← España

PS-00036-2023

1/16  Expediente N.º: EXP202204232 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 15 de marzo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MASLUZ ENERGY POWER, S.L. con NIF B67572636 (en adelante, la parte reclamada o MAS LUZ). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que a finales de junio de 2021 recibió una llamada de teléfono de su empresa suministradora de energía ofreciéndole una mejor tarifa de electricidad. Resultando que se produjo un cambio de comercializadora sin su autorización y tampoco facilitó datos personales ni bancarios. Así las cosas, tras intentar reclamar a MAS LUZ el 9 y el 31 de agosto de 2021. En este último correo electrónico solicita la supresión de sus datos personales, así como copia de la grabación de la llamada recibida en el mes de junio del año 2021. Posteriormente, el 11 de octubre de 2021 recibe un correo electrónico de la parte reclamada en el cual le informan que proceden a tramitar la reclamación. Documentación relevante aportada por la parte reclamante: - Recibo de cargo en la cuenta bancaria de la reclamante por parte de MAS LUZ. - Recibo de cargo en la cuenta bancaria de la reclamante por parte de Suministrador Ibérico de Energía. - Correos electrónicos intercambiados con clientes@masluzenergia.com ejerciendo su derecho de supresión de datos personales. - Correos electrónicos intercambiados con prelegal@gestiondecobros.net empresa de gestión de cobros indicándoles entre otras cosas que estuvo un mes en MAS LUZ sin su consentimiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 8 de abril de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 9 de mayo de 2022 se recibe en esta Agencia escrito de respuesta indicando: “Es necesario indicar que los procedimientos para la formalización del contrato de suministro eléctrico en MAS LUZ requieren, como es lógico, de la verificación y autentificación de la manifestación de voluntad del cliente de proceder a la firma del contrato. Ello implica que, cuando un prestador de servicios de telemarketing formaliza un contrato de suministro por cuenta de MAS LUZ, debe aportar la grabación del proceso de venta. De este modo, MAS LUZ puede verificar que la contratación se ha llevado a cabo de forma adecuada. Después de revisar las grabaciones de la llamada telefónica, hemos podido comprobar que el comercial en ningún momento dijo que trabajaba para la tercera compañía en cuestión, sino que realizó el proceso de contratación indicando a la Reclamante que dicha contratación se llevaría a cabo con Mas Luz Energía. En cuanto a la procedencia de los datos personales a la que alude la Reclamante, cabe hacer las siguientes consideraciones acerca del proceso de contratación cuando ésta se realiza por una compañía prestadora de servicios de telemarketing. El prestador de servicios de telemarketing cede a MAS LUZ los datos personales de interesados a los que se les ofrecerá los productos y servicios de MAS LUZ. Posteriormente, el prestador de servicios de telemarketing actúa en calidad de encargado del tratamiento de MAS LUZ para la realización de las actividades de oferta de sus productos y servicios y de contratación de los productos y servicios que corresponda. No obstante, el prestador de servicios de telemarketing únicamente puede realizar acciones comerciales sobre aquellos interesados que le hayan proporcionado su consentimiento para la cesión de sus datos personales a MAS LUZ para dicha finalidad. Teniendo en cuenta lo anterior, desde MAS LUZ no se puede determinar de dónde obtuvo el prestador de servicios de telemarketing los datos personales de la Reclamante, puesto que éste los obtuvo en calidad de responsable del tratamiento independiente de MAS LUZ. En el momento de la firma del contrato de prestación de servicios, dicho prestador de servicios de telemarketing adquirió el compromiso de ceder únicamente los datos personales de aquellos interesados que hubiesen dado su consentimiento para dicha finalidad. Adicionalmente, el prestador de servicios se comprometió a informar a los interesados debidamente y de acuerdo con la normativa en materia de protección de datos acerca de la cesión a MAS LUZ de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. Adjunta a la reclamación, la Reclamante solicita la supresión de sus datos personales. Se adjunta como Anexo I a la presente contestación la comunicación remitida a la reclamante. MAS LUZ cuenta con un proceso de firma de contratos con dos pasos: Un primer paso en que se informa de las condiciones del servicio por vía telefónica y que, en el caso de aceptar el cliente dichas condiciones por la misma vía, se le remite el contrato para su