← España

PS-00054-2024

1/18  Expediente N.º: EXP202314247 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26/08/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IBERDROLA CLIENTES, S.A.U. con NIF A95758389 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el reclamante manifiesta que sus datos personales figuran inscritos en sistemas comunes de información crediticia a instancias de la reclamada por una deuda con la que no está de acuerdo, y sobre la que nunca le han requerido el pago ni informado sobre la posibilidad de inclusión de sus datos en estos sistemas. Acompaña junto a su escrito de reclamación, informe de ASNEF de fecha 28/03/2023, en el que figuran sus datos a instancias de la reclamada, y correos electrónicos mantenidos con la reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 18/10/2023 como consta en el acuse de recibo que obra en el expediente. La parte reclamada respondió señalando que la inclusión de los datos en el fichero de ASNEF ha sido legítima; que el 02/01/2023 le fue notificada al reclamado el escrito de reclamación interpuesta por el ahora reclamante en relación con sus contratos de gas y electricidad indicando no estar de acuerdo con los importes cobrados. Las reclamaciones fueron contestadas por el reclamado; el 06/02/2023 se emitió una factura acreedora negativa por importe de -53,09 €, con el fin de anular la factura de fecha 25/01/2023 de importe 53,09 € objeto de la reclamación. No obstante, debido a un error en el sistema, dicho importe no se compensó con la cantidad adeudada por el reclamante, sino que se abonó directamente en la cuenta bancaria del mismo, realizando un ingreso, siendo por ello que el requerimiento de pago del importe continuaba estando vigente; que como el pago no se realizó se comunicaron sus datos al fichero de morosidad ASNEF tras haberse realizado en el citado requerimiento; que por el mismo asunto, se recibe una reclamación de consumo de la Comunidad De Madrid en la que se responde el 11/10/2023 que la inclusión en el fichero de ASNEF se produjo al haber transcurrido más de un mes desde la fecha límite de pago de las facturas, sin que se hubiera realizado el pago de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 TERCERO: Con fecha 26/11/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 08/04/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD. QUINTO: Notificado el acuerdo de inicio, la parte reclamada solicitó ampliación del plazo para alegaciones; plazo que le fue ampliado a otros cinco días mediante escrito del instructor de fecha 03/05/2024. La parte reclamada presentó escrito de alegaciones de fecha 08/05/2024 manifestando en síntesis: que ambas partes suscribieron el 19/10/2022 contrato de suministro de gas; el 31/12/2022 el reclamante comunicó no estar de acuerdo con el pack de mantenimiento solicitando su baja y, de la misma forma, se accedió al cambio de comercializadora, si bien se le informó de las penalizaciones que suponían las bajas anticipadas y por este motivo le fueron remitidas facturas por ambos conceptos; también le fue remitido requerimiento de pago por las facturas impagadas indicando las consecuencias derivadas del impago, entre las que se incluye la posibilidad de comunicar la deuda al fichero de morosidad ASNEF; posteriormente a la inclusión en el fichero se recibe reclamación por parte del reclamante que es contestada por la parte reclamada e informándole del objeto de las facturas pendientes de abonar; que la parte reclamada estaba legitimado para reclamar la deuda debida puesto que de conformidad con el artículo 20 de la LOPDGDD se cumplían los requisitos establecidos para dicha presunción de licitud, siendo este tratamiento anejo al contrato y necesario para su ejecución, solicitando el archivo del expediente. SEXTO: Con fecha 22/05/2024, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. SEPTIMO: En fecha 30/10/2024 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a la parte reclamada, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  2. a)del RGPD, con una multa de 200.000 € (doscientos mil euros). En fecha 17/12/2024 la parte reclamada presentó escrito de alegaciones en el que señalaba que había informado a la parte reclamante de que en caso de impago procedería a incluir los datos en el fichero ASNEF de formas diferentes: en el contrato de suministro de gas firmado por ambas partes donde se recoge en la cláusula 7 dicha posibilidad; mediante correo electrónico a través de las facturas emitidas y que resultaron impagadas y a través del requerimiento de pago efectuado en fecha 14 de marzo de 2024, que ha sido aportado al expediente, demostrando que está totalmente acreditada la legitimación recogida por el artículo 20.1
