← España

PS-00044-2023

1/13  Expediente N.º: EXP202200440 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 14/12/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ENI PLENITUDE IBERIA S.L. con NIF B39793294 (con anterioridad ALDRO ENERGÍA Y SOLUCIONES S.L., y en lo sucesivo ALDRO); no obstante, a la vista de los hechos el responsable del tratamiento es ALPA 57 PRODUCCIONES, S.L., con NIF B13512892, como encargado del tratamiento del anterior (en lo sucesivo el reclamado). Los motivos en que basa la reclamación son los siguientes: el reclamante manifiesta que han llamado a su número de teléfono supuestamente desde su compañía de suministro eléctrico (IBERDROLA) para ofrecerle una renovación del contrato, enviándole un mensaje en el que le indican un enlace para proceder a descargarse el contrato; al acceder al mismo se percata de que la compañía es ALDRO, figurando sus datos personales y bancarios sin haberlos facilitado y sin haber autorizado a dicha contratación. Aporta copia del contrato. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ALDRO el 17/01/2022, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19/01/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 18/02/2022 ALDRO respondió manifestando que: “Han comprobado en la base de datos de clientes ALDROGEST que el interesado no está registrado ya que no ha formalizado ningún contrato con ALDRO. A continuación, se da traslado al canal de distribuidores y consta un rechazo comercial gestionado por ALPA 57 PRODUCCIONES S.L, colaborador externo fuera del establecimiento mercantil de ALDRO. Se considera entonces oportuno establecer comunicación con el interesado para explicarle como se realiza el tratamiento de datos en el proceso de contratación/precontratación (se acompaña email de 16/2/2022).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 “ALDRO no tiene constancia de haber recibido ninguna solicitud de ejercicio de los derechos regulados en los artículos 15 a 22 por parte del reclamante.” “Para facilitar el ejercicio de los derechos ARCOPOL, ALDRO informa a los interesados de los canales disponibles para el ejercicio de los derechos, encontrándose disponible esta información en los contratos, en la página web https://aldroenergia.com y en la sede electrónica de la AEPD/consulta DPD.” “Esta reclamación trae causa en una oferta comercial realizada por parte de una asesoría energética fuera de establecimiento mercantil, se trata de ALPA 57 PRODUCIONES S.L. con la que ALDRO tiene suscrito un Contrato de prestación de servicios de fecha 12 de diciembre de 2019”. Se comprueba que el contrato indica en página 2, Condiciones Generales, Cláusulas, Objeto, apartado 1.1 que: “ALPA 57 como colaborador se compromete a realizar a favor de Aldro la prestación de los servicios de promoción, prospección, asesoramiento y apoyo a su departamento comercial para la captación y fidelización de clientes interesados en la contratación o renovación de los Productos y Servicios […], de acuerdo a las directrices y programas de actuación que en cada caso determine Aldro.” (…) “en el que se establece de manera detallada el protocolo de venta que debe seguir como colaborador, conforme a la buena fe y diligencia debida que identifica a ALDRO. Tal asesoría energética, es una empresa externa e independiente a ALDRO.” En el Anexo III, pagina 20 consta la metodología de trabajo, en cuyo apartado 1.2 se indica que: “Aldro solicitará al Colaborador la firma del cliente en los contratos o la grabación telefónica de la venta, como prueba expresa de la conformidad del cliente en la contratación de los Productos y Servicios. En todo caso, los contratos con los clientes serán formalizados por Aldro siempre que exista conformidad expresa a las condiciones de los mismo, previa comprobación de la correspondiente documentación contractual y/o de la locución telefónica de la venta por parte de Aldro.” “Dentro del contrato de prestación de servicios está incluido el ANEXO IV -Contrato de Encargado del Tratamiento de Datos de Carácter Personal.” En este documento, pagina 26, cláusula IV, Obligaciones del encargado del tratamiento, punto k), párrafo 2 se indica que: “El encargado previamente, se compromete a asegurar al responsable, que los interesados han autorizado de forma expresa su consentimiento para recibir ofertas comerciales del responsable, al menos lo relacionado