PS-00037-2020

1/141  Procedimiento Nº: PS/00037/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Ante esta Agencia se han venido presentando diversas reclamaciones contra la entidad EDP COMERCIALIZADORA, S.A.U. en las que sustancialmente se denuncia el tratamiento de datos personales sin consentimiento del interesado. Dichos tratamientos se producen en el marco de la contratación de servicios de gas efectuadas supuestamente por un representante del cliente, sin que dicha entidad pueda acreditar la existencia de tal representación. Tales reclamaciones han dado lugar a la incoación de diversos procedimientos sancionadores por parte de esta Agencia, entre los que cabe mencionar el PS/0025/2019, que ha concluido declarando la existencia de una infracción de lo previsto en la normativa de protección de datos. SEGUNDO: A la vista de los antecedentes mencionados en el número anterior, el día 3 de junio de 2019 la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos el inicio de actuaciones previas de investigación a fin de acreditar, en su caso, la existencia de una conducta regular y continuada de posible vulneración de la normativa de protección de datos por parte de EDP COMERCIALIZADORA, S.A.U. TERCERO: El día 17 de diciembre de 2019, la Subdirección General de Inspección formula requerimiento a EDP COMERCIALIZADORA, S.A.U para que facilite la siguiente información: 1. Especificación de los canales de contratación (telefonía, internet, distribuidores propios o subcontratas, fuerza de ventas con visitas a domicilio propia o subcontratada, etc.…) de los servicios comercializados por EDP COMERCIALIZADORA, S.A.U. a personas físicas. 2. Descripción del procedimiento de contratación seguido a través de cada uno de los canales anteriores cuando la contratación es realizada por un tercero en representación de la persona física titular del contrato. Al respecto se solicita aportar, además de toda la información que considere oportuna a los efectos de documentar el procedimiento, los siguientes: 2.1. Copia de los documentos (modelos de formularios, contratos, argumentarios telefónicos, etc.) usados para recopilar los datos personales del titular y del tercero que actúa representándolo, con indicación del canal o canales para los que se utiliza cada uno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/141 2.2. Descripción de los procedimientos habilitados a través de cada uno de los canales de contratación para que un tercero pueda acreditar la representación de un titular al suscribir un contrato con EDP COMERCIALIZADORA, S.A.U. 2.3. Especificación del procedimiento seguido por EDP COMERCIALIZADORA, S.A.U. para almacenar las evidencias que acreditan la capacidad de representación del tercero en los procedimientos en que se efectúa este tipo de contratación, con indicación del canal o canales para los que se usa cada uno. 2.4. Adjuntar modelos y/o ejemplos de evidencias tipo recopiladas en virtud del procedimiento seguido en el apartado 2.3. 3. Información del número de contratos suscritos en 2018 y 2019 por terceros en representación de los titulares de los servicios (personas físicas) con distinción de: 3.1. En virtud de qué se apoya dicha representación (poder, grado de parentesco, etc.) 3.2. Procedimiento o fórmula de acreditación de la representación seguido. 3.3. Canal de contratación telefonía, internet, distribuidores propios o subcontratas, fuerza de ventas con visitas a domicilio propia o subcontratada, etc.…) CUARTO: Con fecha 13 de enero de 2020, se registra la entrada en la AEPD del escrito de contestación de EDP COMERCIALIZADORA, S.A.U. al requerimiento de información anterior. En dicho documento se manifiesta lo siguiente: “PRIMERO- Especificación de los canales de contratación (telefonía, internet, distribuidores propios o subcontratas, fuerza de ventas con visitas a domicilio propia o subcontratada, etc.…) de los servicios comercializados por EDP COMERCIALIZADORA, S.A.U. a personas físicas. EDP dispone de diferentes canales para formalizar la contratación, distinguiendo los siguientes: A. Canal Telefónico, con cierre parcial o definitivo del proceso de contratación mediante una llamada de teléfono. Incluye los siguientes subcanales: - CAC Inbound: Recepción de llamadas, desde los clientes hacia EDP. En general son ya clientes de EDP que se identifican desde el inicio de la llamada a través de un protocolo de seguridad, aunque también pueden recibirse llamadas de clientes potenciales. - Telemarketing: Emisión de llamadas, desde EDP hacia bases de datos propias de ya clientes para upselling o recuperación de abandonos. Se utiliza para la realización de la llamada el número de teléfono que consta en la ficha del cliente, y que ha sido aportado por dicha persona con anterioridad. - LEADS: Emisión o recepción de llamadas, sobre usuarios que han manifestado un interés en alguna plataforma o página web (sorteos, promociones, comparadores de ofertas, blogs, agencias de publicidad, etc.) dejando sus datos básicos para ser contactados o contactando ellos mismos en el número de teléfono que se les muestra. Normalmente dichos usuarios aún no tienen contratos activos con EDP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/141 B. Canal Web, con cierre mediante un formulario digital. El usuario accede a través de una web e inicia un proceso de contratación totalmente online, sin interacción con agentes. C. Distribuidores, con cierre presencial o digital del proceso de contratación, incluyendo: - Oficinas Comerciales propias de EDP. Normalmente ya clientes de EDP que acuden proactivamente a la oficina, aunque puede tratarse también de clientes potenciales. - Tiendas ajenas (ej. ***TIENDA.1). En general nuevos clientes que acuden a realizar sus compras y se interesan por la oferta de EDP. D. Fuerzas de Venta Externas, con cierre presencial del proceso de contratación, incluyendo: - Stands en Ferias, Centros Comerciales, etc. En general nuevos clientes que acuden a dichos eventos o lugares y se interesan por la oferta de EDP. - Visitas a domicilio con solicitud previa. Clientes o potenciales clientes que han facilitado sus datos y consentimiento para recibir propuestas de un agente de EDP a domicilio. SEGUNDO.- Descripción del procedimiento de contratación seguido a través de cada uno de los canales anteriores cuando la contratación es realizada por un tercero en representación de la persona física titular del contrato. A. Canal Telefónico: A continuación, pasan a describirse los procedimientos implantados en EDP en aquellos casos en los que la contratación es realizada por un tercero en representación de una persona física vía telefónica: A.1 – CAC INBOUND 1) Cuando el usuario indica que desea realizar una contratación como representante se le pregunta por su relación con el titular y si cuenta con autorización de dicha persona. 2) Una vez confirmado el punto anterior, se solicitan datos identificativos del representante, y todos los datos del titular necesarios para formalizar la contratación. 3) Finalmente se lee y registra en audio el Consentimiento Expreso de representante. 4) Al titular del contrato, a efectos informativos, se le remite por duplicado, con sobre franqueado, la documentación contractual en cumplimiento de lo dispuesto en la normativa de protección de consumidores y usuarios. A.2 – TELEMARKETING 1) Cuando el usuario indica que desea realizar una contratación como representante se le pregunta por su relación con el titular. 2) Una vez confirmado el punto anterior, se solicitan datos identificativos del representante, y todos los datos del titular necesarios para formalizar la contratación. 3) A continuación, se lee y registra en audio el Consentimiento Expreso de representante. 4) Finalmente se envía soporte duradero al teléfono/sms facilitado por el representante, y se espera a su confirmación. 5) Al titular del contrato, a efectos informativos, se le remite por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/141 duplicado, con sobre franqueado, la documentación contractual en cumplimiento de lo dispuesto en la normativa de protección de consumidores y usuarios. A.3 – LEADS 1) Cuando el usuario indica que desea realizar una contratación como representante se le pregunta por su relación con el titular. 2) Una vez confirmado el punto anterior, se solicitan datos identificativos del representante, y todos los datos del titular necesarios para formalizar la contratación. 3) A continuación, se lee y registra en audio el Consentimiento Expreso de representante. 4) Seguidamente se envía soporte duradero al teléfono/sms facilitado por el representante, y se espera a su confirmación. 5) Al titular del contrato, a efectos informativos, se le remite por duplicado, con sobre franqueado, la documentación contractual en cumplimiento de lo dispuesto en la normativa de protección de consumidores y usuarios. 6) En este canal, por el modo de contratación y las características de los clientes que lo utilizan, se tiene en marcha, como prueba piloto, la comunicación vía SMS o e-mail al representado (en casos de no parentesco con el representante para estudiar su eficacia y receptividad.) B. Web: No se ofrece la opción de contratación con representante. C. Distribuidores: En el caso de contrataciones realizadas en Oficinas Comerciales propias de EDP (en las tiendas ajenas no existe la posibilidad de contratar en nombre y representación de un tercero) el procedimiento es el siguiente: 1) En aquellos casos en los que el usuario indica que desea realizar una contratación como representante de un tercero, se le pregunta por su relación con el titular. 2) Una vez obtenida la información, se solicitan los datos identificativos del representante, y todos los datos del titular necesarios para formalizar la contratación. Igualmente, se requiere una fotocopia del NIF, tanto del representante como del representado. 