  3. c)de la LOPDGDD al cumplir C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 los requisitos expuestos en el mismo; en cuanto a la notificación postal del requerimiento de pago fue rechazada en destino, es decir, no se produce por un error en la entrega, sino que la persona que tuvo que recibirla, rechazó recibir el certificado correspondiente, como consta en el acuse. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 26/08/2023 tiene entrada en la AEPD escrito de la parte reclamante en el que manifiesta que sus datos personales figuran inscritos en sistemas comunes de información crediticia a instancias de la parte reclamada por una deuda con la que no está de acuerdo, y sobre la que nunca le han requerido el pago ni informado sobre la posibilidad de inclusión de sus datos en estos sistemas. SEGUNDO. Consta aportado contrato de suministro de gas nº ***REFERENCIA.1 suscrito entre la parte reclamada y la reclamante. TERCERO. Consta aportado documento de ASNEF, de 28/03/2023, en el que se le indica: Le comunicamos que con fecha 27/03/2023 la parte reclamada ha solicitado el alta en el fichero ASNEF los siguientes datos personales relativos al impago del contrato que mantiene con dicha entidad: PRODUCTO ELECTRICIDAD GAS IMPORTE IMPAGADO 113,89 CALIDAD DEUDOR CUARTO. Constan aportados correos electrónicos cruzados entre la parte reclamante y la reclamada en relación con los hechos reclamados: Enviado: 10/04/2023 Asunto: Inclusión en ASNEF: “(…) Recientemente he recibido comunicación en ASNEF para incluirme en dicho fichero a petición suya. Les agradecería me informaran de qué importe me reclaman, en concepto de qué y en qué momento me notificaron ustedes la preceptiva comunicación previa a la inclusión en dicho fichero. (…)” Respuesta de parte reclamada: “(…) Siguiendo sus indicaciones, le adjunto las facturas pendientes del contrato de gas ***REFERENCIA.1, le marco en rojo la factura por la cual se le ha incluido en los ficheros de ASNEF, la última notificación para el abono de dicha factura se le ha enviado el 01/03/2023 en el cual se le indicada que la última fecha para abonarla era el 11/03/2023: Fec. Fac. 25/01/2023 C/ Jorge Juan, 6 28001 – Madrid Importe 53,09 Saldo 53,09 Situación 113. Pendiente, No domiciliada, Enviada carta requerimiento www.aepd.es sedeagpd.gob.es 4/18 31/01/2023 60,80 60,80 123. Pendiente. Domiciliada en banco, Enviada carta de requerimiento Le detallo por otro lado las factura pendientes del contrato de luz ***REFERENCIA.2: Fec. Fac. 10/11/2022 Importe 1,53 Saldo Situación 5,27 126 Pendiente, Domiciliada en banco, Reenvió manual Para el pago, puedo enviarle el link de la que me indique por sms/email. En este caso, le agradecería que me indique el teléfono donde enviárselo o el email. De esta manera le llegará un enlace en el que tendrá que clicar y le llevará a una pantalla donde aparecerán los datos rellenos. Tendría que elegir la forma de pago (Bizum/Tarjeta) e Introducir los datos de la tarjeta de crédito (nº de tarjeta/Fecha caducidad y CVV). (…)” Parte reclamante: “Necesito me adjunte las facturas y me facilite el número de seguimiento del envío con la comunicación”. Parte reclamada: ”Gracias de nuevo por su mensaje, le remito las facturas pendientes de pago solicitadas, en el caso de que no las encuentre en la bandeja de entrada, revise por favor, el Spam o correo no deseado. Sobre el número de seguimiento, no disponemos de ese dato, tendría que ponerse en contacto con ASNE directamente para que se lo faciliten”. Parte reclamante: “Es preceptivo por ley que si Iberdrola me va a incluir en fichero de morosos me lo notifique por comunicación fehaciente (correo certificado o burofax). Necesito esos números de seguimiento, de lo contrario podría reclamarles el perjuicio por su inclusión”. QUINTO. Consta aportado por la parte reclamada Requerimiento de pago, de fecha 01/03/2023, con código ***REFERENCIA.3, remitido al reclamante en el que se señala: “(…) Le notificamos el requerimiento del pago de la deuda que tiene contraída de 113,89 euros, derivada de facturas pendientes de pago del suministro de gas con contrato ***REFERENCIA.1 que tiene suscrito con nosotros en ***DIRECCION.1: (…) ¿Qué sucede si persiste el impago a partir del día 11 de marzo de 2023? Desde la fecha de vencimiento de la factura impagada, se han empezado a generar intereses de demora y gastos adicionales por recobro. Se podrá comunicar la deuda al fichero de morosidad ASNEF gestionado por ASNEF EQUIFAX SERVICIOS DE INFORMACION SOBRE SOLVENCIA Y CREDITO SL N.I.F.: B82064833. Nos veremos obligados a iniciar acciones judiciales para reclamar la deuda. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 SEXTO. Consta Certificación de imposibilidad de entrega, de fecha 03/04/2023, emitida por Correos, en el que se señala que: “(…) Correos CERTIFICA que, de acuerdo con el Sistema de Información Su envío ***REFERENCIA.3, admitido el 10/03/2023 Para: la parte reclamante (…) Ha resultado Devuelto a Origen por sobrante (no retirado en oficina) el 03/04/2023 a las 08:21 Por el empleado… Gestión de entrega por la Unidad… 1º Intento de entrega el 14/03/2023 a las 12:13…” SEPTIMO. En el contrato aportado se señala lo siguiente en relación con el pack de mantenimiento: PACK MANTENIMIENTO GAS (…) La duración del PACK MANTENIMIENTO GAS será de un

