PS-00058-2023

1/81  Expediente N.º: EXP202201449 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: El 03/11/2021 tiene entrada en la AEPD oficio de la Comisión Nacional de los Mercados y la Competencia (CNMC) que adjunta el “Acuerdo por el que se remite a la Agencia Española de Protección de Datos las actuaciones practicadas en relación con posibles usos fraudulentos del SIPS” aprobado por la Sala de Supervisión Regulatoria de la CNMC. El acuerdo comunica una posible utilización fraudulenta del Sistema de Información de los Puntos de Suministro (SIPS). El SIPS se define como una base de datos técnicos, de consumo y comerciales de cada uno de los puntos de suministro que se encuentran conectados a las distribuidoras de electricidad o de gas natural. La estructura y el acceso al SIPS están desarrollados en el artículo 7 del Real Decreto 1435/2002, de 27 de diciembre, para el sector eléctrico y en el artículo 43 del Real Decreto 1434/2002, de 27 de diciembre, para el sector del gas natural. Su formato se encuentra publicado en el sitio de internet de la CNMC. La información del SIPS es asimétrica en las regulaciones de gas y electricidad. Para cada punto de suministro ambos sistemas incluyen, además de los datos de carácter técnico del punto, información sobre los consumos mensuales. Con algunas diferencias: - El SIPS eléctrico contiene los consumos de los tres últimos años mientras que el gasista los correspondientes a los dos últimos; - En el SIPS gasista figuran los datos del titular, su dirección, y la dirección del punto de suministro, mientras que desde el año 2015 el SIPS eléctrico no proporciona estos datos ni a la CNMC ni a los comercializadores. - Desde el año 2018 el SIPS eléctrico tampoco facilita la identificación del comercializador actual de cada punto de suministro. La AEPD se ha pronunciado sobre el carácter de los datos del SIPS eléctrico señalando que “el Sistema de información de Puntos de Suministro incorpora datos de carácter personal, dado que a partir del Código de punto de suministro es posible identificar al consumidor al que se refiere la información, pudiéndose así vincular todo el contenido del sistema con dicho consumidor”. La CNMC, por su parte, caracteriza igualmente éstos como datos de carácter personal. En relación con el acceso de los comercializadores al SIPS eléctrico, el artículo 7.3 del Real Decreto 1435/2002 dispone lo siguiente: “los comercializadores que hayan presentado la comunicación de inicio de actividad y declaración responsable, figuren en el listado publicado por la Comisión Nacional de los Mercados y la Competencia y cumplan en todo momento con los requisitos exigidos para ejercer la actividad, podrán acceder gratuitamente a las bases de datos de puntos de suministro de cada empresa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/81 distribuidora.[…] Los comercializadores, y demás sujetos que hagan uso de la información que figura en las bases de datos de puntos de suministro de las empresas distribuidoras, a tenor de lo contemplado en la presente disposición y en el artículo 46.1.

1. k)de la Ley 24/2013, de 26 de diciembre (RCL 2013, 1852) , del Sector Eléctrico, deberán suscribir un código de conducta y garantizar la confidencialidad de la información contenida en las mismas.” De forma análoga, el artículo 43.5 del Real Decreto 1434/2002 dispone que “Los comercializadores inscritos en la sección correspondiente del Registro Administrativo de Distribuidores, Comercializadores y Consumidores Directos en Mercado, así como la Oficina de Cambios de Suministrador, de acuerdo con la norma reguladora de su funcionamiento, podrán acceder gratuitamente a las bases de datos de puntos de suministro de cada empresa distribuidora. Los comercializadores que hagan uso de la información que figura en las bases de datos de puntos de suministro de las empresas distribuidoras, a tenor de lo contemplado en la presente disposición, deberán garantizar la confidencialidad de la información contenida en las mismas” El Real Decreto 1011/2009, de 19 de junio, reguló la Oficina de Cambios de Suministrador, entidad a la que desde entonces los distribuidores suministraron la información del SIPS para que ésta la pusiera a disposición de los comercializadores con la finalidad de promover la libre competencia en el sector. La CNMC asumió las funciones de Oficina de Cambios de Suministrador el 1 de julio de 2014 