3) También se requiere de la presentación de un documento de autorización cumplimentado y firmado por ambas partes interesadas (representante y titular). D. Fuerzas de Venta Externas: En caso de contrataciones realizadas por fuerzas de venta externas (stands de ferias, centros comerciales y visitas a domicilio, siempre que exista solicitud previa por parte del interesado), en el contrato se recabarán los datos identificativos del representante, solicitando igualmente, los datos del titular necesarios para formalizar la contratación. En el contrato, se especifica de forma expresa que el representante declara disponer de facultades suficientes para suscribir el contrato en nombre del cliente a quien se responsabiliza de informar de todas las condiciones del mismo. Se requiere, por otra parte, de una fotocopia del NIF del representante. A continuación, se registra en audio una verificación de la contratación donde se le indica en dos ocasiones al representante, el hecho de que actúa en representación del titular del suministro y se confirma la relación-parentesco que les vincula. Por tanto, para acreditar la representación, se formaliza el talonario de contratación donde el representante declara disponer de facultades suficientes para suscribir el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/141 contrato en nombre del cliente a quien se responsabiliza de informar de todas las condiciones de este. Igualmente, se aporta copia del NIF del representante. Al respecto se solicita aportar, además de toda la información que considere oportuna a los efectos de documentar el procedimiento, los siguientes: 2.1. Copia de los documentos (modelos de formularios, contratos, argumentarios telefónicos, etc.) usados para recopilar los datos personales del titular y del tercero que actúa representándolo, con indicación del canal o canales para los que se utiliza cada uno. A. Canal Telefónico: A.1 – CAC INBOUND La recopilación de datos se realiza en el sistema de cada uno de los proveedores, siguiendo el orden que corresponda según la tipología de cliente, producto contratado o campaña. Documentos: 1) Plantilla datos ventas (Evidencia 1) 2) Consentimiento Expreso Ventas representante CAC (Evidencia 2) En la evidencia 2 consta lo siguiente: "[XXXXXX] vamos a grabar su conformidad. ¿de acuerdo? Son las [hh:mm] del día [dd] de [mm] de [20XX], y D./Dña.[nombre y apellidos] con DNI [nº DNI], como [marido/mujer/hijo/apoderado/representante] y en representación del titular [nombre y apellidos / razón social] con DNI/CIF [nº DNI/CIF] teléfono [teléfono] y correo electrónico [email] ha llamado y acepta la oferta de EDP para la dirección [dirección de suministro] que consiste en [condiciones del plan -dto. en la luz-] para [CUPS LUZ: ES…] sobre el precio EDP vigente de electricidad [precio de potencia (€/kW mes) y precio término energía (€/kWh)] y/o [condiciones del plan -dto. en gas] para [CUPS GAS: ES…] y precio EDP vigente de gas [precio término disponibilidad (€/mes) y precio término energía (€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan promoción funciona]. [Si no se elige la fecha de cobro] La forma de pago escogida es [domiciliación bancaria en su cuenta actual/en la cuenta...] y se pasará al cobro en la fecha indicada en la factura. [Si se elige la fecha de cobro] La forma de pago escogida es [domiciliación bancaria en su cuenta actual/en la cuenta...] y se pasará al cobro en una fecha concreta, los días [DD] del mes. En ese caso el periodo de pago podrá ser inferior o superior a los 20 días establecidos en la normativa". "En nombre de su representado, y tras superar un análisis del riesgo de la operación, haremos las gestiones necesarias para activar los contratos de acceso, momento a partir del cual entrará en vigor el nuevo contrato quedando resuelto el anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/141 El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo salvo denuncia con antelación de 15 días. ¿Está conforme con la anterior información y condiciones del /los contrato/s? [Si / Vale]. En unos días recibirá el contrato incluyendo documento de desistimiento por duplicado, de los que sólo tendrá que devolvernos firmada una de las copias en el sobre autofranqueo, no necesita sello, que le adjuntaremos. Dispone de 14 días naturales para ejercer su derecho de desistimiento. No obstante, si usted nos lo solicita, podemos iniciar ahora los trámites. En ese caso, si posteriormente desistiera del contrato, deberá abonar el importe correspondiente al periodo de suministro prestado. ¿Desea que su contratación se tramite de forma inmediata? [SI/NO]. Aún recibirá alguna factura de su compañía actual por un periodo probablemente inferior al normal. A partir de ahí, desde la entrada en vigor del contrato recibirá la factura de EDP con todas nuestras ventajas. Sus datos personales y los de su representado serán tratados por EDP Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos, prevención de fraude, realización de perfiles basados en información del cliente y de EDP, así como la realización de comunicaciones personalizadas sobre productos o servicios directamente relacionados con sus contratos, pudiendo en cualquier momento oponerse a las mismas". "Adicionalmente, para que desde EDP podamos asesorarle con las mejores propuestas: ¿Nos permite presentar a su representado ofertas relacionadas con la energía adaptadas a su perfil tras la finalización del contrato, o remitirle en cualquier momento información de productos y servicios no energéticos, de Empresas Colaboradoras o de EDP? [SI/NO] ¿Nos permite completar el perfil comercial de su representado con información de bases de datos de terceros, con la finalidad de enviarle propuestas personalizadas y la posibilidad de contratar o no determinados servicios? [SI/NO] Su solicitud ha sido registrada con el código que le voy a indicar. Si lo desea, puede tomar nota [COD. CIG]". A.2 – TELEMARKETING La recopilación de datos se realiza en el sistema de cada uno de los proveedores, siguiendo el orden que corresponda según la tipología de cliente, producto contratado o campaña. Documentos: 1) Plantilla datos ventas (Evidencia 1) 2) Consentimiento Expreso Ventas representante TLMK (Evidencia 3) El texto de la evidencia 3 es el siguiente: “[Sr./Sra. XXXXXX] para contratarlo necesito grabar su conformidad ¿de acuerdo?. [Si]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/141 Bien, pues son las [hh:mm] del día [dd] de [mm] de [20XX [D./Dña] [nombre y apellidos] con DNI [nº DNI] como [marido/mujer/hijo/apoderado/representante] y en representación del titular [nombre y apellidos / razón social] con DNI/CIF [nº DNI/CIF], teléfono [teléfono] y correo electrónico [email] acepta la oferta de EDP para la dirección [dirección de suministro] que consiste en para [CUPS LUZ: ES…………..] sobre el precio EDP vigente de electricidad [precio de potencia (€/kW mes) y precio término energía (€/kWh)] y/o [condiciones del plan - dto. en gas] para [CUPS GAS: ES……………………….] y precio EDP vigente de gas [precio término disponibilidad (€/mes) y precio término energía (€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan promoción funciona]. La forma de pago escogida es [domiciliación bancaria en su cuenta actual/en la cuenta………] y se pasará al cobro [en la fecha indicada en la factura / en UNA FECHA CONCRETA, LOS DÍAS (DD) DEL MES. EN ESE CASO EL PERIODO DE PAGO PODRÁ SER INFERIOR O SUPERIOR A LOS 20 DÍAS ESTABLECIDOS EN LA NORMATIVA]. En nombre de su representado, y tras superar un análisis del riesgo de la operación, haremos las gestiones necesarias para activar los contratos de acceso, momento a partir del cual entrará en vigor el nuevo contrato, quedando resuelto el anterior. El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo salvo denuncia con antelación de 15 días. ¿Está conforme con la anterior información y condiciones del /los contrato/s?” [Si / Vale]. “Muchas gracias.” En unos días recibirá el contrato (incluyendo documento de desistimiento) por duplicado, de la que sólo tendrá que devolvernos firmada una de las copias en el sobre autofranqueo, no necesita sello, que le adjuntaremos. Dispone de 14 días naturales para ejercer su derecho de desistimiento en la forma que considere oportuna. No obstante, Podemos iniciar los trámites durante ese plazo si usted nos lo solicita, en cuyo caso si desistiera del contrato deberá abonar el importe proporcional a la parte prestada del suministro. ¿Desea que su contratación se tramite de forma inmediata? [SI/NO] Aún recibirá alguna factura de su compañía actual por un periodo probablemente inferior al normal. Con la entrada en vigor del contrato recibirá la factura de EDP con todas nuestras ventajas. Sus datos personales y los de su representado serán tratados por EDP Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos, prevención de fraude, realización de perfiles basados en información del cliente y de EDP, así como la realización de comunicaciones personalizadas sobre productos o servicios directamente relacionados con sus contratos, pudiendo en cualquier momento oponerse a las mismas. Adicionalmente, para que desde EDP podamos asesorarles con las mejores propuestas: ¿Nos permite presentar a su representado ofertas relacionadas con la energía tras la finalización del contrato, o remitirle en cualquier momento información de productos y servicios del sector financiero, asegurador y de automoción, de Empresas Colaboradoras o de EDP? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/141 [SI/NO] ¿Nos permite completar el perfil comercial de su representado con información de bases de datos de terceros, con la finalidad de enviarle propuestas personalizadas y la posibilidad de contratar o no determinados servicios? [SI/NO] Les recordamos que podrán ejercitar en cualquier momento sus derechos de acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de cualquiera de las vías indicadas en las Condiciones Generales que pueden consultar en nuestra web www.edpenergia.es. [Sólo en caso de contratación de gas] “Por su seguridad le recordamos la obligación legal de colaborar con su Compañía Distribuidora facilitando el acceso a sus instalaciones.” Para poder tramitar su petición necesitamos que confirme la aceptación de esta oferta que tiene el Código, por favor tome nota: “COD CIG”. A.3 – LEADS La recopilación de datos se realiza en el sistema de cada uno de los proveedores, siguiendo el orden que corresponda según la tipología de cliente, producto contratado o campaña. Documentos: 1) Plantilla datos ventas (Evidencia 1) 2) Consentimiento Expreso Ventas representante LEADS (Evidencia 4) El contenido de la evidencia 4 es el siguiente: “[Sr./Sra. XXXXXX] para contratarlo necesito grabar su conformidad ¿de acuerdo?. [Si]. Bien, pues son las [hh:mm] del día [dd] de [mm] de [20XX] y [D./Dña] [nombre y apellidos] con DNI [nº DNI] ha solicitado la llamada de EDP y como [marido/mujer/hijo/apoderado/representante] y en representación del titular [nombre y apellidos / razón social] con DNI/CIF [nº DNI/CIF], teléfono [teléfono] y correo electrónico [email] acepta la oferta de EDP para la dirección [dirección de suministro] que consiste en [condiciones del plan -dto. en la luz para [CUPS LUZ: ES…………..] sobre el precio EDP vigente de electricidad [precio de potencia (€/kW mes) y precio término energía (€/kWh)] y/o [condiciones del plan -dto. en gas] para [CUPS GAS: ES……………………….] y precio EDP vigente de gas [precio término disponibilidad (€/mes) y precio término energía (€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan promoción funciona]. La forma de pago escogida es [domiciliación bancaria en su cuenta actual/en la cuenta………] y se pasará al cobro [en la fecha indicada en la factura / en una fecha concreta, los días (

1. dd)del mes. en ese caso el periodo de pago podrá ser inferior o superior a los 20 días establecidos en la normativa]. En nombre de su representado, y tras superar un análisis del riesgo de la operación, haremos las gestiones necesarias para activar los contratos de acceso, momento a partir del cual entrará en vigor el nuevo contrato, quedando resuelto el anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/141 El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo salvo denuncia con antelación de 15 días. ¿Está conforme con la anterior información y condiciones del /los contrato/s?” [Si / Vale]. “Muchas gracias.” En unos días recibirá el contrato (incluyendo documento de desistimiento) por duplicado, de la que sólo tendrá que devolvernos firmada una de las copias en el sobre autofranqueo, no necesita sello, que le adjuntaremos. Dispone de 14 días naturales para ejercer su derecho de desistimiento en la forma que considere oportuna. No obstante, Podemos iniciar los trámites durante ese plazo si usted nos lo solicita, en cuyo caso si desistiera del contrato deberá abonar el importe proporcional a la parte prestada del suministro. ¿Desea que su contratación se tramite de forma inmediata? [SI/NO] Aún recibirá alguna factura de su compañía actual por un periodo probablemente inferior al normal. Con la entrada en vigor del contrato recibirá la factura de EDP con todas nuestras ventajas. Sus datos personales y los de su representado serán tratados por EDP Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos, prevención de fraude, realización de perfiles basados en información del cliente y de EDP, así como la realización de comunicaciones personalizadas sobre productos o servicios directamente relacionados con sus contratos, pudiendo en cualquier momento oponerse a las mismas. Adicionalmente, para que desde EDP podamos asesorarles con las mejores propuestas: ¿Nos permite presentarle ofertas relacionadas con la energía adaptadas a su perfil tras la finalización del contrato, o remitirle en cualquier momento información de productos y servicios no energéticos, de Empresas Colaboradoras o de EDP? [SI/NO] ¿Nos permite completar el perfil comercial de su representado con información de bases de datos de terceros, con la finalidad de enviarle propuestas personalizadas y la posibilidad de contratar o no determinados servicios? [SI/NO] Les recordamos que podrán ejercitar en cualquier momento sus derechos de acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de cualquiera de las vías indicadas en las Condiciones Generales que pueden consultar en nuestra web www.edpenergia.es. B. Web: No se ofrece la opción de contratación con representante. C. Distribuidores: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/141 En el caso de oficinas comerciales propias de EDP, la recopilación de datos se realiza en el sistema de cada uno de los proveedores, siguiendo el orden que corresponda según la tipología de cliente, producto contratado o campaña. Documentos aportados: 1) Plantilla datos ventas (Evidencia 1) 2) Plantilla autorización gestiones representante (Evidencia 5) En lo que respecta al contenido de la evidencia 5, el documento contiene tres recuadros diferenciados, En el primero se indica que ”el TITULAR (D.,,,, DNI o CIF) en nombre propio o representación de la empresa.” En el segundo recuadro se indica que “AUTORIZA a (D.,,,, DNI… o CIF) para realizar la gestión de (señala 4 posibilidades: alta/baja, cambio de titularidad, cambio de domiciliación bancaria, y/o otras gestiones) debiendo marcarse el recuadro contiguo a cada una de ellas. En el tercer recuadro se recoge “FIRMA” y se deja los espacios correspondientes al lugar, fecha (día, mes y año) y espacio para la firma del autorizante y autorizado. A continuación, se resalta con fondo rojo la siguiente leyenda: “NOTA: PARA TENER VALIDEZ, ESTA AUTORIZACIÓN DEBE PRESENTARSE ACOMPAÑADA DE FOTOCOPIA DEL DNI DEL TITULAR Y DEL AUTORIZADO. CUANDO SE TRATE DE AUTORIZACIÓN CONCEDIDA POR UN REPRESENTANTE DEL TIPO S.A., S.L., A.I.E, U.T.E, CB, COMUNIDAD DE PROPIETARIOS, FUNDACIONES, COLEGIOS, …, ADEMÁS SE REQUERIRÁ FOTOCOPIA DE LA ESCRITURA DE PODER OPORTUNA”. Seguidamente figura el siguiente texto; “Los interesados quedan informados que los datos de carácter personal facilitados en este formulario serán tratados como responsable del tratamiento por EDP ENERGÍA, S.A.U. y EDP COMERCIALIZADORA, S.A.U. con el fin de que puedan ser utilizados para la tramitación de la gestión autorizada. Los datos personales que usted nos facilita serán utilizados, en la forma y con las limitaciones y derechos que reconoce el Reglamento General de Protección de Datos (UE) 2016/679. Los interesados cuyos datos sean objeto de tratamiento podrán ejercitar los derechos de acceso, rectificación, supresión, portabilidad, limitación y oposición al tratamiento de estos datos, acreditando su identidad, mediante email dirigido a cclopd@edpenergia.es o mediante escrito dirigido al responsable del tratamiento a la dirección Plaza del Fresno, 2 – 33007 Oviedo (Asturias). Igualmente, podrá ponerse en contacto con el Delegado de Protección de Datos de EDP, en la misma dirección postal o en el correo electrónico dpd.es@edpenergia.es, en el caso de que entienda vulnerado alguno de sus derechos relacionados con la protección de datos, o en su caso, interponer una reclamación ante la Agencia Española de Protección de Datos “ D. Fuerzas de Venta Externas: En el caso de las fuerzas de venta externas (stands de ferias, centros comerciales y visitas a domicilio, siempre que exista solicitud previa por parte del interesado), la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/141 recopilación de datos se realiza en un talonario en papel. Estos datos se digitalizan en la Herramienta de Gestión de Canales (HGC). Para la verificación, la recopilación de datos se realiza en el sistema del proveedor de verificación. Documentos: 1) Talonario de ventas (Evidencia 6) 2) Plantilla datos ventas (Evidencia 1) 3) Script verificación (Evidencia 7) En lo que respecta a la evidencia 6, a la que el reclamado denomina Talonario de ventas, el documento, bajo el título “contrato de suministro de energía y/o servicios”, contiene en su primera página tres recuadros. En el primero figuran espacios para cumplimentar los datos relativos al punto de suministro (dirección, cup electricidad, cup gas) y separadamente casillas para marcar la contratación de contrato luz+gas o individualmente alguno de los dos servicios. Se contienen también espacios para cumplimentar los datos del titular del contrato (nombre, apellidos, teléfono y correo electrónico) y datos del representante (nombre, NIF y domicilio y se incluyen varias casillas para marcar que el representante lo es en calidad de cónyuge/pareja registrada, ascendiente/ descendiente o apoderado) debajo de tales casillas un texto señala que “declara disponer de facultades suficientes para suscribir el presente contrato en nombre del cliente a quien se responsabiliza de informar de todas las condiciones del mismo.” Debajo de este recuadro se contiene la siguiente leyenda; “El cliente contrata, para el suministro que se indica, el suministro de gas con EDP Comercializadora, S.A.U. y el suministro de electricidad y/o los servicios complementarios con EDP Energía, S.A.U., (en adelante conjunta y/o individualmente, según proceda, referidas como “EDP”) con arreglo a las Condiciones Específicas que se recogen a continuación y a las Condiciones Generales en anexo. El cliente solicita que la prestación del suministro / los suministros y/o servicios se