el porcentaje de participación de cada consumidor, estimando que EDP actuó como mandatario de los consumidores, no en nombre propio, “ha de poner a disposición de los consumidores participantes el contenido íntegro del acuerdo, si bien al cumplir con este trámite de puesta a disposición, se detectó que el documento final incluía cierta información de contacto del resto de consumidores”. Reitera que “el acuerdo se firma digitalmente, cualquier manipulación o modificación de su contenido (para eliminar información personal de la firma) implicaría que la copia entregada no sirviese al consumidor como evidencia integra del contenido del contrato, por tanto, no cumpliría con el requisito de integridad al haber sido modificado. Además, por parte de EDP se ha realizado una consulta al prestador de servicios de confianza cualificado respecto a si todos los datos incluidos en los justificantes de firma de los mandatos resultan imprescindibles, confirmando que los datos correspondientes al número de teléfono y el correo electrónico, son parte imprescindible para demostrar lo ocurrido en la comunicación e identificar al firmante”. 11. MEDIDAS QUE PIENSA ADOPTAR PARA QUE NO SE VUELVA A PRODUCIR UN INCIDENTE SIMILAR EN EL FUTURO.  ECODES indica que: “Por parte del Responsable del Tratamiento se presentó a fecha 02/03/2023 una cuestión ante la Agencia Española de Protección de Datos para que aclare que todos los puntos del proceso regulados en la norma e interpretados en la guía del IDAE son plenamente compatibles con la normativa de protección de datos. Se queda a la espera para comunicárselo a todos los participantes en el proyecto y modificar el procedimiento en futuras convocatorias.”  EDP manifestó que “con el fin de maximizar los estándares de cumplimiento en materia de privacidad, ha decidido que, a partir de ahora, la copia del acuerdo se enviará al resto de participantes sin incluir el justificante de firma de los mandatos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/36 evitando así que el teléfono y la dirección de correo electrónico pueda visualizarse por el resto de los participantes. No obstante, lo anterior y, en el caso de que uno o varios de los participantes soliciten la copia íntegra del acuerdo se deberán facilitar los justificantes de firma de los mandatos, si bien, y, en todo caso, dicho intercambio de información sería acorde con lo dispuesto en la normativa en materia energética, así como, con el criterio de la AEPD, máxime cuando en la respuesta a la consulta planteada no se manifiesta oposición o se refiere objeción en relación con la licitud en el proceso llevado a cabo.” 12. CUALQUIER OTRA QUE CONSIDERE RELEVANTE.  ECODES indicó que “se ha limitado a actuar según el mandato establecido en el pliego de condiciones del Real Decreto 244/2019, las directrices y formularios propuestos por IDAE y siguiendo las directrices del Responsable del Tratamiento, EDP.” TERCERO: Admisión a trámite Con fecha 3/06/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación AI/00239/2023, para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 15/11/2023, se solicita AL RECLAMANTE que aporte copia del documento que se le adjuntaba en el correo electrónico que motiva su reclamación, sobre el que se trasladó la reclamación a las dos entidades supra, denominado: “(...)_Listado poderes.pdf”, mencionado en la página 4 del documento adjunto “01_Mail.pdf” incluido en la entrada REGAGE(...). El envío fue entregado el mismo día y el mismo día remite a la AEPD respuesta, tratándose del: - El anexo contienen 319 páginas en pdf. En primer lugar. figura el “ACUERDO DE REPARTO DE ENERGÍA DE AUTOCONSUMO COLECTIVO INSTALACIONES CON EXCEDENTES NO ACOGIDAS A COMPENSACIÓN”, fechado el 3/10/2022. En él, se contiene la introducción, que señala: “En aplicación del Real decreto 244/2019 de 5/04, los siguientes consumidores acordamos asociarnos a la instalación de autoconsumo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/36 colectivo de energía eléctrica”, código de autoconsumo CAU: (...). Contiene un listado tipo excel con CINCO campos. El primero con una relación de 99 NIF, (CINCO de ellos son de personas jurídicas) el siguiente con los