firma vía SMS. En el caso de la presente reclamación, la reclamante aceptó las condiciones del servicio tanto por vía telefónica como por SMS, por lo que el contrato se formalizó de manera correcta. MAS LUZ es la primera interesada en que la contratación de sus servicios se realice siempre conforme la legislación vigente. Por ello, y si bien en este supuesto se ha podido determinar tras las investigaciones realizadas que su actuación ha sido acorde a la normativa de protección de datos personales, debido a que se han detectado incidencias de diferente naturaleza en el procedimiento de contratación de sus servicios, MAS LUZ ha adoptado como medida la paralización total del procedimiento de contratación de sus servicios desde el pasado 4 de marzo 2022 y hasta que se resuelvan las mismas”. TERCERO: De conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 15 de marzo de 2022, se comunica que su reclamación ha sido admitida a trámite, el 15 de junio del mismo año, al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: ALPA 57 PRODUCCIONES, S.L. con NIF B13512892 con domicilio en C/ GUARDIA CIVIL S/N - 13240 LA SOLANA (CIUDAD REAL) y MASLUZ ENERGY POWER, S.L. con NIF B67572636 con domicilio en RAMBLA DEL GARRAF, 76 - 08812 BARCELONA (BARCELONA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN De la investigación se desprende lo siguiente: De requerimiento enviado a MASLUZ se recibe la siguiente información: - - MASLUZ provee trascripción de la conversación con la reclamante, donde esta da su autorización para el cambio de compañía comercializadora de los servicios. Se le pide a MASLUZ acreditación del consentimiento de la reclamante al uso de sus datos personales, a lo cual contestan que es la empresa de telemarketing que le lleva el servicio de contratación (Alpa 57 Producciones S.L.) la responsable de los datos, que no saben de donde esta los obtiene y que por lo tanto no tienen conocimiento del consentimiento facilitado por la reclamante en el momento de recogida de sus datos. Se refieren al adjunto “anexo I” como contrato entre MAS LUZ y Alpa 57 pero no se encuentra dicho documento adjunto en la respuesta. En la misma respuesta, la reclamada adjunta contestación que envía Aviva Voice Systems & Services, S.L. (suministrador del servicio de comunicaciones electrónicas de MASLUZ) donde certifica que MAS LUZ (Insignia Gas, S.L.) envió comunicaciones electrónicas a la reclamante para el proceso de contratación de los servicios indicados. En una de las comunicaciones (mensaje enviado el 17-06-2021 a las 11:18 al móvil ***TELÉFONO.1 y que, según sus registros, el texto del mensaje fue entregado a las 2021-06-17 11:14 CET) se pedía clicar en un enlace web para leer la información precontractual y confirmar el contrato, afirman que a las 2021-06-17 11:14 CET se accedió a esta página y se recibió confirmación de parte de la reclamada al mensaje anterior el 17-06-2021 a las 11:18. - Se envió requerimiento pidiendo confirmación a Orange y Telefónica (operadores de los teléfonos de la reclamante y la reclamada) de recepción y envíos de SMS en la fecha y horas indicadas. Ninguno de los operadores provee dicha información alegando que tras haber transcurrido más de un año no tienen dicha información al marcar la Ley 25/2007 un período de conservación de 12 meses. - Se envió requerimiento al prestador de servicios de telemarketing (Alpa 57 Producciones S.L.) solicitando que acreditaran cómo se obtuvieron los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 personales de la reclamante (nombre, DNI, N.º de cuenta bancaria), acreditación del consentimiento de la reclamante al uso de sus datos personales y copia del archivo en formato audio de la grabación mantenida con la reclamante a lo cual contesta: “Que no podemos aportar la información solicitada, porque la contratación de la A.A.A. en junio del año 2021, fue realizada por la mercantil ‘’ GEST INNOVA MIMT SOCIEDAD LIMITADA’’, provista de C.I.F. B16984254, y dirección en C/ Carmen nº27, piso 5ºC, 02005 Albacete, en 2 calidad de subcontrata nuestra, quien hizo el cliente y la llamó, debiéndose requerir la información relacionada a dicha mercantil.” - Gest Innova Sociedad Limitada, en respuesta a requerimiento de información, adjunta documento notarial constitutivo de la empresa con fecha 14 de noviembre de 2021 la cual es posterior a la fecha de los hechos. - Se envía nuevo requerimiento de información a Alpa 57 Producciones S.L. para que confirmara la contestación de su primer requerimiento y además para solicitarle el contrato entre Alpa 57 Producciones S.L. y Gest Innova Sociedad Limitada. Dichos requerimientos tienen acuse de recibo, pero no se recibió