(1)año, prorrogable automáticamente por periodos anuales consecutivos salvo que CLIENTE comunique lo contrario con quince
(15)días de antelación a la finalización de cada periodo. (…) La resolución anticipada del PACK MANTENIMIENTO GAS por decisión del CLIENTE antes de la conclusión de cada periodo anual de prestación del servicio, le obligará al pago del precio establecido para la totalidad del periodo anual vigente y que no haya sido satisfecho aún, manteniendo el derecho a hacer uso del servicio durante dicho periodo. (…) Precio mensual: 8,95 € (IVA no incluido). Este precio se actualizará automáticamente el 1 de enero de cada año en que el contrato esté vigente, con la variación correspondiente al IPC
(1)(…)” OCTAVO. En el contrato aportado se señala lo siguiente en relación con la duración del mismo: DURACIÓN DEL CONTRATO Fecha de finalización del contrato: 16/5/2023. La fecha de inicio queda condicionada a la existencia de un contrato de acceso con la distribuidora y a la actuación sobre las instalaciones cuando esto fuera necesario, será la del primer día del periodo de lectura establecido y que se indicará en la primera factura. El Contrato se podrá prorrogar por anualidades sucesivas de acuerdo con las Condiciones Generales. En caso de terminación por desistimiento unilateral de cualquiera de las partes durante el primer año de vigencia del contrato, la parte que desista deberá abonar a la otra una penalización por importe de 0,4 €/día restante de contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 NOVENO. Consta aportada factura nº ***REFERENCIA.4, de 31/01/2023 en concepto de penalización por baja anticipada por un importe de 60,80 euros. DECIMO. Consta aportada factura nº ***REFERENCIA.5, de 25/01/2023 en concepto de Servicio Mantenimiento Gas Regularización de cuotas de mantenimiento por baja anticipada del Servicio Gas por un importe de 53,09 euros. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones a la Propuesta de Resolución La parte reclamada en escrito de alegaciones manifiesta que no solo informó al denunciante de las posibles consecuencias derivadas de una situación de impago en el propio contrato firmado entre las partes, sino que también le fueron notificadas a la parte reclamante las facturas en la que se incluyen los importes pendientes de pago; estas facturas fueron notificadas a éste a través de email con detalle a través de enlace directo a su Área Cliente. Además, como adicional a los anteriores, se realizó notificación mediante requerimiento de pago en fecha 14/03/2024. Dicho documento, recoge tanto la cantidad pendiente de pago y se reitera que en caso de impago sus datos podrían ser comunicados al fichero de morosidad ASNEF, dando con esta notificación pleno cumplimiento también a la obligatoriedad de informar al interesado sobre la posibilidad de inclusión en un fichero de información crediticia, garantizándose así la transferencia en el proceso. Es cierto como manifiesta la parte reclamada que el contrato firmado por ambas partes con Nº ***REFERENCIA.1, de suministro de gas y el servicio denominado “Pack Mantenimiento de Gas”, recoge en la cláusula 7 tanto la consulta, como la comunicación de sus datos a ficheros denominados de morosos en caso de impago: “IBERDROLA podrá consultar ficheros de solvencia patrimonial y crédito para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 valorar la solvencia económica del Cliente y basándose en estas consultas adoptar decisiones que le afecten, pudiendo, condicionar la entrada en vigor del Contrato o su vigencia a la constitución de una garantía de pago. No obstante, IBERDROLA siempre otorgará al Cliente la posibilidad de alegar todo lo que estimara pertinente a fin de defender su derecho o interés. En caso de impago, IBERDROLA podrá comunicarlo a dichos ficheros, cumpliendo la legislación vigente.” También es cierto que a través de correo electrónico de 10/04/2023, con posterioridad a la remisión del requerimiento de pago, en respuesta a la solicitud de información de la parte reclamante acerca de la comunicación de ASNEF sobre la inclusión de sus datos en el fichero, se le remitieron a la parte reclamante las facturas nº ***REFERENCIA.4, de 31/01/2023 en concepto de penalización por baja anticipada por un importe de 60,80 euros y nº ***REFERENCIA.5, de 25/01/2023, por cuotas de mantenimiento por baja anticipada del Servicio Gas por un importe de 53,09 euros. Y por último, consta el requerimiento de pago, de fecha 01/03/2023, con código ***REFERENCIA.3, remitido