correspondientes CUPS (código único de punto de suministro), le sigue el campo: UTM con dos series de numeración distinta para cada persona, le sigue la ref. Catastral, y el último, el coeficiente de reparto. A pie de la última página figura: “le rogamos reciban esta comunicación y procedan a realizar los trámites necesarios”, constando una persona que firma en “nombre y representación de los consumidores asociados antes indicados según poderes de representación QUE SE ANEXAN AL PRESENTE DOCUMENTO”. -Le sigue en el mismo archivo pdf sobre cada uno de los 99 que forman la asociación, el documento “confirmación poder de representación” “para confirmar la contratación” que en su día envió y generó BTP ONETEC SL (tercero de confianza) de cada consumidor asociado, (petición de respuesta de confirmación) que refleja para la firma los datos del número de teléfono y el correo electrónico del consumidor asociado destinatario que otorgan el poder. Generalmente en las fechas de junio, julio 2021. -Le sigue el documento que complementa al anterior, “poder de representación” a EDP, en el que además se comprenden los nombres y apellidos, su NIF y su domicilio para, entre otras: - las gestiones necesarias para la inscripción modificación o baja de instalación solar en la que participa el cliente, y para, -la firma, en nombre del Cliente, del Acuerdo de Reparto de la energía generada por la Instalación, previa determinación del coeficiente que corresponde al Cliente en función de la capacidad de la Instalación, del número de consumidores asociados que la compartan y de lo que se haya acordado en el contrato firmado entre el Cliente y EDP. -“Realización de las comunicaciones que resulten necesarias en relación con el Acuerdo de Reparto a la empresa distribuidora y a la comercializadora con la que el Cliente tenga contratado el suministro.” Por fechas, el apoderamiento más antiguo lleva firma de 21/06/2021 El contrato de apoderamiento del reclamante figura incorporado, entre todos los enviados y también figura en el listado de los 99 NIF. QUINTO: Consulta datos de la empresa EDP SOLAR ESPAÑA, S.A. De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EDP SOLAR ESPAÑA, S.A. forma parte del grupo económico VERBUND GREEN POWER GMBH, tamaño UE: Corporate C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/36 En información financiera en el año 2022 figuran (…) euros, como cifra de negocios, en tipo de empresa: filial de grupo, 60 empleados, tamaño mediano, empresa matriz global VERBUND GREEN POWER GMBH con más de mil empleados FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida En el RGPD, se define en su artículo 4.1), 2) y 7: “1)“datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2)“tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/36 7) “responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros” Se dirime en este expediente a efectos de protección de datos de carácter personal, el contenido del ANEXO enviado en el correo el 22/02/2023 por cuenta de la reclamada, EDP, a los participantes en un proceso de autoconsumo eléctrico con objeto de habilitar el autoconsumo en sus contratos domésticos, una vez suscrito el acuerdo de reparto entre los partícipes que firmó EDP en nombre y por mandato de cada uno de los partícipes en el proyecto. Para llevar a cabo la incorporación a cada partícipe en sus contratos individuales de suministro de luz, y completar un trámite, EDP envió el e mail a todos los partícipes, dándoles por común un anexo que es el objeto de la reclamación. El motivo del envió del email con el archivo adjunto, era según el literal del correo, que probablemente las comercializadoras se pondrían en contacto con ellos, y se mandó a los 99 partícipes en el proceso, la mayoría personas físicas, (excepto CINCO, que son entidades jurídicas) en un archivo adjunto un pdf (319 páginas) con la documentación y los datos que cada participante teóricamente debía proporcionar a su comercializadora. El responsable del tratamiento determina los fines y medios del tratamiento; esto es, el porqué y el cómo del tratamiento. Debe decidir tanto sobre los fines como sobre los medios. La condición de responsable del tratamiento de datos personales