contestación a los mismos. Se les reenvió reiteración de estos, no se ha recibido respuesta. CONCLUSIÓN: - En la transcripción aportada aparece la autorización de la contratación de los servicios de suministro por parte de la MASLUZ, sin embargo, dicha autorización no queda constatada al no haberse podido verificar en la propia grabación ya que esta no ha sido aportada tras su requerimiento. - En la transcripción aparece acreditado el consentimiento por parte de la reclamante para que Alpa 57 cediera sus datos a MASLUZ, esto tampoco ha sido constatado por las mismas razones expuestas anteriormente. - Según Alpa 57 Producciones, S.L. la contratación en la fecha reclamada (junio 2021) la realizó Gest Innova Sociedad Limitada, esto es incoherente con la fecha de constitución de esta última que data de noviembre 2021, según documento notarial proporcionado por esta. Alpa 57 Producciones, S.L. no contestó a requerimiento pidiéndole confirmación de esta información ni aportó contrato entre estas dos empresas entendiéndose que se ha negado a colaborar. - MASLUZ, no adjuntó contrato con ALPA 57 PRODUCCIONES, S.L. QUINTO: Con fecha 1 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 13 del RGPD y Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “De acuerdo con lo que esta parte explicó, el proceso de contratación de los servicios que ofrece Suministrador Ibérico de Energía, S.L. (en adelante, SIE) se realiza mediante una doble aceptación, una primera aceptación se produce durante la llamada telefónica y una segunda mediante el envío de un SMS para acabar de formalizar el contrato. Como ya se informó en el Requerimiento Inicial de información, SIE cuenta con proveedor de telemarketing, ALPA 57 PRODUCCIONES, S.L. que recaba los datos de los interesados como Responsable del tratamiento y, una vez éstos manifiestan que quieren contratar con SIE y consienten la comunicación de datos necesaria para llevar a cabo la contratación, ALPA 57 PRODUCCIONES, S.L en este momento actúa como Encargado del Tratamiento de SIE y realiza la contratación siguiendo las instrucciones facilitadas. Como se ha indicado en dicha alegación, se ha acreditado que la contratación se llevó a cabo de manera adecuada, por lo que el tratamiento de datos llevado a cabo por SIE se basa en la relación contractual existente entre la reclamada y SIE de acuerdo con el artículo 6.1

  1. b)del RGPD. De acuerdo con lo indicado, la preceptiva información en materia de protección de datos de acuerdo con el artículo 13 del RGPD aparece detallada en la cláusula 17 del contrato de suministro formalizado entre la reclamante y SIE, la cual contiene todos los campos detallados en el referenciado artículo 13 del RGPD. Que se proceda al Archivo de Actuaciones por parte de la AEPD”. SÉPTIMO: Con fecha 29 de marzo de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00294/2022. 2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por MASLUZ ENERGY POWER, S.L., y la documentación que a ellas acompaña>>. OCTAVO: Con fecha 9 de mayo de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a MASLUZ ENERGY POWER, S.L., con NIF B67572636, por una infracción del Artículo 13 del RGPD y Artículo 6.1 del RGPD, tipificadas, respectivamente, en los artículos 83.5
  2. a)y 83.5
  3. b)del RGPD, con una multa de:  Por el incumplimiento de lo dispuesto en el artículo 6.1 del RGPD: 70.000 € (setenta mil euros).  Por el incumplimiento de lo dispuesto en el artículo 13 del RGPD: 20.000 € (veinte mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Así, el importe total de las multas recogidas en la presente propuesta de resolución sería de 90.000 € (NOVENTA MIL EUROS). Notificada la propuesta de resolución, la parte reclamada no ha formulado alegaciones a la misma. HECHOS PROBADOS 1º. La parte reclamante formuló reclamación ante esta Agencia el día 15 de marzo de 2022, en la que se hace constar que se ha llevado a cabo a finales de junio del año 2021 un cambio de comercializadora de energía sin su consentimiento. 2º Consta en las facturas aportadas por la parte reclamante el cambio de la compañía comercializadora. Consta el nombre de la parte reclamada en la factura emitida día 9 de agosto del año 2021 por importe de (…) euros. 3º Los datos personales de la reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese licito el tratamiento efectuado. 4º Constan las reclamaciones formuladas por la reclamante ante MAS LUZ con fechas 9 de agosto de 2021 y 31 de agosto de 2021 (en este correo electrónico solicita supresión de sus datos personales, así como copia de la grabación de la llamada recibida en junio de 2021) recibiendo correo electrónico de la reclamada el 11 de octubre de 2021 en el que le informan que proceden a tramitar la reclamación (sin respuesta). 