a la parte reclamante en el que se intenta notificar el impago de la deuda contraída por importe de 113,89 euros, derivada de facturas anteriores, pendientes de pago, y donde se señalaba que en caso de impago se podría comunicar la deuda al fichero de morosidad ASNEF y a iniciar acciones judiciales para reclamar la deuda. En respuesta a estas alegaciones, cabe señalar que los hechos puestos de manifiesto relacionados con la notificación postal del requerimiento de pago no han sido desvirtuados por la parte reclamada a pesar las manifestaciones realizadas en el sentido de que dado que la vía del requerimiento de pago no fue exitosa y con la intención de no producir desinformación a la parte reclamante, se procedió a informar de las facturas pendientes de pago, a través de email de fecha 10/04/2023, es decir, con posterioridad a la inclusión en el fichero. Ya el artículo 20.1.
  1. c)de la LOPDGDD, menciona como uno de los requisitos para la inclusión el previo requerimiento de pago, no la entrega de facturas. Como así se le informaba en la Propuesta de Resolución la parte reclamada ha aportado la Certificación de imposibilidad de entrega, de fecha 03/04/2023, emitida por el servicio de Correos, en la que se señalaba: “(…) Correos CERTIFICA que, de acuerdo con el Sistema de Información Su envío ***REFERENCIA.3, admitido el 10/03/2023 Para: la parte reclamante (…) Ha resultado Devuelto a Origen por sobrante (no retirado en oficina) el 03/04/2023 a las 08:21 Por el empleado 379964 teniendo la siguiente información asociada: Gestión de entrega por la Unidad… 1º Intento de entrega el 14/03/2023 a las 12:13 por el empleado 379964 ha resultado 07 Nadie se hace cargo” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 El requerimiento de pago es emitido en fecha 01/03/2023, pero no es admitido para su envío por el Servicio de Correos hasta el día 10/03/2023 y, además, en el mismo se señalaba que: ¿Qué sucede si persiste el impago a partir del día 11 de marzo de 2023? Desde la fecha de vencimiento de la factura impagada, se han empezado a generar intereses de demora y gastos adicionales por recobro. Se podrá comunicar la deuda al fichero de morosidad ASNEF gestionado por ASNEF EQUIFAX SERVICIOS DE INFORMACION SOBRE SOLVENCIA Y CREDITO SL - N.I.F.: B82064833. Nos veremos obligados a iniciar acciones judiciales para reclamar la deuda. Figura un 1er intento de entrega se realiza el 14/03/2023, sin éxito alguno, por lo que se deja aviso para que la comunicación pueda ser retirada de la oficina postal, en la que permanecerá hasta su devolución a origen el 03/04/2023. No obstante, la parte reclamada insta el alta en ASNEF el 27/03/2023 sin que la parte reclamante hubiera recibido el requerimiento de pago y sin que la oficina de Correos hubiera Devuelto a Origen por sobrante (no retirado en oficina) el 03/04/2023, de la Certificación de imposibilidad de entrega del requerimiento de pago con código ***REFERENCIA.3; por tanto, como se le indicaba en la Propuesta, no se consideraba adecuado y pertinente, sino todo lo contrario, emitir un requerimiento por impago de deuda en una determinada fecha, 01/03/2023, depositarlo en el servicio de correos para su envío a la parte reclamante, el 10/03/2023, informándole en el mismo que si en el día siguiente a su depósito en la oficina de correos para su remisión (11/03/2023) persistía el impago, se comunicaría la deuda al fichero de morosidad ASNEFEQUIFAX e intimándole con acciones judiciales para reclamar aquella. Además, los datos se incluyeron en el fichero el 27/03/2023, sin que la parte reclamante hubiera recibido el requerimiento de pago y con anterioridad a la devolución del requerimiento a origen el 03/04/2023 por la Oficina de Correos. Por tanto, se desprende que no ha quedado acreditado que la parte reclamada haya cumplido con cada uno de los requisitos establecidos en el artículo 20.1 de la LOPDGDD, lo que supone la vulneración de la obligación de contar con una base de licitud del tratamiento de datos personales contemplado en al artículo 6.1 del RGPD. Por tanto, las alegaciones efectuadas por la parte reclamada no pueden ser admitidas. III Obligación incumplida: infracción del artículo 6.1 del RGPD Los hechos reclamados se materializan en la inclusión de los datos de carácter personal de la parte reclamante en sistemas comunes de información crediticia a instancias de la parte reclamada, en relación a una deuda vinculada a un contrato de gas, deuda con la que la parte reclamante muestra su disconformidad manifestando que no ha sido requerida de pago con carácter previo a la inclusión en los citados ficheros, lo que podría suponer la vulneración de la normativa en materia de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 El artículo 6 del RGPD, Licitud del tratamiento, en su apartado 1 establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 Y el artículo 20 de la LOPDGDD, Sistemas de información crediticia, establece que: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  9. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  10. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  11. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