con el sector energético, así como se responsabiliza de la legitimidad de las bases de datos que utiliza y que deberán ser va a ser de su titularidad, dejando en todo caso indemne al responsable de cualquier daño, reclamación o litigio que pudiera surgir a causa del incumplimiento de alguno de los referidos compromisos.” En el Anexo VIII, pagina 35, De Condiciones para la Captación telefónica de contratos de suministro energético y de servicios se indica en la página 36, punto 1.5 “El C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 colaborador realizará la labor de comercialización de los productos y servicios de ALDRO según el siguiente procedimiento: 1. ALDRO proporcionará al COLABORADOR las ofertas comerciales que en cada momento podrá ofrecer a los potenciales clientes a través de cada Anexo de campaña 2. Así mismo ALDRO facilitará al COLABORADOR los textos legales que deberán ser informados a los clientes en las grabaciones de venta y que serán aceptados por EL COLABORADOR mediante la firma del Anexo correspondiente. 3. El COLABORADOR recabará del cliente, con exactitud, todos los datos necesarios para la contratación. Con carácter enunciativo, pero no limitativo, se obtendrán los datos personales, datos del punto de suministro y datos bancarios. 4. EL COLABORADOR registrará en la herramienta informática ALDRO la grabación íntegra en el formato que ALDRO le indique en cada momento del proceso de venta y de la lectura del texto legal ya que, en caso contrario, no tendrá valide alguna el contrato de venta telefónica. 5. El COLABORADOR deberá subir al FTP habilitado al efecto las llamadas efectivamente realizadas en el día. Se deberá subir todo el contenido de las llamadas, sean de venta o no, a fin de garantizar la integridad de las acciones del Colaborador.” En pagina 36, Segunda. Registro de venta telefónica. Este punto contiene el procedimiento de venta a realizar por el COLABORADOR siguiendo las indicaciones de ALDRO. En pagina 37, punto 2.4 “EL COLABORADOR deberá utilizar los textos legales proporcionados por ALDRO y grabar obligatoriamente todas las conversaciones, que serán guardadas y custodiadas por EL COLABORADOR al menos durante 12 meses desde la fecha de la grabación.” En pagina 37, Tercera. Protección de datos de carácter personal, punto 3.3 se refiere al origen de las bases de datos, así como su titularidad. En pagina 38, Cuarta, Obligaciones del Colaborador, punto 4.1 “EL COLABORADOR identificará en todo momento los números de teléfono desde los que emita las llamadas, que tendrán que ser en todo caso titularidad del mismo, lo que declara y acepta en su condición de operador habilitado en el sector de las telecomunicaciones.” (El subrayado es de la Agencia). En fecha 20/12/2022 se comprueba que ALPA 57 PRODUCCIONES no figura con este nombre ni con el NIF B-13512892 en el Registro de Numeración y Operadores de Telecomunicaciones de la CNMC. En pagina 40 Consta el Documento información anexo buenas prácticas comerciales. La parte reclamada continúa en su respuesta que: “(

  1. i)ALDRO exige contractualmente a los colaboradores externos del canal de venta, en este caso ALPA 57 PRODUCIONES S.L. que la base de datos que va a ser objeto de campañas comerciales sea obtenida de forma lícita conforme con lo previsto en la normativa de protección de datos, por lo que debe acreditar que dispone del preceptivo consentimiento expreso del POTENCIAL CLIENTE de ALDRO, por ello se solicita C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 través del canal de comunicación de distribuidores a ALPA 57 PRODUCCIONES, para que acredite obtención del consentimiento expreso del interesado (…) con fecha 19 de enero y 4, 10, 11 y 14 de febrero de 2022 (se acompaña solicitud) del que no hemos obtenido respuesta.” “En relación con el Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia: (
  2. i)ALDRO tiene establecidos los protocolos necesarios para que el tratamiento de datos personales de sus clientes se realice de manera lícita, leal y transparente, y ha adoptado las medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del RGPD y de la LOPDGDD, en esencia, se estipulan los requisitos del proceso de venta con los colaboradores comerciales externos, en el que se exige el cumplimiento estricto de la normativa de protección de datos, junto con la doble vía de verificación que se aplica para la perfección de los contratos, en aras de minimizar los riesgos de incumplimiento. (