inicie durante el plazo de desistimiento contemplado en las condiciones generales.” En el segundo recuadro titulado condiciones específicas del contrato y en el que separadamente según se trate de gas o luz se contienen ciertas informaciones sobre tarifas y en el que existen espacios para ser cumplimentados y casillas para marcar relativas a los servicios que se contratan, figura tanto en la parte de gas como en la de luz una casilla que debe marcarse para indicar que se cambia de titular. También se incluye un espacio para cumplimentar los datos relativos a la cuenta corriente para domiciliar los cobros (este espacio es común a todos los servicios contratados) Debajo de este recuadro figura el siguiente texto: “EDP se reserva el derecho a renunciar al presente contrato si los datos efectivos del suministro no se ajustan a los declarados por el cliente a la hora de contratar.” Seguidamente figura una casilla para marcar que “El cliente expresamente declara conocer y aceptar las anteriores Condiciones Específicas.” Y otra para marcar que “El cliente declara haber sido informado y recibido el anexo con las Condiciones Generales, que acepta.” Se añade a continuación que “El cliente, si tuviera la condición de consumidor, tiene DERECHO A DESISTIR de este contrato si hubiera sido formalizado a distancia o fuera de los establecimientos de la comercializadora según se indica en las condiciones generales y reconoce que le ha sido entregado el correspondiente documento de desistimiento al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/141 efecto.” Figura a continuación una casilla para marcar que “El cliente declara haber recibido el documento de desistimiento y haber sido informado del mismo.” En el tercer recuadro, bajo el título CLIENTE/REPRESENTANTE tras advertir que la información relativa a protección de datos puede leerse en el reverso, permite marcar los siguientes consentimientos:  Consiento el tratamiento de mis datos personales una vez finalizada la relación contractual, para la realización de comunicaciones comerciales adaptadas a mi perfil de productos y servicios relativos al suministro y consumo de energía. Asimismo, consiento los mencionados tratamientos durante la vigencia y tras la finalización del contrato, sobre productos y servicios no energéticos, tanto de las empresas del Grupo EDP como de terceros.  Consiento el tratamiento de mis datos personales para la elaboración de mi perfil comercial con información proveniente de bases de datos de terceros, para la adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar propuestas comerciales personalizadas, así como para permitir, o no, la contratación de determinados servicios. En el reverso de la primera página aparece un apartado, titulado “Información básica sobre Protección de Datos”: en el que figura lo siguiente: “Los datos personales serán tratados por parte de EDP COMERCIALIZADORA, S.A.U. y EDP ENERGÍA, S.A.U. (en adelante, conjuntamente, EDP) en calidad de Responsables del Tratamiento, para el mantenimiento, desarrollo, cumplimiento y gestión de la relación contractual, prevención del fraude, realización de perfiles basados en información facilitada por el Cliente y/o derivada de la prestación del servicio por parte de EDP, así como envío de comunicaciones comerciales, relativas a productos y servicios relacionados con el suministro y consumo de energía, mantenimiento de instalaciones y equipamiento, y que podrán ser personalizadas en base a su perfil de Cliente, según se informa en las Condiciones Generales, pudiendo oponerse en cualquier momento al envío de comunicaciones comerciales. Adicionalmente, el Cliente presta su consentimiento explícito para los tratamientos de datos personales recogidos en el anverso. Sin perjuicio de los consentimientos prestados, el cliente podrá ejercitar, en todo momento, sus derechos de acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de cualquiera de las vías indicadas en las Condiciones Generales.” En la parte de condiciones generales figura la siguiente información relativa a protección de datos personales: “LOPD Finalidades del tratamiento de los datos personales. De acuerdo con lo dispuesto en la normativa vigente el cliente queda informado de que todos los datos facilitados en el presente contrato son necesarios a los efectos de su formalización. Dichos datos, además de los obtenidos como consecuencia de la ejecución del contrato, serán tratados por EDP COMERCIALIZADORA, S.A.U, con domicilio en c/General Concha, 20, 48001, Bilbao y por EDP ENERGIA, S.A.U con domicilio en Plaza del Fresno, 2 -33007, Oviedo en su calidad de Responsables del tratamiento, con la finalidad de gestionar, mantener, desarrollar, cumplimentar y controlar la contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/141 gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de puntos, y/o mejora del servicio, para la realización de acciones de prevención del fraude, así como realización de perfiles, comunicaciones comerciales personalizadas basadas en información facilitada por el Cliente y/o derivada de la prestación del servicio por parte de EDP y relativas a productos y servicios relacionados con el suministro y consumo de energía, mantenimiento de instalaciones y equipamientos. Dichos tratamientos serán realizados dando estricto cumplimiento a la legislación vigente y en la medida que sean necesarios para la ejecución del contrato y/o la satisfacción de los intereses legítimos de EDP, siempre que sobre estos últimos no prevalezcan otros derechos del cliente. Siempre que el cliente lo haya aceptado explícitamente, sus datos personales serán tratados, incluso una vez finalizada la relación contractual y siempre que no se produzca la oposición a dicho tratamiento, para: (I)La promoción de servicios financieros, servicios de protección de pagos, automoción o afines y electrónica, propios o de terceros, ofrecidos por EDP y/o la participación en concursos promocionales, así como para la presentación de propuestas comerciales vinculadas al sector energético tras la finalización del contrato, (II) La elaboración de perfiles comerciales del Cliente mediante la agregación de las bases de datos de terceros, con el fin de ofrecer al Cliente productos y servicios personalizados, mejorando así la experiencia del cliente, (III) La adopción de decisiones automatizadas, tales como permitir la contratación, o no, de determinados productos y/o servicios basadas en el perfil del Cliente y particularmente, en datos tales como, el histórico de impagos, el histórico de contrataciones, permanencia, ubicaciones, datos de consumo, tipos de dispositivos conectados a la red energética, y datos semejantes que permitan conocer con mayor detalle los riesgos asociados a la contratación. (IV) Tomando como base los resultados obtenidos de la agregación de los datos indicados, EDP podrá realizar ofertas personalizadas, y concretamente orientadas a lograr la contratación de determinados productos y/o servicios de EDP o de terceras entidades en función de si el cliente así lo ha consentido o no, siendo en todo caso tratados datos cuya antigüedad no superará un año. En caso de que dicho proceso se llevara a cabo de forma automatizada, el cliente siempre tendrá derecho a obtener intervención humana por parte de EDP, admitiéndose la impugnación y en su caso valoración de la decisión resultante. Categorías de datos tratados En virtud de la relación contractual, EDP podrá tratar los siguientes tipos de datos personales: (I) Datos identificativos (nombre, apellidos, DNI, dirección postal, dirección de correo electrónico, punto de suministro, etc.), (II) Códigos o claves de identificación de usuario y/o Cliente, (III) Datos de características personales (fecha de nacimiento, sexo, nacionalidad, etc.), (IV) Datos de circunstancias sociales (aficiones, estilo de vida, estado civil, etc.), (V) Datos de consumo energético y hábitos de vida derivados de éstos, (VI) Datos económicos, financieros, de solvencia y/o de seguros. Los datos personales serán conservados durante la vigencia de la relación contractual y como máximo, durante el plazo de prescripción de las acciones legales correspondiente, salvo que el Cliente autorice su tratamiento por un plazo superior, aplicándose desde el comienzo del tratamiento medidas organizativas y de seguridad para garantizar la integridad, confidencialidad, disponibilidad y resiliencia de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/141 Comunicaciones y destinatarios de los datos personales. Todos los datos personales derivados de la prestación del servicio y los obtenidos en virtud del presente contrato podrán ser comunicados a las siguientes entidades:
2. i)La empresa distribuidora correspondiente, produciéndose con la misma un intercambio de información permanente para la adecuada prestación del servicio, entre ellos la solicitud de acceso a su red, las lecturas (que en el caso de contador telegestionado serán horaria) y/o estimación de consumo, control de calidad del suministro, solicitud de cortes de suministro, modificaciones en la potencia, etc.
3. ii)Los Organismos y Administraciones Públicas que por Ley corresponda. iii) Los Bancos y entidades financieras para el cobro de los servicios prestados.
4. iv)Otras empresas del grupo empresarial, únicamente para fines administrativos internos y la gestión de los productos y servicios contratados.
5. v)Servicios de solvencia patrimonial y crédito de ámbito nacional (Asnef-Equifax, …) a los que en caso de impago, sin causa justificada por parte del Cliente, se podrá comunicar la deuda, así como servicios de prevención contra el fraude, con el único fin de identificar información errónea o fraudulenta facilitada durante el proceso de contratación.