conforme a lo dispuesto en la disposición transitoria tercera de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico. Para proveer la información del SIPS a los comercializadores, la CNMC desarrolló una interfaz de programación de aplicaciones (API) que permite a los comercializadores autorizados (identificados mediante certificado electrónico o con el empleo de credenciales OAuth) descargarse la información completa y actualizada de todos los puntos de suministro incluidos en el ámbito de actuación geográfico del comercializador (según lo establecido en la licencia de actividad de cada comercializador). La API también permite realizar consultas individuales de un punto de suministro incluido en el ámbito geográfico del comercializador. Este mecanismo de acceso autenticado permite a la CNMC monitorizar al agente que realiza la descarga, registrando la dirección IP del dispositivo desde donde se realiza, el tipo de descarga realizada (masiva o individual) y el número de descargas por periodo temporal. Con ello la CNMC efectúa un seguimiento periódico de las descargas de bases de datos masivas y de las consultas individuales que se realizan con las credenciales autorizadas, pero no se tiene control sobre la utilización de la información tras la descarga. La CNMC indica en el acuerdo que, a través del análisis de los datos de accesos registrados y de la recepción de avisos procedentes de comercializadores y usuarios, ha identificado un conjunto de escenarios que sugieren posibles usos fraudulentos del SIPS que pueden tener impacto en el derecho a la protección de los datos personales. De forma resumida, los escenarios son los siguientes: - Siete sociedades cuya actividad es la provisión a sus clientes de paquetes informáticos que integran los datos del SIPS. - Tres sociedades cuya actividad es la consultoría energética que parecen estar accediendo al SIPS sin tener la condición de agentes autorizados para ello. - El acuerdo refiere asimismo actividad anómala de comercializadores en su acceso autorizado al SIPS (por número de consultas o pluralidad de direcciones IP de origen) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/81 que podría apuntar una mercantilización de los datos o un uso de las credenciales de acceso por terceros. - Un agente autorizado que dispone de una herramienta de contratación en la que, indicando la dirección de un punto de suministro, devuelve la terminación del Código Unificado de Punto de Suministro (en adelante, CUPS) y la potencia contratada. Analizada la relevancia de la información facilitada, el día 31/03/2022 la Directora de la Agencia Española de Protección de Datos emitió una nota interior en la que consideró la oportunidad de realizar investigaciones que permitan recopilar los elementos de juicio necesarios para conocer con certeza si se han producido actuaciones contrarias a la normativa de protección de datos personales. La nota añade, no obstante, que “teniendo en cuenta el amplio alcance de los supuestos planteados por la CNMC y la necesidad de acompasarlo con las capacidades y recursos de que dispone la AEPD, la investigación se centrará inicialmente en el primero de los escenarios descritos, esto es, la existencia de proveedores de software que integran en sus paquetes la información del SIPS y la ponen a disposición de sus clientes, que pueden no ser comercializadores autorizados y, en particular, el supuesto de la siguiente entidad no comercializadora de energía: , - TECNOLOGÍA SISTEMAS Y APLICACIONES S.L. (CIF: B83128033). Esta entidad, que no es un comercializador de energía, y, por lo tanto, no cuenta con acceso autorizado al SIPS, a través de su web comercial ofrece el software “KOMMODO SIPS” indicando la posibilidad de consulta de los datos de los futuros clientes desde un único sistema y el acceso a SIPS con todos los datos agregados de las principales distribuidoras.” SEGUNDO: A la vista de los hechos, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se ha tenido conocimiento de los siguientes hechos que se reflejan en el Informe de Actuaciones Previas de Inspección: La CNMC ubica al investigado dentro del primer caso de posible utilización fraudulenta de los datos del SIPS en los siguientes términos: “Indicios de comercialización o utilización de los datos del SIPS a través de anuncios en webs o información remitida a la CNMC, en las siguientes entidades, en su mayoría no comercializadores