  3. ii)ALDRO audita de manera periódica los procesos de contratación por parte de las asesorías energéticas externas para asegurarse el consentimiento prestado por el destinatario de la comunicación comercial. Por ello, se realizan comprobaciones aleatorias para acreditar que se cuenta con el efectivo consentimiento expreso del destinatario de la publicidad. (iii) Para reforzar el proceso de contratación telefónica, ALDRO tiene implantado un sistema de envío de SMS certificados a los clientes para que éstos validen vía SMS sus contratos con ALDRO. (i[v]) En garantía de protección del derecho a la protección de datos del interesado, hemos solicitado el 19/01/2022, a la asesoría energética ALPA 57 PRODUCCIONES a través del email de contacto establecido a tal efecto en el contrato de 12/12/2019, ***EMAIL.1 para que se cancelen los datos para finalidades comerciales del interesado, no recibiendo confirmación de la misma, tal petición de encuentra aportada” Se comprueba que este documento contiene copia de correos electrónicos de ALDRO a Alpa57 con fecha 19/01/2022 y 4, 10, 11 y 14/02/2022, donde ALDRO solicita a Alpa57 las grabaciones de la llamada, así como el acceso y bloqueo de los datos del interesado, su nº de contrato y su DNI. TERCERO: Con fecha 14/03/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 Realizado requerimiento de información a la parte reclamada el 05/04/2022 consta entregado el 9 de abril sin obtener respuesta; se reitera por vía postal el 29 de junio y consta entregada el 6 de julio sin obtener respuesta; se reitera por e-mail el 12 de agosto a la dirección ***EMAIL.1 y no se obtiene respuesta; se reitera por notificación electrónica el 30 de septiembre, consta entregado el 4 de octubre y se obtiene finalmente respuesta el 17/10/2022 donde manifiesta: “Que no podemos aportar la información solicitada, porque en nuestra base de datos no tenemos información del reclamante, y tampoco podemos acceder a la base de datos de ALDRO ENERGÍA Y SOLUCIONES S.L., desde que finalizase nuestra colaboración. Prevemos que la información solicitada se encuentre en poder de la mercantil ALDRO ENERGÍA Y SOLUCIONES S.L.” QUINTO: Con fecha 17/02/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  4. a)del RGPD, con multa de 10.000 € (diez mil euros). SEXTO: Notificado el acuerdo de inicio, el reclamado mediante escrito de 30/03/2023 reiteraba lo ya señalado en anterior escrito y, además, que la relación comercial que mantenían con ALDRO ENERGIA finalizo el 04/02/2022. Al finalizar la misma procedieron a cumplir con una de las obligaciones contractuales como era la eliminación de cualquier información o dato personal de ALDRO y/o de sus clientes que existiera nuestros sistemas. SEPTIMO: Con fecha 03/04/2023 se inició un período de práctica de pruebas, acordándose las siguientes Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/05859/2020. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 14/12/2021 tiene entrada en la AEPD escrito del reclamante manifestando que la mercantil le llamó a su número de teléfono supuestamente desde su compañía de suministro eléctrico (IBERDROLA), para ofrecerle la renovación del contrato, enviándole un mensaje en el que le indican un enlace para proceder a descargarse el contrato y que al acceder al mismo se da cuenta que la compañía es no es su suministradora sino ALDRO, figurando en el documento todos sus datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 carácter personal y bancarios sin que los hubiera facilitado y sin haber otorgado autorización para dicha contratación. SEGUNDO. La parte reclamante ha aportado Certificación de visita comercial relativa a ALDRO ENERGIA, en la que consta: “La oferta comercial se ha producido” y a continuación figuran dos casillas: la primera premarcada se indica Fuera del domicilio particular del Consumidor y la segunda En el domicilio particular, previa solicitud del Consumidor. TERCERO. Consta aportado por la reclamante copia del Contrato Suministros energéticos y Servicios/Hogar, nº contrato ***REFERENCIA.1 y en el que figura el logotipo de la comercializadora ALDRO ENERGIA. Como datos de cliente figuran su nombre y apellidos, nº DNI, dirección completa, localidad, código postal y provincia, numero de móvil y CNAE. También figura el nº