6. vi)Proveedores de EDP necesarios para el adecuado cumplimiento de las obligaciones contractuales, incluso aquellos que pueden estar ubicados fuera del Espacio Económico Europeo encontrándose en tal caso debidamente adecuada la transferencia internacional de datos. Derechos del titular de los datos El cliente contará en todo momento con la posibilidad de ejercitar de forma libre y completamente gratuita los siguientes derechos:
7. i)EDP. Acceder a sus datos personales que sean tratados por parte de
8. ii)Rectificar sus datos personales que son tratados por parte de EDP que resulten inexactos o incompletos. iii) Suprimir sus datos personales que son tratados por EDP
9. iv)Limitar el tratamiento por parte de EDP de todos o parte de sus datos personales.
10. v)Oponerse a determinados tratamientos y adopción de decisiones automatizadas de sus datos personales, requiriendo la intervención humana en el proceso, así como a impugnar las decisiones que sean finalmente adoptadas en virtud del tratamiento de sus datos.
11. vi)Portar sus datos personales en un formato interoperable y autosuficiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/141 vii) Retirar en cualquier momento, los consentimientos otorgados previamente. De conformidad con la normativa vigente, el usuario puede ejercer sus derechos solicitándolo por escrito, y junto a una copia de documento fehaciente de acreditación de la identidad, en la siguiente dirección postal: Plaza del Fresno, 2, 33007 Oviedo o en el correo electrónico cclopd@edpenergía.es Igualmente, podrá ponerse en contacto con el delegado de protección de datos de EDP en la siguiente dirección postal Plaza del Fresno, 2, 33007 Oviedo o en el correo electrónico dpd,es@edpenergía.es, en el caso de que entienda vulnerado alguno de sus derechos relacionados con la protección de datos, o en su caso, interponer una reclamación ante la Agencia Española de Protección de Datos, en la dirección Calle de Jorge Juan, 6, 28001. Madrid “ La evidencia 7 hace referencia a un proceso de venta con verificación exprés online. SCRIP VERIFICADOR-AGENTE Parte 1 (Llamada del agente al número ***TELÉFONO.1 o ***TELÉFONO.2) VERIF-Verificaciones EDP, buenos días. ¿Me indicas tu número de teléfono para realizar la verificación? AGE- Buenos días, mi teléfono es XXXXX. VERIF-Procedo a emitir la llamada saliente. Parte 2 (Llamada saliente del verificador al teléfono del agente) VERIF: Buenos días, ¿me indicas DNI?. XXXXX ¿Me indicas tu nombre y apellidos y empresa colaboradora? Si la herramienta nos devuelve los datos del colaborador (y el mismo está activo) comprobaremos si coinciden, en caso afirmativo continuamos, en caso de que no coincidan le volvemos a solicitar el dato/s que no coincida para reconfirmar la discrepancia, si continua le indicaremos: «No podemos realizar la verificación, los datos que nos facilitas son incongruentes»). En caso de que la herramienta no nos devuelva nada, le solicitaremos nuevamente el DNI y si continua sin aparecer le indicamos: «No podemos realizar la verificación, tu empresa no te ha acreditado». VERIF- ¿Me indicas nombre, apellidos y DNI del firmante? XXXXX ¿Cuántos contratos ha firmado? XXXX (máximo 6 contratos por llamada) realizados en el Stand de EDP en el CC XX/en la tienda del colaborador XX VERIF-¿El firmante es el titular del/los contratos?. En caso de ser titular solicitar teléfono de contacto y provincia. Si firma como representante, solicitar nombre, apellidos y DNI de/los titulares (máximo 3) y teléfono de contacto y provincia principal de cada titular. VERIF-¿Me puedes indicar el teléfono del firmante para realizar la verificación? XXXXX VERIF-Procedo a emitir la llamada para iniciar la verificación. Parte 3 (Llamada saliente del verificador al teléfono de verificación) VERIF al CLIENTE- Buenos días, soy XXXX de la empresa ***EMPRESA.1 colaboradora de EDP. Por motivos de seguridad le comunico que esta llamada está siendo grabada ¿me confirma que es NOMBRE FIRMANTE con DNI XXXX y que acaba de firmar XX contratos en el stand de EDP/tienda del colaborador (en caso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/141 firmar como representante indicar “en representación de nombre-apellidos TITULAR con DNI) Si/No. ¿Qué relación-parentesco tiene con el titular? (está pregunta no se realiza cuando el titular es una empresa). -Inquilino, tengo la casa alquilada. Solicitar que le pase al agente e indicarle que no es posible que un inquilino firme como representante. Verificación KO. -Familiar o apoderado: continuar la verificación. Perfecto, pásame por favor con el agente para tomar unos datos y realizar la verificación, gracias. 2.2. Descripción de los procedimientos habilitados a través de cada uno de los canales de contratación para que un tercero pueda acreditar la representación de un titular al suscribir un contrato con EDP COMERCIALIZADORA, S.A.U. A. Canal Telefónico: A.1 – CAC INBOUND Grabación del texto legal donde el representante confirma los datos aportados del representado. A.2 – TELEMARKETING Grabación del texto legal donde el representante confirma los datos aportados del representado y soporte duradero vía sms/email donde el representante confirma de nuevo dichos datos. A.3 – LEADS Grabación del texto legal donde el representante confirma los datos aportados del representado y soporte duradero vía sms/email donde el representante confirma de nuevo dichos datos. Adicionalmente, en la prueba piloto de este canal, se envía al representado otro sms/email informando de la acción del representante. B. Web: No se ofrece la opción de contratación con representante. C. Distribuidores: En el caso de oficinas comerciales propias de EDP, se solicita cumplimentado y firmado por ambas partes interesadas (representante y titular) un documento de autorización expresa en el que figuran los datos de ambas personas y copias de sus NIF. D. Fuerzas de Venta Externas: En el caso de las fuerzas de venta externas (stands de ferias, centros comerciales y visitas a domicilio, siempre que exista solicitud previa por parte del interesado), la recopilación, se conserva el talonario de contratación donde el representante declara disponer de facultades suficientes para suscribir el contrato en nombre del cliente a quien se responsabiliza de informar de todas las condiciones de este. Igualmente, se dispone y conserva la grabación de verificación donde se confirman con el representante los datos del representado, así como la relación/ parentesco que les une. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/141 2.3. Especificación del procedimiento seguido por EDP COMERCIALIZADORA, S.A.U. para almacenar las evidencias que acreditan la capacidad de representación del tercero en los procedimientos en que se efectúa este tipo de contratación, con indicación del canal o canales para los que se usa cada uno. A. Canal Telefónico: A.1 – CAC INBOUND La grabación se encuentra almacenada vinculada al sistema de gestión comercial de Contactos donde se registra la solicitud. A.2 – TELEMARKETING La grabación y el soporte duradero se encuentran almacenados en el sistema de gestión comercial de Canales. A.3 – LEADS La grabación y el soporte duradero se encuentran almacenados en el sistema de gestión comercial de Canales. B. Web: No se ofrece la opción de contratación con representante. C. Distribuidores En el caso de las Oficinas Comerciales propias de EDP, el documento de autorización se encuentra almacenado vinculada al sistema de gestión comercial de Contactos donde se registra la solicitud. D. Fuerzas de Venta Externas: El talonario de contratación y la grabación de la llamada de verificación se encuentran almacenado de forma digital en el sistema de gestión comercial de Canales. Por su parte, la copia en papel se remite al proveedor encargado por EDP de la custodia de dichos documentos. 2.4. Adjuntar modelos y/o ejemplos de evidencias tipo recopiladas en virtud del procedimiento seguido en el apartado 2.3. A. Canal Telefónico: A.1 – CAC INBOUND Se aporta ejemplo con las grabaciones (Evidencia 8) Se trata de un audio con la grabación de una contratación de servicios en un caso concreto realizado mediante representación. Su contenido es el mismo que en la evidencia 2. A.2 – TELEMARKETING Se aportan ejemplos de grabaciones y los soportes duraderos (Evidencias 9 y 10, respectivamente) La evidencia 9 consiste en un audio con la grabación de la contratación de servicios con el representante de un cliente. Reproduce el contenido de la evidencia 3. La evidencia 10 es un documento con el siguiente texto: “Confirmación de aceptación de comunicación por sms: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/141 El día 2019-04-26 15:50:06 se envió un SMS desde el número de teléfono ***TELÉFONO.3 con el texto: Oferta EDP: ***OFERTA.1 Por favor, responde con un SI a este SMS para aceptar y activar descuentos. Gracias. Detalles: http://edpconfirma.es/OOUSEAVSXK al número de teléfono destinatario ***TELÉFONO.4. Dicho mensaje fue respondido con el ID de notificación OOUSEAVSXK, el día 2019-04-26 15:50:46 y con el texto: Si el cual aceptamos como válido para la tramitación del producto ofertado en el documento que se muestra a continuación. Se indican a continuación datos personales del contratante y de la oferta y la siguiente información: Sus datos personales serán tratados por EDP Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos, prevención de fraude, realización de perfiles basados en información del cliente y de EDP, así como la realización de comunicaciones personalizadas sobre productos o servicios directamente relacionados con sus contratos, pudiendo en cualquier momento oponerse a las mismas. Le recordamos que podrá ejercitar en cualquier momento sus derechos de acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de cualquiera de las vías indicadas en las Condiciones Generales que puede consultar en nuestra web www.edpenergia.es.” A.3 – LEADS Se aportan ejemplos con las grabaciones y los soportes duraderos (Evidencias 11, 12, y 13, respectivamente) B. Web: No se ofrece la opción de contratación con representante. C. Distribuidores: En lo que se refiere a Oficinas Comerciales propias, se adjunta modelo de documento de autorización cumplimentado por el representante a favor del representado (Evidencia 14). D. Fuerzas de Venta Externas: Con respecto a las evidencias generadas por las fuerzas de venta externas, se adjunta modelo de talonario de contratación donde se recoge la representación (Evidencia 15), así como la grabación en la que se confirma la misma, así como la relación-parentesco que les vincula (Evidencia 16). TERCERO. - Información del número de contratos suscritos en 2018 y 2019 por terceros en representación de los titulares de los servicios (personas físicas) con distinción de: 3.1. En virtud de qué se apoya dicha representación (poder, grado de parentesco, etc.) 3.2. Procedimiento o fórmula de acreditación de la representación seguido. 