de energía: “(…) 3. TECNOLOGÍA SISTEMAS Y APLICACIONES S.L. (CIF: B83128033) A través de su web comercial ofrece el software “KOMMODO SIPS” indicando: «Consulta los datos de tus futuros clientes desde un único sistema. Acceso a SIPS con todos los datos agregados de las principales distribuidoras». En la web indican una serie de logos correspondientes a comercializadores que supuestamente utilizan este software bajo el indicativo «Comercializadoras que ya confían en Kommodo». Entre estos comercializadores se identifica más de una veintena sin autorización de acceso al SIPS. Se incluye en el Excel que acompaña a este oficio una relación de comercializadores identificados por su logo publicado en la web de esta empresa, donde se indica si disponen o no de acceso autorizado a las bases de datos del SIPS. Esta entidad no es un comercializador de energía, y, por lo tanto, no cuenta con acceso autorizado al SIPS. Según se deduce de la información publicada en su web, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/81 se trata de una empresa especializada en el desarrollo de soluciones software para el sector de la energía. Enlace: https://www.kommodo.com/es/ ” Para mayor claridad se divide la exposición según los diferentes aspectos concernidos. Situación actual del sistema Manifiesta el investigado que “El 1 de septiembre de 2022 se notificó a las comercializadoras acreditadas con las que se mantenía un contrato en vigor, tanto de las versiones Free como Premium (es decir, de pago) de Kommodo SIPS, que TECSISA dejaría de prestar el servicio a partir del 1 de octubre de 2022”. Incorpora al escrito un correo electrónico de fecha 01/09/2022 en el que se comunica que a partir del 01/10/2022 se dejará de prestar el servicio de Kommodo SIPS. El correo incluye el siguiente texto: “¿Qué ocurre ahora? Si tenías un acceso gratuito a la plataforma, a partir de esa fecha dejarás de poder acceder y consultar la información. En caso de que tuvieses una suscripción premium, contactaremos contigo en los próximos días para regularizar vuestra situación en relación con los meses de servicio no prestados, conforme a los términos del contrato.” Contexto, finalidad, y categorías de datos personales objeto de tratamiento El investigado ha facilitado la plantilla del contrato de prestación de servicios de acceso al SIPS que contiene el texto siguiente: “MANIFIESTAN (…) II. TECSISA (el "PROVEEDOR del Servicio") ha desarrollado una aplicación informática, sistema o SW (“software”) para comercializadoras de gas y electricidad, destinada al almacenamiento, tratamiento y consulta de bases de datos de puntos de suministro de gas y electricidad, bases de datos comúnmente conocidas dentro del ámbito del mercado energético español como "Sistemas de Información de Puntos de Suministro" ("SIPS") de gas y electricidad. (…) IV.- El PROVEEDOR del Servicio puede facilitar el proceso de carga, tratamiento y consulta de la información contenida en los SIPS publicados a través del API de la CNMC mediante la aplicación web "KOMMODO SIPS", con la que los usuarios de las comercializadoras acreditadas podrán realizar búsquedas y consultas así como aplicar filtros y cálculos de SIPS con carácter gratuito, a fin de incentivar la posible contratación futura de una versión más avanzada de la misma, así como de otras aplicaciones software con funcionalidades complementarias, carácter no oneroso que condiciona ciertos términos y condiciones del presente Contrato. Es por todo ello, que ambas partes han convenido suscribir el presente contrato de arrendamiento de servicios para el ALMACENAMIENTO, TRATAMIENTO Y CONSULTA DE BASE DE DATOS DE PUNTOS DE SUMINISTRO DE GAS Y DE ELECTRICIDAD ("SIPS"), inicialmente EN SU VERSION BASICA, O PROMOCIONAL, y sin perjuicio de su posterior novación a distintas versiones avanzadas o de plan de pago, según se expresará más adelante (…) ESTIPULACIONES (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/81 Quinta. Condiciones técnicas de acceso y prestación del Servicio. Para que el USUARIO pueda acceder a la prestación del Servicio faculta al PROVEEDOR del Servicio para que por cuenta de este y con base en la autorización expresa que el USUARIO manifiesta tener de los distribuidores de gas y/o electricidad, el PROVEEDOR acceda a la base de datos SIPS a través del API de la CNMC. El PROVEEDOR accederá a la base de datos SIPS a través del API de la CNMC