de EDP, se cumple porque los partícipes en el proyecto de autoconsumo, tras aceptarlo cada uno, entablan con EDP con la que suscriben los contratos, una la relación contractual con la finalidad de gestionar, mantener, desarrollar, cumplimentar y controlar la contratación y funcionamiento del servicio “Barrio Solar”, incluyendo el apoderamiento a EDP por los partícipes para que firme en su nombre el acuerdo de reparto y realice las gestiones necesarias para la finalización de la contratación entre las empresas distribuidoras y comercializadoras de energía. También EDP consta que decidió los medios, en primera instancia con un tercero de confianza para garantizar la participación en la comunidad de autoconsumo, y un mandato para que apoderen a EDP para que EDP firme en su nombre el acuerdo de reparto, así como enviar los correos electrónicos a los partícipes del proyecto de autoconsumo, como medios de tratar sus datos, y su contenido específico. En el curso de esa relación, EDP trató los datos del reclamante y otros partícipes (94 personas físicas, CINCO eran personas jurídicas) definiendo los fines, como la manera de obtener el resultado o alcanzar el objetivo, y el cómo alcanzará ese objetivo, reuniendo su condición de responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/36 El asunto es que, en ese archivo adjunto al correo, dirigido a todos los partícipes, titulado, (...)_Listado poderes.pdf, se contenían datos de todos los partícipes, que se relacionaban con el documento denominado: “contrato de reparto”. Del mismo cabe destacar, en síntesis, las siguientes características: -documento de “ACUERDO DE REPARTO DE ENERGÍA DE AUTOCONSUMO COLECTIVO INSTALACIONES CON EXCEDENTES NO ACOGIDAS A COMPENSACIÓN”, fechado el 3/10/2022 Consiste en tabla tipo Excel, conteniendo los datos de todos los consumidores partícipes en la instalación de autoconsumo, de 99 personas (CINCO de ellas personas jurídicas), con: NIF, código CUPS (código único de punto de suministro), UTM, referencia catastral de cada vivienda y el coeficiente de reparto. -Le sigue en la misma hoja del archivo pdf de 319 páginas, copia de los documentos “confirmación poder de representación” realizado por un tercero de confianza, en el que se pueden ver de las 99 personas partícipes en el proyecto, (CINCO de ellas personas jurídicas) el número de teléfono, y correo electrónico, junto con Copia de los documentos poder de representación de 99 personas (CINCO de ellas personas jurídicas) con los datos de nombre y apellidos y el NIF, y la dirección postal a favor de EDP, para entre otros actos, firme en su nombre, el “acuerdo de reparto de la energía generada por la instalación” y “Realización de las comunicaciones que resulten necesarias en relación con el Acuerdo de Reparto a la empresa distribuidora y a la comercializadora con la que el Cliente tenga contratado el suministro”. Esto es, se remite el correo electrónico para que los partícipes realicen un acto, si bien en los servicios que incluían en los contratos, figura que fuera EDP la que comunicaría tal acuerdo de reparto a las comercializadoras, para lo cual ostentaba la representación. También figuraba en el RAT que se comunican datos, entre otras, a (…)”. Conviene señalar que todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos al tratamiento de datos enunciados en el artículo 5 del RGPD y, por otra, con alguno de los principios relativos a la licitud del tratamiento enumerados en el artículo 6 de dicho Reglamento (véase, en este sentido, la sentencia de 16/01/2019, Deutsche Post, C-496/17, EU:C:2019:26, apartado 57 y jurisprudencia citada). Además, cualquiera que sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento, y el reclamado EDP lo es, ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Destacaremos el artículo 5.1.
3. c)del RGPD, establece que: “1. Los datos personales serán
4. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);” Artículo que se relaciona con el considerando 39 del RGPD, que señala sobre los tratamientos de datos, que “…los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/36 Asimismo, relacionado con la base jurídica la que EDP fía el tratamiento de datos, el artículo 6.1.