3.3. Canal de contratación telefonía, internet, distribuidores propios o subcontratas, fuerza de ventas con visitas a domicilio propia o subcontratada, etc.…) En relación con la petición de información relativa al número de contratos suscritos en los años 2018 y 2019 por terceros en representación de personas físicas, se pone en conocimiento de la AEPD la siguiente información relativa a cada uno de los canales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/141 A. Canal Telefónico: 11656 A.1 – CAC INBOUND Año Canal Representación 2018 CAC Parentesco 2018 CAC Sin parentesco 2019 CAC Parentesco 2019 CAC Sin parentesco A.2 – TELEMARKETING Año Canal 2018 TELEMARKETING 2018 TELEMARKETING 2019 TELEMARKETING 2019 TELEMARKETING A.3 – LEADS Año Canal 2018 LEADS 2018 LEADS 2019 LEADS 2019 LEADS Nº Contratos 1.346 394 983 278 Representación Parentesco Sin parentesco Parentesco Sin parentesco Representación Parentesco Sin parentesco Parentesco Sin parentesco Nº Contratos 2.865 82 1.201 42 Nº Contratos 5.518 849 6.127 1.160 B. Web: No se contempla la contratación con representante. C. Distribuidores (Oficinas comerciales propias): Año Canal 2018 OOCC 2018 OOCC 2019 OOCC 2019 OOCC Representación Parentesco Sin parentesco Parentesco Sin parentesco Nº Contratos 194 67 174 78 D. Fuerzas de Venta Externas: (stands ferias, centros comerciales – visita a domicilio) Año Canal 2018 FVE 2018 FVE 2019 FVE 2019 FVE Representación Parentesco Sin parentesco Parentesco Sin parentesco Nº Contratos 10.758 118 1.556 58 QUINTO: Por escrito de fecha 29 de mayo de 2020, enviado el 1 de junio de 2020, se formula nuevo requerimiento de información a EPD COMERCIALIZADORA, S.A.U solicitando la que a continuación se relaciona: 1. Copia del contenido incluido en el Registro de Actividades de Tratamiento (artículo 30 del RGPD) en lo relativo a las actividades de tratamiento de datos personales realizadas en el contexto de la contratación de servicios con EDP COMERCIALIZADORA, S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/141 2. Copia del contenido incluido en el Análisis o Evaluación de Riesgos realizado por la entidad en cumplimiento del artículo 32 del RGPD en lo relativo a los tratamientos de datos personales realizados en el contexto de la contratación de servicios con EDP COMERCIALIZADORA, S.A.U. 3. Entre la información facilitada con anterioridad por la entidad a la AEPD, registrada con el número 001390/2020, se especifica de forma recurrente (ver evidencias 2, 3, 4, 6, 10, 12, 14, 15) que los datos personales serán tratados para el conjunto de finalidades descritas, además de por EDP COMERCIALIZADORA, S.A.U., por otra persona jurídica (EDP ENERGIA, S.A.U). Se solicita, al respecto, la siguiente información: 3.1. Motivo que justifica que ambas entidades traten los datos personales recogidos. 3.2. Detalle de las circunstancias que condicionan, si las hubiera, que los tratamientos realizados sobre unos datos personales concretos sean ejecutados por una u otra entidad. 3.3. Detalle, en su caso, de los procedimientos y mecanismos utilizados para garantizar la separación de los datos personales tratados por una y otra entidad de forma que cada una sólo tenga posibilidad de tratar lo que le corresponda en función de la finalidad legítima perseguida en cada momento. SEXTO: Con fecha 17 de junio de 2020 tiene entrada en esta Agencia escrito de EDP COMERCIALIZADORA, S.A.U. en el que se expone lo siguiente respecto de la última cuestión planteada en el requerimiento de esta Agencia a que hace referencia el punto anterior: “TERCERO.- Entre la información facilitada con anterioridad por la entidad a la AEPD, registrada con el número 001387/2020, se especifica de forma recurrente (ver evidencias 2, 3, 4, 6, 10, 12, 14, 15) que los datos personales serán tratados para el conjunto de finalidades descritas, además de por EDP COMERCIALIZADORA, S.A.U, por otra persona jurídica (EDP ENERGIA, S.A.U.). Se solicita, al respecto, la siguiente información: 3.1. Motivo que justifica que ambas entidades traten los datos personales recogidos. 3.2. Detalle de las circunstancias que condicionan, si las hubiera, que los tratamientos realizados sobre unos datos personales concretos sean ejecutados por una u otra entidad. Al tratarse de dos cuestiones directamente relacionadas entre sí, se da respuesta conjunta a las mismas. En relación con las evidencias aportadas y que se corresponden con soportes que se utilizan para llevar a cabo la contratación a través de los distintos canales se hace referencia, tanto a EDP COMERCIALIZADORA, como a EDP ENERGÍA S.A.U. (EDP ENERGÍA), debido a que la sociedad con la que se contraten los servicios será una u otra dependiendo del producto y/o servicio solicitado, siendo altamente probable que un mismo cliente al solicitar la contratación del suministro eléctrico y de gas, esté contratando con ambas sociedades al mismo tiempo. Por este motivo, se ha elaborado y estructurado el contrato “dual” de forma que un cliente pueda obtener descuentos o ventajas adicionales por el hecho de contratar ambas energías con dos sociedades del mismo Grupo empresarial, y a fin de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/141 mantener actualizados los descuentos en cada una de las energías e información derivada, es necesario que ambas sociedades conozcan si la energía inicialmente contratada con la otra sociedad del Grupo se mantiene activa para poder mantener y gestionar correctamente los descuentos/ventajas aplicadas. Por este motivo, y con el fin de dotar de la máxima transparencia posible a un proceso realizado eminentemente por escrito, como es el de la contratación de los servicios energéticos, es por el que en la cláusula relativa a protección de datos se informa que los datos personales facilitados durante el proceso de contratación serán tratados por ambas entidades, siempre respetando las funciones de cada una de acuerdo con el contrato suscrito en cada caso y particularmente el tipo de servicios energéticos que finalmente sean contratados. Por otro lado, y con independencia de lo expuesto, ponemos en conocimiento de esa Agencia que la existencia de dos compañías dentro del Grupo con el rol de entidades comercializadoras se debe a una cuestión meramente formal, consecuencia de la estructura societaria y composición accionarial de las compañías adquiridas por el Grupo EDP en el momento de su establecimiento en España, pero que no se corresponde con el funcionamiento operativo de dichas comercializadoras, dado que solo una de ellas, EDP COMERCIALIZADORA, cuenta en la actualidad con empleados y capacidad de gestión y operativa. De este modo, en la práctica, todos los tratamientos son realizados por dicha entidad, bien en calidad de responsable del tratamiento o como encargada del tratamiento de EDP ENERGÍA. Adicionalmente, indicar que el Grupo EDP tenía prevista la reorganización societaria de EDP COMERCIALIZADORA y EDP ENERGÍA y la adaptación de su estructura societaria con la de su funcionamiento real y su operativa de negocio. Dicha reorganización se ha visto en la actualidad afectada por un proceso de venta a TOTAL en el que ambas sociedades están inmersas, y que de materializarse, podría alterar o ultimar dicha integración. 3.3. Detalle, en su caso, de los procedimientos y mecanismos utilizados para garantizar la separación de los datos personales tratados por una y otra entidad de forma que cada una sólo tenga posibilidad de tratar lo que le corresponda en función de la finalidad legítima perseguida en cada momento. Como ya se ha expuesto, todos los usuarios con acceso al sistema son empleados de EDP COMERCIALIZADORA. De esta forma, los agentes de EDP acceden a los datos personales de los clientes de dicha entidad en calidad de responsables del tratamiento o bien, tienen acceso a los datos personales de los clientes de EDP ENERGÍA, en calidad de Encargado de Tratamiento, en cumplimiento de la prestación de servicios de gestión de clientes de EDP ENERGÍA que EDP COMERCIALIZADORA le tiene encomendado, siendo gestionados en calidad de los dos diferentes roles que ocupan en virtud de la regulación contractual que ponemos a disposición de esta Agencia.” Junto a dicha respuesta se aporta extracto del Registro de Actividades de Tratamiento que incluye los registros relativos a las actividades que se realizan en el ámbito de la contratación de productos y/o servicios y el análisis de riesgos realizado relativo a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/141 tratamientos que se realizan en el contexto de la contratación de productos y/o servicios. El análisis de riesgos se contiene en un documento de Excel, no contiene fecha ni firma. Se enumeran 15 factores de riesgo; 1. Información comercialmente sensible, 2. Comunicaciones Comerciales, 3. Origen Datos (fuente externa o interna), 4. Cesiones de Datos. 5, Encargados Tratamiento. 6. Transferencias internacionales. 7. Actividades de scoring/ Profiling. 8.Decisiones automatizadas. 9. Monitorización sistemática de titulares. 10. Categorías especiales de datos. 11. Tratamientos de datos a gran escala. 