por cuenta del USUARIO, no pudiendo utilizar los datos para ninguna finalidad distinta de la recogida en este Contrato”. No obstante, lo anterior, el investigado expresa que el sistema Kommodo SIPS provee únicamente acceso al SIPS eléctrico y no al gasístico: “Tecsisa firma un contrato de prestación de servicios con aquellas empresas comercializadoras de electricidad, debidamente acreditadas, que están interesadas en utilizar Kommodo SIPS. Si bien el contrato contempla la posibilidad de ofrecer también datos relativos a gas, Kommodo SIPS nunca ha soportado dicha funcionalidad y por lo tanto no ofrece información de gas.” Además, el investigado ha facilitado la plantilla de Acuerdo de Procesamiento de Datos que el investigado utiliza con sus clientes. Sobre los datos personales objeto de tratamiento cita, en la parte expositiva, lo siguiente: “3. Que, para el desarrollo de los citados servicios, el ENCARGADO DEL TRATAMIENTO, requerirá el acceso a los datos personales que se detallan a continuación: a. Datos de identificación y contacto de clientes (nombre, apellidos, correo electrónico corporativo). b. CUPS (Código Unificado del Punto de Suministro). c. Potencia contratada por CUPS. d. Datos de consumos energético (energía reactiva y activa) por CUPS.” En relación con los “Datos de identificación y contacto de clientes (nombre, apellidos, correo electrónico corporativo)” referidos en el párrafo anterior, el investigado ha señalado que “se refieren a los datos (nombre, apellidos y correo electrónico) de los usuarios corporativos de la comercializadora con acceso a la aplicación Kommodo SIPS” aclarando que “no se refiere a los clientes de la comercializadora, sino a los empleados de la misma que a estos efectos actúan como clientes de SIPS”. Asimismo, FORTIA -comercializadora usuaria del sistema Kommodo SIPS hasta mayo de 2022- señala lo siguiente en relación con los datos personales objeto de tratamiento: “En cuanto al origen de los datos, tal y como se ha indicado previamente, los datos proceden directamente del SIPS de la CNMC, y no son enriquecidos ni cruzados con nuevos puntos o fuentes de datos. El valor añadido de Kommodo SIPS es que permite filtrar y buscar de forma ágil la información estructural y las lecturas (en ningún caso horarias ni cuarto horarias) de cada punto de suministro disponible.” Registro de Actividades de Tratamiento del Investigado El investigado ha aportado la plantilla de Acuerdo de Procesamiento de Datos que incluye como parte de la contratación con los clientes. Este acuerdo contiene en la estipulación 5.
2. f)la siguiente obligación para el investigado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/81 “
3. f)El ENCARGADO DEL TRATAMIENTO debe llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del RESPONSABLE DEL TRATAMIENTO.” Asimismo, el investigado ha facilitado la información sobre el tratamiento “Proceso de carga del SIPS” que ha incorporado en su registro de actividades de tratamiento. Se define en el mismo esta actividad de tratamiento de la siguiente forma: “A partir de los datos de CUPS procedentes de CNMC/Distribuidoras, se realiza un proceso de canonización y enriquecimiento de información que se pone a disposición de los usuarios de Kommodo”. Especifica que los datos personales tratados son el CUPS y los consumos eléctricos, y que las categorías de actividades de tratamiento que involucra la actividad son: recogida, consulta, utilización, adaptación o modificación, y conservación o almacenamiento. Consigna además los datos de contacto del encargado y de su delegado de protección de datos personales, el listado de los responsables de tratamiento para los que actúa como encargado en el marco de esta actividad, y una descripción general de las medidas de seguridad. En relación con estas últimas el investigado ha aportado además la declaración de aplicabilidad y el certificado del sistema de gestión de la seguridad de la información según la norma UNE-ISO/IEC 27001:2014. Por último, el registro incluye, sin contenido, apartados relativos a transferencias, cesiones, y subencargados de tratamiento. Funcionamiento del sistema Kommodo SIPS La plantilla de contrato de prestación de servicios de acceso al SIPS incluye los siguientes párrafos descriptivos del servicio prestado: “ESTIPULACIONES Primera. - Objeto del contrato. El USUARIO contrata al PROVEEDOR del Servicio, que acepta, la prestación electrónica, en