5. b)del RGPD, que indica que “el tratamiento solo será licito si se cumple al menos una de las siguientes condiciones “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte…”. El artículo 5.1.c del RGPD refleja el principio de proporcionalidad (véase la sentencia de 11/12/2019, Asociaţia de Propietario bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, apartado 48), en el sentido de que, caso de que existieran alternativas para cumplir la misma finalidad pretendida por el reclamado, se ha de optar por la menos invasiva. El principio de proporcionalidad se ha de atender desde el momento en que con el uso de datos personales se restringen los derechos y libertades, como sería el de protección de datos, al tratar esos datos. Sobre las características comunes de las condiciones administrativas, técnicas económicas del autoconsumo de energía eléctrica, el Real Decreto 244/2019 regula las mismas, y las modalidades de autoconsumo de energía eléctrica se definen en el artículo 9 de la Ley 24/2013 de 26/12, del Sector Eléctrico. Uno de los pasos, casi al final del proceso de los tramites de instalación de autoconsumo relaciona el acuerdo de reparto de los consumidores asociados al autoconsumo, con la distribuidora/comercializadora de la energía eléctrica (generalmente, con la que cada persona titular tenga concertado el servicio. El citado Real Decreto 244/2019, establece en el Anexo I, el formato del fichero que debe utilizarse para comunicar a la empresa distribuidora los coeficientes de reparto. En principio Estos “Acuerdos de reparto” firmados por todos los participantes, deberán ser remitidos de forma individual por cada consumidor a la compañía distribuidora, bien directamente o a través de su comercializadora. Si para la realización del autoconsumo colectivo se hubiese optado por formar una comunidad de energías renovables, ésta podría ejercer la representación de los consumidores asociados en todos estos trámites. Cualquier otro agente debidamente autorizado puede ser representante, actuando como un gestor de autoconsumo. En el ANEXO 1 del citado Real Decreto, se indica que “Las energías y potencias a efectos de facturación y de liquidación definidos en el artículo 3 del presente Real Decreto se calcularan de acuerdo con lo establecido a continuación: 1 “coeficientes y requisitos de los coeficientes de reparto””. Para cada consumidor y participante del autoconsumo colectivo, este coeficiente tomará los valores que figuren en un acuerdo firmado por todos los consumidores participantes del autoconsumo colectivo y notificado a la empresa distribuidora como encargada de lectura de los consumos En nombre del fichero txt CAU CUPS coeficiente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/36 El modelo 5 de la Guía IDAE (Instituto de Diversificación, guía profesional de tramitación del autoconsumo edición v.5.1, enero 2023 contiene un modelo de acuerdo de reparto de energía de autoconsumo colectivo, instalaciones con excedentes no acogidas a compensación”, en una hoja excel con los datos del consumidor-titular del suministro, el NIF, CUPS y coeficiente de reparto, que es el documento que se ha de firmar. Sin embargo, EDP remitió otros documentos ajenos al acuerdo de reparto, en los que se contenían: número de teléfono, e mail, dirección postal del titular, UTM y referencia catastral, que exceden del documento de reparto y se contenían en documentos diferentes relacionados con el poder de representación a EDP para gestionar en nombre de cada cliente entre otros, la firma del acuerdo de reparto La Guía describe los pasos necesarios para la tramitación de instalaciones de generación eléctrica en autoconsumo. La Guía establece en su página 12, que: “Para la realización del autoconsumo colectivo podrá constituirse una comunidad de energías renovables siempre que se cumpla con los requisitos necesarios y podrá actuar como representante de los consumidores asociados cuando éstos le otorguen las correspondientes autorizaciones. Sin embargo, puede realizarse un autoconsumo colectivo sin constituir una comunidad de energías renovables, simplemente mediante acuerdo entre los consumidores. Cualquier otro agente debidamente autorizado puede ser también el representante, actuando como un gestor de autoconsumo.” La guía IDAE define la diferencia entre “empresa comercializadora”, que son las que realizan la venta de energía a los consumidores a través de los contratos de suministro que se firman con ellos, y la “empresas distribuidoras”, son las propietarias de la red de distribución de energía eléctrica que prestan el servicio de distribución y son responsables de su gestión, operación y mantenimiento. Son responsables de analizar, y en su caso, aceptar o denegar las solicitudes de acceso y conexión”.