del CUPS, potencia contratada y producto eléctrico, consumo previsto y premarcada la casilla relativa al cambio de comercializadora. A su pie figura la firma del representante de la entidad y la fecha 13/12/2021 Asimismo, figura Orden de domiciliación de adeudo directo SEPA, en la que constan los datos bancarios del reclamante. CUARTO. ALDRO ENERGIA se dirigió al reclamante en e-mail de fecha 16/02/2022 informándole lo siguiente: “1. En la base de datos de distribuidores consta con sus datos personales un rechazo comercial, gestionada por el reclamado, sus datos personales proceden de este colaborador externo fuera del establecimiento mercantil, el reclamado, …con el que ALDRO tiene suscrito un contrato de prestación de servicios comerciales, en el que exige entre otros, que la base de datos sea obtenida de forma lícita conforme con lo previsto en la normativa de protección de datos, por lo que es necesario que acrediten la obtención del preceptivo consentimiento expreso, se le ha solicitado el mismo, pero aún no hemos recibido respuesta. ALDRO realiza el proceso de contratación a través de una doble vía de verificación, en primer lugar, con una llamada telefónica que es grabada como medida de acreditación de la contratación y de los consentimientos otorgados, a continuación, previo consentimiento del cliente se remite un SMS con notificación certificada al teléfono móvil del interesado con los datos del precontrato. Dicho mensaje debe de ser aceptado y contestado por el POTENCIAL CLIENTE para finalizar la contratación, en este caso concreto usted no confirmó el SMS y por lo tanto no se finaliza el proceso de contratación. Desde el momento en él no se contesta al SMS de verificación, ALDRO procede al bloqueo de los datos personales obtenidos en la pre- contratación a tenor del artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de Datos personales y garantía de los derechos digitales. El bloqueo de datos consiste en la identificación y reserva de los datos para la exigencia de posibles responsabilidades derivadas del tratamiento, adoptando medidas técnicas y organizativas para impedir su tratamiento, incluyendo su visualización. 2. Se ha solicitado por parte de ALDRO al reclamado en reiteradas ocasiones la grabación de la llamada telefónica de pre-contratación, pero aún no hemos obtenido respuesta, en el momento que nos lo remitan se lo haremos llegar”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 QUINTO. Consta aportado contrato de colaboración entre ALDRO ENERGIA y el reclamado de 12/12/2019; en el Anexo III, Documentación relativa al cliente, metodología de trabajo yo buenas prácticas comerciales, en su apartado 1.2 se indica que: “Aldro solicitará al Colaborador la firma del cliente en los contratos o la grabación telefónica de la venta, como prueba expresa de la conformidad del cliente en la contratación de los Productos y Servicios. En todo caso, los contratos con los clientes serán formalizados por Aldro siempre que exista conformidad expresa a las condiciones de los mismo, previa comprobación de la correspondiente documentación contractual y/o de la locución telefónica de la venta por parte de Aldro.” Y en el punto 1.4 (
  5. ii)se establece que: “Respecto a la labor de captación, en ningún caso será tolerable, conforme a la política ética de Aldro, ningún tipo de contratación fraudulenta o sin consentimiento de los Clientes o potenciales Clientes. (…) En caso de producirse algún comportamiento contrario a la obligación antedicha, el Colaborador realizara todas las acciones necesarias para erradicar, como muestra de su oposición a dichas prácticas, sin perjuicio de la aplicación por parte de Aldro de las acciones previstas en la Clausula 10 del Contrato. (…)” El Anexo IV del citato contrato lleva por título Contrato de Encargado del Tratamiento de Datos de Carácter Personal, en el que el reclamado adquiere la condición de encargado del tratamiento. En su Clausula IV, Obligaciones del Encargado del Tratamiento, letra l), consta que “En caso de incumplimiento por parte del encargado de sus obligaciones derivadas del tratamiento de datos, el encargado asume la total responsabilidad de dicho incumplimiento. Dejando en todo caso indemne al responsable ante las posibles reclamaciones por parte de las personas afectadas, siendo, en consecuencia, a costa del encargado, los costes generados por