remoto y sobre los propios servidores de este último o sobre los de terceros, del servicio de almacenaje, tratamiento y consulta de base/s de datos de puntos de suministro de gas y electricidad ("SIPS"), a través de la aplicación informática para comercializadores de gas y electricidad, en su versión básica denominada "KOMMODO SIPS" ("el Servicio"). (…) Segunda. Ámbito funcional. La funcionalidad técnica de la aplicación “KOMMODO SIPS" es el almacenamiento, tratamiento y consulta de la base de datos de SIPS, estando el sistema preparado inicialmente para cargar información de las empresas distribuidoras de gas o electricidad disponibles a través del API de la CNMC. La funcionalidad técnica de la aplicación “KOMMODO SIPS" tiene carácter genérico. Está destinada al almacenamiento, tratamiento y consulta de bases de datos SIPS en términos no personalizados para el USUARIO. La versión básica o gratuita de “KOMMODO SIPS” dispone de un único usuario por cliente. En concreto, la funcionalidad técnica que permite la aplicación “KOMMODO SIPS" es la que consta el ANEXO I de este Contrato, que forma parte de este a todos los efectos. Las referidas funciones se establecen para la versión básica o gratuita del contrato de prestación de servicios, no agotan y son distintas de las versiones avanzadas o planes de pago, de esta misma aplicación, conforme posteriormente se expresará. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/81 Quinta. Condiciones técnicas de acceso y prestación del Servicio. Para que el USUARIO pueda acceder a la prestación del Servicio faculta al PROVEEDOR del Servicio para que por cuenta de este y con base en la autorización expresa que el USUARIO manifiesta tener de los distribuidores de gas y/o electricidad, el PROVEEDOR acceda a la base de datos SIPS a través del API de la CNMC. El PROVEEDOR accederá a la base de datos SIPS a través del API de la CNMC por cuenta del USUARIO, no pudiendo utilizar los datos para ninguna finalidad distinta de la recogida en este Contrato. (…) Séptima. Condiciones para el PROVEEDOR del Servicio. El PROVEEDOR del Servicio: - Facilitará a un único USUARIO, designado por el arrendador, el acceso al Servicio, facilitando al mismo las direcciones y procedimientos necesarios. En la presente versión básica, el usurario único será a su vez el Administrador (owner) del servicio en representación del cliente - Almacenará, tratará y pondrá a disposición del USUARIO para su consulta los datos SIPS tratados, con las funcionalidades técnicas que permite el Servicio a través de la aplicación “KOMMODO SIPS". - Actualizará, cuanto menos mensualmente, la información de SIPS, excepto que por razones de fuerza mayor no pueda cumplirse dicho plazo. (…) ANEXO I FUNCIONALIDAD TÉCNICA INICIAL DE LA APLICACIÓN "KOMMODO SIPS" Acceso a la aplicación mediante usuario nominal Consulta del listado de SIPS de las distribuidoras disponibles a través del API de la CNMC Búsqueda y refinamiento de resultados Acceso a la información estructural de un punto de suministro Acceso al detalle de consumos mensualizados de un punto de suministro La información disponible en la aplicación está supeditada a la normativa legal vigente en cada momento por lo que puede variar sin previo aviso.” Asimismo, el investigado describe el funcionamiento del sistema Kommodo SIPS en los siguientes términos: “De forma periódica, al menos con carácter mensual, el software Kommodo SIPS descarga, mediante un proceso automatizado, y a través del API de la CNMC, una copia completa de la información de consumos y puntos de suministro de electricidad. Esta información descargada se procesa de forma local y con posterioridad se elimina la copia anterior, de forma que no se mantienen copias históricas. Dado que se utilizan los medios del SIPS de la CNMC, las medidas de seguridad utilizadas son las que provee la misma, en concreto mediante autenticación según protocolo OAuth (key y secret) de la comercializadora en cuestión. (…) el sistema se apoya en el uso de tecnologías de cloud computing, usando a AWS como proveedor IaaS (Infrastructure as a Service) en cuanto al almacenamiento de la información. Este almacenamiento físico se encuentra ubicado en los Centros de Datos de AWS en Irlanda, país que forma parte de la Unión Europea. La información, ya almacenada localmente, es ofrecida a través de la aplicación web Kommodo SIPS, que permite filtrar y buscar