5º MAS LUZ, no ha aportado prueba de la contratación que manifiesta efectuó la reclamante, en concreto la acreditación de la contratación electrónica mediante SMS de confirmación, así como de la grabación de voz de confirmación de la contratación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Pues bien, ha quedado acreditado que la parte reclamada emitió la factura del mes de agosto del año 2021, a nombre de la reclamante por un importe de (...) €., consta en dicha factura Emisor MAS LUZ ENERG.A. Por otro lado, esta Agencia envió requerimiento al prestador de servicios de telemarketing (Alpa 57 Producciones S.L.) solicitando que acreditaran cómo se obtuvieron los datos personales de la reclamante (nombre, DNI, número de cuenta bancaria), y que se acreditara el consentimiento de la reclamante al uso de sus datos personales y copia del archivo en formato audio de la grabación mantenida con ella a lo cual contesta: “Que no podemos aportar la información solicitada, porque la contratación de la A.A.A. en junio del año 2021, fue realizada por la mercantil ‘’ GEST INNOVA MIMT SOCIEDAD LIMITADA’’, provista de C.I.F. B16984254, y dirección en C/Carmen nº27, piso 5ºC, 02005 Albacete, en 2 calidad de subcontrata nuestra, quien hizo el cliente y la llamó, debiéndose requerir la información relacionada a dicha mercantil.” Gest Innova Sociedad Limitada, en respuesta a requerimiento de información de esta Agencia, adjunta documento notarial constitutivo de la empresa con fecha 14 de noviembre de 2021 la cual es posterior a la fecha de los hechos. Por otra parte, MASLUZ en su contestación a esta Agencia el 9 de mayo de 2022, manifiesta: “Es necesario indicar que los procedimientos para la formalización del contrato de suministro eléctrico en MAS LUZ requieren, como es lógico, de la verificación y autentificación de la manifestación de voluntad del cliente de proceder a la firma del contrato. Ello implica que, cuando un prestador de servicios de telemarketing formaliza un contrato de suministro por cuenta de MAS LUZ, debe aportar la grabación del proceso de venta. De este modo, MAS LUZ puede verificar que la contratación se ha llevado a cabo de forma adecuada. Después de revisar las grabaciones de la llamada telefónica, hemos podido comprobar que el comercial en ningún momento dijo que trabajaba para la tercera compañía en cuestión, sino que realizó el proceso de contratación indicando a la Reclamante que dicha contratación se llevaría a cabo con Mas Luz Energía”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 Pues bien, MASLUZ, no aporta a esta Agencia la grabación del proceso de venta respecto a la parte reclamante. De aquí que la parte reclamada no acredita base de legitimación para el tratamiento de los datos de la parte reclamante. La parte reclamada, en su condición de responsable del tratamiento, conforme al artículo 13 RGPD, está obligada a facilitar la información señalada en el mismo con anterioridad al tratamiento de los datos de la parte reclamante e informarle de que el responsable del tratamiento es MAS LUZ. En definitiva, MASLUZ es la responsable del tratamiento por lo que debe dar a sus encargados instrucciones sobre la información que deben facilitar a los clientes y en este caso no parece que se haya hecho. III Obligación incumplida El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. «1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En relación con lo anterior, se considera que existen evidencias de que el tratamiento de datos de la reclamante objeto de esta reclamación se ha efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD. El RGPD se aplica a los datos personales, que se definen como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Por otro lado, el artículo 5 del RGPD relativo a los principios que han de regir el tratamiento de datos personales menciona entre ellos el de transparencia. El apartado 1 del precepto dispone: “Los datos personales serán:
  11. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” Manifestación del principio de transparencia es la obligación que incumbe a los responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al titular de los datos personales cuando éstos se obtengan directamente del interesado: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  12. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  13. b)los datos de contacto del delegado de protección de datos, en su caso;