“ Son también responsables de proporcionar a las empresas comercializadoras, los datos necesarios para que se pueda realizar la facturación, y liquidación de la energía y de los peajes, cargos y cuantías que procedan”. Según la Guía IDAE, los acuerdos de reparto han de ser remitidos por cada consumidor a la compañía distribuidora, directamente o a través de su comercializadora. (Todos los consumidores deben enviar el mismo acuerdo firmado) para la realización del autoconsumo colectivo si se hubiere optado por formar una comunidad de energías renovables, esta podrá ejercer la representación de los consumidores asociados en todos estos trámites. Cualquier otro agente debidamente autorizado puede ser representante, actuando como gestor de autoconsumo” (apartado 13 Acuerdo de reparto y contrato de compensación de excedentes). La página 132 de la citada Guía “autoconsumo colectivo CON excedentes no acogido a compensación” reitera que “es necesario que los intervinientes firmen un acuerdo con los criterios de reparto de la energía generadas. Este acuerdo deberá ser firmado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/36 por todos los consumidores asociados y remitido de forma individual por cada consumidor asociado a la compañía distribuidora-directamente o a través de su comercializadora-En el fichero que han de remitir los consumidores “en un fichero texto plano de extensión “txt” que contendrá el valor de los coeficientes de los consumidores que participan en el autoconsumo”, conteniendo los campos: Código de autoconsumo, CUPS, hora, coeficiente En este caso concreto, el reclamante pone de manifiesto que se le envía un correo electrónico el 22/02/2023. ECODES y EDP reconocen se envió por orden de esta última, conteniendo un archivo que EDP traslada para su remisión a los participantes del proyecto del autoconsumo (99 personas), (CINCO de ellas personas jurídicas) con dos anexos. Uno de los anexos adjuntos, en pdf “(...) (que responde al código de autoconsumo CAU) Listado poderes.pdf, acredita que contiene los COEFICIENTES DE REPARTO, con datos personales más allá del CONTENIDO MÍNIMO que determina la norma sectorial aplicable, porque se le manda también a cada socio participante los poderes de representación con datos que no tienen relación alguna con el citado documento de coeficientes de reparto Analizado el contexto del envío del correo citado de 22/02/2023 en el que se cursa el archivo pdf adjunto con los datos que son objeto de reclamación ante el avance en el proceso del suministro de autoconsumo, indicaba que podría ser que las comercializadoras de la luz pidieran a los participantes, “una serie de información sobre la instalación de autoconsumo a la que estáis inscritos”, y se instruía que “La documentación que tenéis que enviarles cada uno de vosotros y que os adjuntamos en este email es la siguiente: Contrato de Coeficientes de Reparto (PDF).” Así, pues, el contexto en el que se envía el correo electrónico y el archivo adjunto en el caso concreto no tiene nada que ver con la reiterada tesis de EDP de que el acuerdo de reparto es enviado por transparencia y no se puede quitar ningún elemento, porque en ese caso tampoco precisaría de la remisión de los poderes de cada asociado con sus datos o los datos del contrato suscrito. Se ha de diferenciar el acuerdo de reparto suscrito, para el que la reclamada ostentaba el poder de los asociados, de los documentos que le sirven de base e instrumento para lograr aquel acuerdo de reparto. Subsidiariamente, el contenido que a ese acuerdo de reparto le dio EDP, introduciendo datos de los partícipes que no figuran ni en el Real Decreto que regula la materia, ni en la Guía IADE. Finalmente, la puesta a disposición en un anexo enviado a los partícipes por e mail, conteniendo esa información referida a personas partícipes que se sale de la legitimación para la que proporcionaron los datos los partícipes a EDP, enmarcada en la finalidad de la prestación del servicio, para la que tales datos no se limitan a lo necesario. Ni el consentimiento de cada usuario al alta en el proyecto otorgado mediante un tercero de confianza, con los datos que se contenían (NIF, correo electrónico, número de teléfono) formaría parte de dicho acuerdo de reparto, tanto por la naturaleza del documento y sus fines y su nula relación con el acuerdo de reparto, siendo mero instrumento para su posterior consecución. Lo mismo cabe decir del otorgamiento general de poderes para las diversas actividades que conforman el proyecto