las posibles sanciones que, tanto por los tribunales o la Autoridad de Protección de Datos, impongan con motivo del incumplimiento por parte del encargado, al responsable”. SEXTO. Constan aportados por ALDRO ENERGIA copia de los correos electrónicos remitidos al reclamado en fechas 19/01/2022, 04/02/2022,10/02/2022,11/02/2022,14/02/2022 a través de los cuales le solicitaba las grabaciones relativas al contrato ***REFERENCIA.1 que acreditaran la obtención del consentimiento expreso del reclamante sin que haya obtenido respuesta alguna. SEPTIMO. El reclamado en escrito de respuesta al requerimiento informativo de la AEPD ha manifestado de fecha 17/10/2022: “Que no podemos aportar la información solicitada, porque en nuestra base de datos no tenemos información del reclamante, y tampoco podemos acceder a la base de datos de ALDRO ENERGÍA Y SOLUCIONES S.L., desde que finalizase nuestra colaboración” y que “salvo error u omisión, no nos consta ninguna notificación anterior respecto a este expediente, o que se nos haya dado traslado de la reclamación interpuesta, por lo que, no podemos alegar nada respecto a la misma”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II eEl artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III La presencia del elemento subjetivo como condición para que nazca responsabilidad sancionadora ha sido confirmada por el Tribunal Constitucional, entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A su vez, la Ley 40/2015, de Régimen Jurídico del Sector Público, en el artículo 28, bajo la rúbrica “Responsabilidad”, establece en su apartado 1: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa. (…)” La responsabilidad sancionadora puede exigirse a título de dolo o de culpa e incluso de culpa levísima. En su SAN de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional afirma que “...el ilícito administrativo previsto en el artículo 44.3.
  13. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva …” IV 1. Como así figura en los hechos probados el reclamante manifiesta que le habían llamado a su número de teléfono, supuestamente desde su compañía de suministro eléctrico (IBERDROLA), para ofrecerle la renovación del contrato de suministro que mantenía con ellos remitiéndole un mensaje indicándole un enlace para proceder a descargarse el contrato y al acceder al mismo advirtió que la compañía suministradora no era la suya sino ALDRO, figurando sus datos personales y bancarios sin que se los hubiera facilitado y sin haber autorizado dicha contratación. ALDRO, responsable del tratamiento, ha señalado que la gestión fue realizada a través de su encargado del tratamiento, el reclamado, solicitándole en varias ocasiones las grabaciones de la contratación sin que se las hubiera aportado. Así, consta acreditado que ALDRO se dirigió al reclamado mediante correo electrónico en fechas 19/01/2022 y 4, 10, 11 y 14/02/2022, solicitándole le enviara las las grabaciones de la llamada realizada al reclamante donde constara el consentimiento para la contratación, el acceso y bloqueo de los datos del interesado, su nº de contrato y su DNI. El reclamado, requerido por el inspector actuante en fecha 05/04/2022 para que informara no dió respuesta alguna; requerimiento que fue reiterado el 12/08/2022 a la dirección ***EMAIL.1 con el mismo resultado; nuevamente se le requirió mediante notificación electrónica el 30/09/2022 respondiendo el 17/10/2022: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 “Que no podemos aportar la información solicitada, porque en nuestra base de datos no tenemos información del reclamante, y tampoco podemos acceder a la base de datos de ALDRO ENERGÍA Y SOLUCIONES S.L., desde que finalizase nuestra colaboración. Prevemos que la información solicitada se encuentre en poder de la mercantil ALDRO ENERGÍA Y SOLUCIONES S.L.” Posteriormente, notificado el Acuerdo de inicio en alegaciones al mismo el reclamado manifestaba que realizada una búsqueda exhaustiva en sus sistemas de la documentación que le había sido requerida no podían aportar nada al no disponer de información alguna y no poder alegar en su defensa; que la relación comercial que mantenían con ALDRO llego a su fin el 04/02/2022, procediendo a cumplir con las obligaciones contractuales aceptadas mediante contrato, como la eliminación de cualquier información o dato personal de clientes que existiera sus sistemas. Y en alegaciones a la Propuesta de Resolución reiteraba que no guardaba ni mantenía documentación alguna derivada del contrato de encargo que le unió a ALDRO, por lo que no podía confirmar su participación en los hechos. 