  14. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  15. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  16. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  17. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  18. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  19. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  20. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  21. d)el derecho a presentar una reclamación ante una autoridad de control;
  22. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  23. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” En ese sentido, el Considerando 60 del RGPD dice que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran.” El artículo 13 del RGPD dispone que cuando los datos personales se recaben de un interesado -lo que acontece en el supuesto presente- el responsable del tratamiento está obligado, en ese preciso momento, esto es, cuando los obtiene, a informar al titular de los datos. Información que abarca diversas cuestiones que detalla el artículo 13 del RGPD. IV Tipificación y calificación de las infracciones De conformidad con las evidencias de las que se dispone, se considera que los hechos expuestos incumplen lo establecido en los artículos 6.1 y 13 del RGPD, por lo que supone la comisión de dos infracciones tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente: «Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  24. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  25. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].» La LOPDGD, a efectos de la prescripción de las infracciones, califica en su artículo 72.1 de infracciones muy graves, siendo en este caso el plazo de prescripción de tres años, “
  26. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
  27. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica”. IV Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  28. a)a
  29. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16
  30. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  31. b)la intencionalidad o negligencia en la infracción;
  32. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  33. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  34. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  35. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  36. g)las categorías de los datos de carácter personal afectados por la infracción;
  37. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  38. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  39. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  40. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  41. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  42. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  43. a)El carácter continuado de la infracción.
  44. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  45. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  46. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16
  47. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  48. f)La afectación a los derechos de los menores.
  49. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  50. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción de lo dispuesto en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  51. a)del RGPD, se estiman concurrentes en el presente caso los siguientes factores: En calidad de agravantes: - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 70.000 € (setenta mil euros) por la infracción del artículo 6 del RGPD tipificada en el artículo 83.5
  52. a)RGPD y 72.1b) de la LOPDGDD En relación con la infracción del artículo 13 del RGPD, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - Los hechos objeto de la reclamación son imputables a una falta de diligencia de la parte de la entidad reclamada, (apartado b), al no haber procedido a informar a la parte reclamante. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar una sanción inicial de 20.000 € (veinte mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a MASLUZ ENERGY POWER, S.L. con NIF B67572636, por una infracción del Artículo 13 del RGPD y Artículo 6.1 del RGPD, tipificadas, respectivamente, en los artículos 83.5
  53. a)y 83.5
  54. b)del RGPD, con una multa de:  Por el incumplimiento de lo dispuesto en el artículo 6.1 del RGPD: 70.000 € (setenta mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16  Por el incumplimiento de lo dispuesto en el artículo 13 del RGPD: 20.000 € (veinte mil euros). Así, el importe total de las multas recogidas en la presente resolución sería de 90.000 € (noventa mil euros). SEGUNDO: NOTIFICAR la presente resolución a MASLUZ ENERGY POWER, S.L. con NIF B67572636 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  55. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  56. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.