de autoconsumo a EDP, que también se acompañan en el adjunto enviado por correo electrónico. Se contenía aquí la dirección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/36 de los consumidores partícipes que puede no ser la de la sede del suministro, y su NIF. Así pues, el fin del caso que nos ocupa según el literal del correo enviado no responde a ese motivo sino al de enviar a la comercializadora el acuerdo de reparto que contiene los coeficientes de reparto. Se concluye pues que el principio de minimización de datos se ha quebrado el remitir el anexo por correo electrónico que contenía parte de datos no adecuados, pertinentes, y excesivos para los necesario en relación con los fines para lo que son tratados. En este caso concreto se observa en un primer aspecto interno del tratamiento de datos que: - Cada consumidor asociado otorgaba poder al reclamado, EDP para, no solo firmar en nombre de cada cliente el acuerdo de reparto, sino también, entre otras: -cita literal del documento “poder de representación” a EDP- para la “realización de las comunicaciones que resulten necesarias en relación con el acuerdo de reparto a la empresa distribuidora y a la comercializadora con la que el cliente tenga contratado el suministro”, por lo que no resulta entendible que se remita a cada consumidor asociado todos los datos referidos en el archivo adjunto, ya que le hubiera correspondido a EDP SOLAR ESPAÑA, S.A., la remisión a cada distribuidor de la citada documentación, no a cada usuario. -Aquí se analiza, no lo que se pondría en conocimiento de la Comercializadora/distribuidora, sino lo que se puso en conocimiento de los asociados al proyecto de autoconsumo “Barrio Solar”, y su necesidad y proporcionalidad. Para reconocer que el acuerdo de reparto firmado por todos los consumidores asociados identifica a los titulares, al menos para la distribuidora/comercializadora debería contener el citado acuerdo de reparto también el nombre y apellidos como necesario valor identificativo mínimo. -Los datos: NIF, referencia catastral, dirección de cada partícipe, número de teléfono y correo electrónico son innecesarios ponerlos en conocimiento de todos los participantes en el proceso de autoconsumo. Examinadas las circunstancias y finalidad el envío se conviene que no era necesario ni pertinente y que EDP SOLAR ESPAÑA, S.A., se ha excedido con el contenido de datos personales que se incluían en el archivo adjunto objeto de la reclamación, difundiéndose todos los datos entre todos los componentes del citado autoconsumo. Se considera pues que EDP SOLAR ESPAÑA ha podido infringir el artículo 5.1.
6. c)del RGPD. III Tipificación de la conducta infractora De conformidad con las evidencias de que se disponen, se considera que el reclamado ha tratado datos que eran excesivos al no ser necesarios, adecuados ni proporcionales para la finalidad perseguida y pretendida. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, del artículo 5.1.
7. c)del RGPD, con el alcance expresado en los Fundamentos de Derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/36 anteriores, lo que, de confirmarse, podría suponer la comisión de la infracción tipificada en el artículo 83.5,
8. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
9. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. IV Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
11. a)a
12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/36
14. b)la intencionalidad o negligencia en la infracción;
15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
18. a)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
19. e)las categorías de los datos de carácter personal afectados por la infracción;
20. a)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
21. b)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
22. c)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
23. d)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
24. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
26. a)El carácter continuado de la infracción.
27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
31. f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/36
32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” El RGPD, artículo 83.1, advierte que en la imposición de las multas administrativas por infracción del RGPD, la Autoridad de Control garantizará que sean en cada caso “efectivas, proporcionadas y disuasorias”. Estos criterios que presiden la determinación del importe de la sanción de multa obligan a tomar en consideración todas las circunstancias. n este caso, se estiman concurrentes las siguientes circunstancias: - Artículo 83.2.