2. Hay que señalar que la LOPDGDD en su artículo 33, Encargado del tratamiento, establece en sus apartados 3 y 4: “(…) 3. El responsable del tratamiento determinará si, cuando finalice la prestación de los servicios del encargado, los datos personales deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado. No procederá la destrucción de los datos cuando exista una previsión legal que obligue a su conservación, en cuyo caso deberán ser devueltos al responsable, que garantizará su conservación mientras tal obligación persista. 4. El encargado del tratamiento podrá conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. (…)” En el contrato suscrito con ALDRO, el ANEXO IV AL CONTRATO DE PRESTACION DE SERVICIOS COMERCIALES FIRMADO ENTRE ALDRO ENERGIA Y SOLUCIONES, S.L. Y ALFA 57 PRODUCCIONES, S.L., en su Clausula III, Duración del encargo del tratamiento de datos de carácter personal, su apartado
  14. s)se pronuncia en el mismo sentido que el artículo 33.3 de la LOPDGDD indicando lo siguiente:
  15. s)Destino de los datos: Una vez cumplida la prestación de los servicios contratados, destruir los datos y, si procede, los soportes donde consten, o transmitir los datos a otro encargado que designe el responsable. Una vez destruidos, el encargado debe certificar su destrucción por escrito y debe entregar el certificado al responsable al del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades legales de la ejecución de la prestación de los servicios contratados”. Por otra parte, el artículo 74.
  16. k)de la LOPDGDD, Infracciones consideradas leves, establece que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…)
  17. k)El incumplimiento por el encargado de las estipulaciones impuestas en el contrato o acto jurídico que regula el tratamiento o las instrucciones del responsable del tratamiento, salvo que esté legalmente obligado a ello conforme al Reglamento (UE) 2016/679 y a la presente ley orgánica o en los supuestos en que fuese necesario para evitar la infracción de la legislación en materia de protección de datos y se hubiese advertido de ello al responsable o al encargado del tratamiento. (…)” A la luz de la documentación aportada al expediente, las circunstancias concurrentes y manifestaciones vertidas en el procedimiento todo parece indicar que no existe infracción a la normativa en materia de protección de datos de carácter personal cometida por el reclamado, en su condición de encargado del tratamiento; en todo caso, la infracción en la que podría haber incurrido estaría vinculada con el incumplimiento de las estipulaciones e instrucciones del responsable recogidas en el artículo 28.3 del RGPD, infracción que estaría prescrita al haber transcurrido más de un año desde su comisión; pero, en ningún caso la ausencia o falta de legitimación contemplada en el artículo 6.1 del RGPD que estaría reservado a aquellos casos en los que el encargado actúa en nombre propio determinando los fines y medios del tratamiento. El artículo 28 del RGPD, Encargado del tratamiento, establece que: “(…) 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  18. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13
  19. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
  20. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  21. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  22. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  23. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  24. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  25. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  26. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. (…) 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. Y la LOPDGDD en su artículo 33, Encargado del tratamiento, establece que: “(…) 2. Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679. Esta previsión no será aplicable a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a ALPA 57 PRODUCCIONES, S.L., con NIF B13512892, por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
  27. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a ALPA 57 PRODUCCIONES, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.