12. Interconexiones de datos/ Big Data. 13. Datos Menores/ Titulares vulnerables. 14. Aplicación o uso de tecnologías innovadoras.15. Tratamiento inevitable/ Restricción ejercicio derechos o acceso servicio. En cuanto a la valoración potencial del riesgo inherente, la escala de riesgo tiene 4 niveles: bajo, con una valoración de 0 a 12; medio valoración de 13 a 25; alto de 26 a 38 y muy alto de 39 a 51. La valoración o peso que se da a cada uno de los factores de riesgo es de 1 a 4. En el análisis de riesgos se marca para cada uno de los canales de venta un sí o un no en cada uno los 15 factores de riesgo antes enumerados. La suma del peso atribuido a de cada uno de los factores para cada canal determina el riesgo inherente. El resultado del riesgo inherente es medio en todos los canales de contratación, excepto en los canales web y fuerzas externas a través de visitas a domicilio en los que el resultado del riesgo inherente es bajo. No se indican medidas de corrección de riesgo. SÉPTIMO: Se obtiene información sobre el volumen de ventas de la entidad siendo los resultados de la cifra de negocio durante el año 2019 de 989.491.000 euros. El capital conforme a la información obtenida del Registro Mercantil es de 1.487.895 euros. Se obtiene información del número de clientes de la entidad. Según el informe de supervisión de los cambios de comercializador, correspondiente al primer trimestre de 2019, de la Comisión Nacional de los Mercados y la Competencia, el número de puntos de suministro de la entidad a 31 de marzo de 2019, correspondientes al ámbito doméstico, ascendía a 893.736, constituyendo un 11,4% del total del sector gasista en dicho ámbito doméstico. OCTAVO: Con fecha 16 de julio de 2020 tiene entrada en esta Agencia escrito de EDP COMERCIALIZADORA, S.A.U exponiendo que “ En el marco del procedimiento arriba referenciado se requirió a EDP por parte de la AEPD para aclarar, entre otros extremos, determinada información relativa a los procedimientos de contratación implantados en EDP realizados con intervención de un tercero autorizado por el titular, así como atender la sugerencia realizada en procedimientos previos comunicados por parte de la AEPD en los que se sugería la realización de modificaciones en el modo en que se realizan este tipo de contrataciones. 2. Que, por todo lo anterior, EDP ha revisado el procedimiento a seguir en las contrataciones por terceros en nombre del titular, a fin de fortalecer dicho procedimiento y reducir los riesgos de posibles suplantaciones de identidad realizadas de mala fe por la parte contratante en este tipo de procesos, teniendo en cuenta, adicionalmente, las necesidades particulares identificadas con motivo del estado de alarma decretado el pasado mes de marzo y que necesariamente ha requerido que todas las contrataciones sean realizadas de forma no presencial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/141 3. Que a fin de poner en el conocimiento de la AEPD las concretas acciones que se están llevando a cabo en relación con este asunto por parte de EDP, en cumplimiento de su deber de cumplimiento proactivo (accountability), les adjuntamos el “Procedimiento de contratación por terceros en nombre del titular”, para que tengan visibilidad sobre las modificaciones que se están implementando en dichos procesos con el fin de atender su petición al respecto, así como para poner de manifiesto la proactividad de EDP en cuanto a su sugerencia de adaptación de dicho procedimiento.” A continuación, se detallan en tres apartados los siguientes aspectos: finalidad, procedimiento de contratación con terceros y datos e intereses de los afectados. En el primer apartado, denominado finalidad tras exponer la situación, enuncia la siguiente propuesta: “Un procedimiento de contratación que, mediante un uso correcto y seguro de la tecnología, facilite la contratación de los servicios de EDP por los clientes a través de un tercero que actúa bajo un mandato en los términos del Título IX del Libro Cuarto del Código Civil, protegiendo en todo caso los derechos del cliente y mandatario sobre sus datos personales, que únicamente serán tratados conforme a una base de legitimación adecuada y en cumplimiento de los principios del RGPD, asegurando que son informados sobre el tratamiento y que pueden ejercitar sus derechos en todo momento, así como actuar en caso de identificar alguna actuación irregular.” En el segundo apartado relativo al procedimiento de contratación con terceros, distingue el procedimiento seguido con mandatario con autorización escrita del seguido con mandatario con autorización verbal. En el primer supuesto se señalan los siguientes pasos: se informa al mandatario, se recogen los datos y la autorización y se contrata en nombre del cliente. En el caso del mandatario con autorización verbal los pasos a seguir son los siguientes: por parte de EDP se procede a la información al mandatario y recogida de los datos, a la contratación por el mandatario en nombre y representación del cliente, envío al cliente de información sobre la contratación y posibilidad del cliente de desautorizar la contratación. En lo que respecta a la información al mandatario y recogida de los datos consiste, según se expone, en lo siguiente: - Se ofrecen y explican los servicios - Se informa sobre la necesidad de recabar ciertos datos para la contratación, así como del uso que se hará de los mismos y del lugar donde se podrá obtener más información al respecto. - Se solicitan los datos del mandatario y del cliente - El mandatario facilita a EDP los datos propios y los del cliente y confirma que está facultado para negociar y firmar el contrato en nombre y representación del cliente - En el contrato se incluye toda la información exigida por la normativa aplicable y en relación con el tratamiento de datos personales derivados de la contratación. En lo que se refiere a la contratación por el mandatario en nombre del cliente diferencia la contratación en oficinas comerciales propias y fuera del establecimiento mercantil, en que la información se recoge en el contrato y se entrega en soporte duradero o digital al mandatario y la contratación a distancia (por teléfono) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/141 distinguiendo entre llamadas entrantes al CAC de EDP, en las que se graba la conversación o llamadas salientes (telemarketing, emisión de llamadas por proveedores de EDP) en que se graba la conversación, y se envía el contrato en soporte duradero al mandatario.(Se aclara que las conversaciones se graban tras haber informado previamente al usuario de que la conversación va a ser grabada. Se señala lo siguiente respecto del paso relativo al envío al cliente de información sobre la contratación. -Una vez formalizado el contrato por el mandatario, cuando no se disponga de autorización escrita, se envía al cliente, por correo electrónico o SMS, en función del canal de comunicación de que se disponga en cada caso, una comunicación en la que se incluye: o Confirmación de la contratación realizada a través de su mandatario, incluyendo los datos del mandatario o Enlace a URL de acceso al contrato suscrito por el mandatario en su nombre (con garantías de integridad del contenido y acreditación de la fecha exacta de realización) donde puede ejercitar su derecho de desautorizar de la contratación de forma sencilla e intuitiva (con un solo click) Visualizar, imprimir, o descargar el contrato y documento de desistimiento El contrato recoge toda la información sobre el tratamiento de los datos del cliente por parte de EDP, además del detalle de los servicios contratados. Aclara que el procedimiento de contratación basado en doble factor de autenticación ha sido diseñado tomando en consideración el procedimiento aprobado por parte de la Comisión Nacional de Mercados y Competencia para la realización de portabilidades y contrataciones en el sector de las telecomunicaciones, sector muy semejante en lo que a procedimiento de contratación se refiere. La comunicación se realiza a través de un tercero de confianza que acredita el envío del SMS/mail de la siguiente forma: -Mensaje SMS: EDP XXXXXXXX. NOMBRE REP APELLIDOS REP ha contratado energía/servicios en su nombre. Antes de 14 días puede desautorizarlo. Detalles: https://edpcontrato.es/VER/JAOCOARGPG -Mensaje E-MAIL: ASUNTO: Contratación de NOMBRE TIT APELLIDOS TIT con EDP Hola, le informamos que NOMBRE REP APELLIDOS REP ha realizado en su nombre la contratación XXXXXXXX relacionada con su suministro de energía/servicios. Tiene 14 días para desautorizar dicha gestión. Consulte detalles en: https://edpcontrato.es/VER/JAOCOARGPG El paso relativo a la “Posibilidad para el cliente de rechazar la contratación” consiste en lo siguiente: Se envía al cliente un enlace, a través del cual, accede a un portal desde el que se le permite: - Visualizar contrato con la posibilidad de descargarlo o imprimirlo o - Desautorizar la contratación mediante un solo click. Se genera una evidencia que garantiza la trazabilidad de la acción (momento exacto de la realización, así como integridad de las evidencias asociadas) o - Descargar el documento de desistimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/141 En lo que respecta al tercer apartado, datos e intereses afectados se indica lo siguiente: Se ha determinado que para lograr la finalidad del tratamiento, es indispensable el tratamiento de las siguientes categorías de datos personales: -Con autorización escrita Datos del cliente: Identificativos (incluye copia del DNI), Contacto, Servicios contratados, Datos bancarios, Datos del punto de suministro Datos del mandatario: Identificativos (incluye copia del DNI), Parentesco con el titular (si/no), Contacto - Con autorización verbal: Datos del cliente: Identificativos, Contacto, Servicios contratados, Datos bancarios, Datos del punto de suministro. Datos del mandatario: Identificativos, Parentesco con el titular (si/no), Contacto. NOVENO: Se accede al sitio de internet indicado en las evidencias 3 y 4 (www.edpenergia.