  12. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
  13. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
  14. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  15. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia”. 1. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, en el acuerdo de inicio se consideraba que la parte reclamada había vulnerado el artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo, la inclusión de los datos de la parte reclamante en sistemas comunes de información crediticia, no figurando acreditada base de legitimación alguna de las contenidas en el citato artículo en relación con el tratamiento llevado a cabo. 2. La parte reclamada en escrito de 23/12/2023 señala que ambas partes suscribieron contrato de suministro de gas nº***REFERENCIA.1; de la citada contratación surge una deuda vinculada a dos conceptos: penalización por baja anticipada del contrato de gas, por un importe de 53,09 euros y, en segundo lugar, penalización por baja anticipada del Pack de mantenimiento de gas y su regularización correspondiente por un importe de 60,80 euros, lo que sumando ambos conceptos suman la de 113,89 €, deuda que fue incluida en los ficheros llamados de morosos. Figuran aportadas las facturas impagadas: factura nº ***REFERENCIA.4, de 31/01/2023 en concepto de penalización por baja anticipada por un importe de 60,80 euros y, factura nº ***REFERENCIA.5, de 25/01/2023 en concepto de Servicio Mantenimiento Gas Regularización de cuotas de mantenimiento por baja anticipada del Servicio Gas por un importe de 53,09 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 Asimismo, consta notificación del fichero ASNEF, de 28/03/2023, dirigida a la parte reclamante en la que se señala que la parte reclamada ha solicitado el alta de los datos en el fichero ASNEF como consecuencia del impago de deuda que mantiene con la misma y que asciende a 113,89 euros. La parte reclamada ha aportado el requerimiento de pago, de fecha 01/03/2023, código ***REFERENCIA.3, remitido a la parte reclamante, “(…) Le notificamos el requerimiento del pago de la deuda que tiene contraída de 113,89 euros, derivada de facturas pendientes de pago del suministro de gas con contrato ***REFERENCIA.1 que tiene suscrito con nosotros en ***DIRECCION.1: (…) Asimismo, se aporta la Certificación de imposibilidad de entrega, de fecha 03/04/2023, emitida por el servicio de Correos, en la que se señala: “(…) Correos CERTIFICA que, de acuerdo con el Sistema de Información Su envío ***REFERENCIA.3, admitido el 10/03/2023 Para: la parte reclamante (…) Ha resultado Devuelto a Origen por sobrante (no retirado en oficina) el 03/04/2023 a las 08:21 Por el empleado… Gestión de entrega por la Unidad… 1º Intento de entrega el 14/03/2023 a las 12:13…” Ahora bien, el requerimiento de pago es emitido en fecha 01/03/2023, pero no es admitido para su envío por el servicio de correos hasta el hasta el día 10/03/2023 y, para mayor abundamiento, figura que: ¿Qué sucede si persiste el impago a partir del día 11 de marzo de 2023? Desde la fecha de vencimiento de la factura impagada, se han empezado a generar intereses de demora y gastos adicionales por recobro. Se podrá comunicar la deuda al fichero de morosidad ASNEF gestionado por ASNEF EQUIFAX SERVICIOS DE INFORMACION SOBRE SOLVENCIA Y CREDITO SL - N.I.F.: B82064833. Nos veremos obligados a iniciar acciones judiciales para reclamar la deuda. Consta que el intento de entrega se realiza el 14/03/2023, al parecer sin éxito alguno, por lo que se deja aviso para que la comunicación pueda ser retirada de la oficina postal, en la que permanecerá hasta su devolución a origen el 03/04/2023. Sin embargo, la parte reclamada instó el alta en el fichero ASNEF el 27/03/2023 sin que la parte reclamante hubiera recibido el requerimiento de pago, es decir, la parte reclamada debió haber considerado todas las circunstancias que se produjeron, puesto que no es lo más acertado emitir un requerimiento de pago de deuda en una determinada fecha, depositarlo en el servicio de correos para su envío a la parte reclamante e informando en el mismo que si en el día siguiente a su depósito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 en la oficina de correos para su remisión persistía el impago, se comunitaria la deuda al fichero de morosidad ASNEF e intimando con acciones judiciales para reclamar la deuda. Como se indicaba en el párrafo precedente, los datos accedieron al fichero el 27/03/2023, sin que la parte reclamante hubiera recibido el requerimiento de pago y la deuda impagada, sin haber tenido en cuenta el tiempo para su entrega ni el plazo para su pago; a mayor abundamiento, el acceso al fichero se produce con anterioridad a la devolución del requerimiento a origen el 03/04/2023. Por lo tanto, se considera que la conducta de la parte reclamada infringe y no ha dado cumplimento al requisito señalado en el artículo 20.1.