34. a)del RGPD: “Naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido” La Agencia considera que la naturaleza de la infracción acarrea una pérdida de disposición y control sobre los datos personales a los participantes en el proyecto de autoconsumo eléctrico. Los datos tratados en la operación de tratamiento de envío del archivo indebidamente fueron: la referencia catastral, el código UTM, el número de teléfono, el e mail, la dirección de los titulares, que supone una circunstancia que afectaba a 99 usuarios (CINCO de ellas personas jurídicas). - Artículo 83.2.
35. b)del RGPD. Intencionalidad o negligencia en la infracción: El Tribunal Supremo en sentencia de 23/10/2010 -recurso nº. 1.067/2006-, señala que, "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". No puede hablarse de sanción administrativa sin la existencia del elemento subjetivo de la culpabilidad. La conducta de EDP SOLAR ESPAÑA, S.A., no sería sancionable si no concurriera dolo o culpa. En la conducta de EDP que actuaba como mandataria de un amplio número de personas concertando por un lado bilateralmente los contratos de servicio con los asociados al autoconsumo, y, por otro lado, gestionaba el documento común de reparto, que era el que tenía que presentar a la comercializadora. Era claro que, como mandataria, no podía ignorar que los documentos de los contratos y mandato, el del reclamante de 5/07/2021, previos al documento de acuerdo del reparto, fechado el 3/10/2022 contenían componentes y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/36 sus fines eran totalmente distintos. Los primeros, surgidos de la relación bilateral asociado con EDP SOLAR ESPAÑA, S.A., y de mandato, mientras que el acuerdo de reparto debía contener un número limitado de datos de todo el colectivo de usuarios del autoconsumo asociados al mismo proyecto, entre los que no se hallaban los contenidos en los documentos de mandado y contrato. Hecho que parece claro . El hecho de consultar a la AEPD si se estaba realizando el tratamiento correctamente, obviaba que, en el correo dirigido a 99 personas, (CINCO de ellas personas jurídicas), se contenía un archivo adjunto que no guardaba la proporcionalidad y necesidad en el tratamiento de tales datos. EDP SOLAR ESPAÑA, S.A., ha mantenido durante todo el traslado de la reclamación y en actuaciones previas de investigación, que su actuación se ajustaba al modelo establecido en el Real Decreto y en la Guía IDAE conforme se determinaba en el modelo y anexo, cuando obviamente se ha de reconocer desde el principio que se han tratado más datos y se han comunicado a los asociados del autoconsumo... Por ello, si bien la Agencia considera que no hubo intencionalidad por parte de EDP SOLAR ESPAÑA, S.A., sí que existe falta de diligencia en esta conducta, no velando por el cumplimiento de la protección de datos que le incumbía Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales, que conducen a determinar que, la multa a imponer es de 70.000 euros, sin perjuicio de lo que resulte de la instrucción del procedimiento. V Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
36. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. En relación con la medida, deberá ajustar el tratamiento de datos cuando comunique a los partícipes a los datos estrictamente necesarios. Por tanto, se impondría esta medida en el plazo de 30 días desde la notificación de la resolución dictada. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/36 SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a EDP SOLAR ESPAÑA, S.A., con NIF A74466178, por la presunta infracción del artículo 5.1
37. c)del RGPD, de conformidad con el artículo 83.5.
38. a)del RGPD, y calificada como muy grave a efectos de prescripción en el artículo 721.
39. a)de la LOPDGDD. SEGUNDO: NOMBRAR como instructor a B.B.B. y, como secretario, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
40. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP), la sanción que pudiera corresponder sería de 70.000 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a EDP SOLAR ESPAÑA, S.A., con NIF A74466178, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
41. f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 euros, y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/36 alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 42.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 56.000 euros, o 42.000 euros, deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-30102023 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 5 de diciembre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 42000 euros haciendo uso de las dos reducciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/36 previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
42. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/36 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202305278, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a EDP SOLAR ESPAÑA, S.A. para que en el plazo de 30 días desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a EDP SOLAR ESPAÑA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
43. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-101224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es