12. es)al objeto de descargar las Condiciones Generales de Contratación. El procedimiento seguido para descargar el documento que recoge las Condiciones Generales de Contratación, como consta en la diligencia del inspector actuante, ha sido el siguiente: -Acceso mediante el https://www.edpenergia.es/es/ navegador de internet a la dirección - Introducción en el buscador de la propia página del texto: “Condiciones Generales” -El sitio de internet muestra, bajo la siguiente dirección: https://www.edpenergia.es/es/buscadorGeneral.do?tiposBusqueda=C%7CM %7CD&idMenuSegmento=18&textoBusqueda=Condiciones+Generales, 2 pestañas una denominada información relacionada y otra Documentos. -Se selecciona la pestaña “Documentos” de los Resultados de la búsqueda. Ésta ofrece un total de 78 resultados, correspondiendo el tercero de ellos a las “Condiciones generales de contratación”. -Se seleccionan las “Condiciones generales de contratación” y automáticamente se abre una nueva ventana del navegador apuntando a la siguiente dirección de internet: https://www.edpenergia.es/resources/doc/comercial/2019/09/10/condicionesgeneralesde-contratacion.pdf -Descarga del documento El contenido de las condiciones generales en el apartado “LOPD” coincide con el transcrito como evidencia 6, con el mismo título LOPD dentro de las condiciones generales, en el número cuarto del presente Acuerdo de Inicio de procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/141 DÉCIMO: Con fecha 31 de julio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad EDP COMERCIALIZADORA, S.A.U, de conformidad con lo previsto en el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en lo sucesivo RGPD), por la presunta infracción del artículo 25 del RGPD, tipificada en el artículo 83.4.
13. a)del citado Reglamento; por la presunta infracción del artículo 6 del RGPD tipificada en el artículo 83.5.
14. a)del citado Reglamento; por la presunta infracción del artículo 22 del RGPD, tipificada en el artículo 83.5.
15. b)del citado Reglamento; y por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
16. b)del citado Reglamento, determinando que la sanción que pudiera corresponder ascendería a un total de de 3. 500.000,00 euros, sin perjuicio de lo que resulte de la instrucción. DECIMOPRIMERO: Notificado el citado acuerdo de inicio, la entidad investigada presentó el 4 de agosto de 2020 escrito en el que, solicitaba ampliación de plazo al objeto de presentar alegaciones. Concedida la ampliación del plazo, se presentaron alegaciones en fecha 24/08/2020 que son principalmente las siguientes: PRIMERA: PRESUNTO INCUMPLIMIENTO DEL PRINCIPIO DE PRIVACIDAD POR DISEÑO EN LOS PROCESOS DE CONTRATACIÓN MEDIANTE REPRESENTANTE. La AEPD pretende justificar el inicio de este expediente sancionador en la supuesta inexistencia de una documentación que nunca se ha solicitado. A este respecto, ha de destacarse que EDP COMERCIALIZADORA cuenta con una metodología de identificación, análisis y gestión de riesgos, tanto para identificar los riesgos inherentes, como específicamente para valorar la necesidad de la realización de las Evaluaciones de Impacto, Alega que incluye como anexo la documentación justificativa que acredita, sobradamente, que EDP COMERCIALIZADORA cumple íntegra y plenamente con estas obligaciones y que se concreta en lo siguiente: “Metodología de Análisis de Riesgos y realización de Evaluaciones de Impacto” “Registro de actividades del Tratamiento y evaluación de riesgos de los tratamientos relacionados con contratación de EDP COMERCIALIZADORA” - “Evaluación de Impacto de Privacidad: Canal de Leads a Convertir por Telemarketing” - “Evaluación de Impacto de Privacidad: Telemarketing a clientes para upselling o recuperación de abandonos” - “Evaluación de Impacto de Privacidad: Canal CAC a Clientes O Clientes Potenciales (Inbound)” - “Evaluación de Impacto de Privacidad: Canal OOCC a clientes o clientes potenciales (Venta reactiva)” - “Evaluación de Impacto de Privacidad: Canal Tiendas ajenas para venta a clientes potenciales (Venta reactiva)” “Evaluación de Impacto de Privacidad: Fuerzas de ventas externas a través de stands en ferias y centros comerciales (venta reactiva)” - “Evaluación de Impacto de Privacidad: Actividad de tratamiento: Realización de Scoring de Clientes B2C previo a la contratación”. Igualmente y como consecuencia de las medidas adoptadas como resultado de las recomendaciones derivadas de los análisis de riesgos y evaluaciones de impacto realizadas por EPD comercializadora, se han desarrollado por el DPD un gran número de procedimientos para el cumplimiento de las obligaciones de protección de datos desde el diseño y por defecto que se aportan como anexo 2: Concretamente se incluyen en este Anexo 2 los siguientes procedimientos relacionados con la Privacidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/141 desde el Diseño y por Defecto, que forman parte del Sistema de Gobierno, Riesgos y Cumplimiento normativo de protección de datos de EDP COMERCIALIZADORA: • Metodología de Protección de Datos desde el Diseño y por Defecto de EDP • Instrucción operativa Privacy By Design y Privacy by Default del área comercial • Formulario de caracterización y registro de actividades de tratamiento para el análisis de Privacy by Design y Privacy by Default • Flujograma del proceso Privacy By Design y Privacy by Default. Resulta realmente llamativo que la AEPD otorgue la relevancia que otorga al hecho concreto de que EDP COMERCIALIZADORA no hubiera tenido en consideración en sus análisis de riesgos, el análisis específico de los riesgos asociados a la posibilidad de contratación mediante representante, cuando la misma AEPD, en su propia “Guía Práctica de Análisis de Riesgos en los tratamientos de datos sujetos al RGPD” (publicada en su web (https://www.aepd.es/sites/default/files/2019-09/guiaanalisis-deriesgos-rgpd.pdf) no recoge ninguna referencia, ni directa, ni indirecta a la necesidad de evaluar el riesgo específico en relación al tratamiento de datos, ya sea en contrataciones o en otros procesos, realizados por parte de terceros autorizados. En segundo lugar, alega que todos los tratamientos de datos realizados por parte de EDP COMERCIALIZADORA fueron analizados para verificar su grado de cumplimiento de las obligaciones relacionadas con RGPD, proponiéndose medidas para su correcta adaptación, con independencia de que fuese necesaria la realización de evaluaciones de impacto o no. Ahondando en el riesgo específico relativo a la contratación realizada mediante terceros, ha de indicarse que el contenido de los análisis realizados fue actualizado en su momento, teniendo en cuenta las consideraciones que la AEPD ha trasladado a EDP COMERCIALIZADORA en el procedimiento administrativo relacionado con esta cuestión que se inició a finales del año 2019 y que, entendemos, es la causa del procedimiento sancionador en el que nos encontramos en estos momentos. Efectivamente, como ya se ha tenido oportunidad de exponer en el marco de dicho procedimiento sancionador previamente iniciado por la AEPD, los procesos de contratación mediante terceros autorizados no habían sido identificados por parte de EDP COMERCIALIZADORA como un factor de riesgo inherente que fuera relevante, teniendo en cuenta que: 1) La práctica inexistencia de reclamaciones por parte de clientes en relación con este motivo. 2) EDP COMERCIALIZADORA no contaba hasta el momento con ningún expediente sancionador abierto por esta causa. 3) La contratación realizada mediante tercero como mandatario verbal se encuentra expresamente reconocido en el Código Civil de 1889. Si bien los potenciales riesgos identificados por la AEPD son perfectamente posibles, la probabilidad de materialización de dichos riesgos, en el caso concreto de EDP COMERCIALIZADORA, era prácticamente nula y que por tanto su diligencia, en lo que respecta a la realización del análisis de riesgos, ha quedado sobradamente acreditada. Concretamente, este hecho se sustenta en el bajísimo número de reclamaciones por este motivo que ha recibido EDP COMERCIALIZADORA. En efecto, existe una