  16. c)de la LOPDGDD “
  17. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe” A la luz de lo expuesto se concluye que la parte reclamada ha incurrido en vulneración de la normativa en materia de protección de datos de carácter personal, artículo 6.1 del RGPD, en relación con el artículo 20.1 de la LOPDGDD, infracción tipificada en el artículo 85.3 del RGPD. III Tipificación de la infracción del artículo 6.1 del RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  18. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  19. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 IV Propuesta de sanción por incumplimiento del artículo 6.1 del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  20. a)a
  21. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  22. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  23. b)la intencionalidad o negligencia en la infracción;
  24. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  25. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  26. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  27. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  28. g)las categorías de los datos de carácter personal afectados por la infracción;
  29. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  30. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  31. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  32. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  33. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  34. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18
  35. a)El carácter continuado de la infracción.
  36. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  37. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  38. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  39. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  40. f)La afectación a los derechos de los menores.
  41. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  42. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a), de la que se responsabiliza a la parte reclamada, se estiman concurrentes los siguientes factores: La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de legitimidad, que la norma sanciona con la mayor gravedad y es que el nivel de los perjuicios sufridos por la parte reclamante afectan a su solvencia económica al habérsele incluido en sistemas comunes de información crediticia a instancias de la parte reclamada en relación con una deuda obviando los requisitos del artículo 20 de la LOPDGDD, sin dar tiempo a que hiciera frente al pago de la misma (artículo 83.2.
  43. a)del RGPD). La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  44. b)de la LOPDGDD en relación con el artículo 83.2.k). La intencionalidad o negligencia en la infracción, pues el reclamado incluyó los datos en ficheros de morosos sin que la deuda cumpliera los requisitos del artículo 20 de la LOPDGDD. Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  45. b)del RGPD). Con arreglo a lo que antecede se estima adecuado propone una sanción de 200.000 euros por vulneración del artículo 6.1 del RGPD. V Medidas aplicables De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  46. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por tanto, se consideraría procedente ordenar que el reclamado en el plazo de un mes a partir de la firmeza de la resolución que, en todo caso, se dicte para que adecúe los tratamientos objeto del presente procedimiento a la normativa aplicable. En el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. En concreto, que se proceda a cumplir con lo exigido por la normativa en materia de protección de datos legitimando el tratamiento de conformidad con los requisitos señalados en el artículo 20 de la LOPDGDD. Se advierte que no atender la orden impuesta por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  47. a)del RGPD, una multa de 200.000 € (doscientos mil euros). SEGUNDO: ORDENAR a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, que en virtud del artículo 58.2.
  48. d)del RGPD, en el plazo de 1 mes desde que la presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de medidas adecuadas para adecuar los tratamientos objeto del presente procedimiento a la normativa aplicable TERCERO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES, S.A.U. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  49. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  50. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.