de forma ágil la información estructural y las lecturas (en ningún caso horarias ni cuarto horarias) de cada punto de suministro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/81 disponible. Cabe resaltar que los consumos con detalle horario o cuarto horario no se almacenan ni se ofrecen dado que estos son específicos de cada comercializadora. (…) Todo el proceso de carga de SIPS en Kommodo SIPS se encuentra dentro del alcance del SGSI implantado en base a la norma UNE-ISO/IEC 27001:2014 por lo que las medidas de seguridad implantadas son verificadas anualmente y se encuentran dentro de un proceso de mejora continua que permite gestionar los riesgos sobre los activos de manera efectiva. (…) El acceso a Kommodo SIPS únicamente está permitido a los usuarios designados por aquellas comercializadoras con las que se ha firmado, y se mantiene vigente, el correspondiente contrato de prestación de servicios. Esta conexión se realiza a través de cualquier navegador web (existen una serie de navegadores recomendados y sus versiones, pero el usuario es libre de acceder con cualquier navegador web compatible) y el método de control de acceso es usuario y contraseña. Esta conexión se realiza mediante una conexión securizada (HTTPS) mediante protocolos criptográficos actualmente considerados seguros (TLS 1.2) (…) Kommodo SIPS, en su versión free, dado que se accede mediante un navegador web, el usuario solo puede consultar online a través de pantallas dispuestas para tal efecto. En la versión premium, el usuario tiene a su disposición un API para poder realizar consultas programáticas. Este API está igualmente securizado y requiere del suministro de credenciales específicas y la activación del API para ese usuario en concreto.” Sobre la funcionalidad “premium” el investigado ha señalado que “en ningún caso, los datos de Kommodo SIPS se enriquecen con datos personales, por lo que no se consultan fuentes de datos adicionales a la CNMC”. Expresa concretamente que la funcionalidad “premium” incorpora funcionalidades de: filtrado de los datos; exportación de los datos; asesoramiento de optimización de potencias contratadas; estimación de “energía reactiva”; y acceso de forma programática (a través de API). Incorpora al escrito capturas de pantalla de estas características del sistema. En relación con el acceso al API de la CNMC para realizar la descarga, el investigado manifiesta lo siguiente: “Por una cuestión puramente práctica debida al alto volumen de datos y dado que en Kommodo SIPS no se almacenan ni se ofrecen datos de consumos horarios ni cuarto horarios, se realiza una única descarga periódica de la información de la CNMC y se proporciona acceso a las comercializadoras debidamente acreditadas que son usuarias de Kommodo SIPS. Concretamente, se está utilizando el certificado (key y secret) de NCE Comercializadora (Nueva Comercializadora Española S.L., con CIF: B99301822 y Código de Agente ***CÓDIGO.1 y cuyo ámbito geográfico de actuación es Peninsular) para la obtención de la información del API de la CNMC.” La CNMC en el “Acuerdo por el que se remite a la Agencia Española de Protección de Datos las actuaciones practicadas en relación con posibles usos fraudulentos del SIPS” cita a NCE dentro del “caso tercero” de posible utilización fraudulenta del SIPS. A este respecto son de interés los siguientes párrafos: “CASO TERCERO.- Se aprecian indicios de una posible utilización no acorde con la finalidad del SIPS en el análisis de los datos obtenidos de las consultas individuales de comercializadores autorizados a través de API, por presentar un número muy C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/81 elevado de consultas, muy superior al volumen de operaciones de switching registrado en un periodo determinado de tiempo, e incluso al número de puntos de suministro que forman parte de su cartera de clientes. También resulta llamativo el número elevado de direcciones IP diferentes utilizado por algunos comercializadores. (…) 1. NUEVA COMERCIALIZADORA ESPAÑOLA S.L (CIF: B99301822) Este comercializador eléctrico (***CÓDIGO.2) realizó, en el periodo de estudio, 1.321.413 consultas desde 6 direcciones IP diferentes, y su switching fue de 9 puntos de suministro. En julio de 2021 gestionaba 592 puntos de suministro eléctrico.” La CNMC ha facilitado la información intercambiada con NCE en el marco de sus investigaciones. En relación con el uso de las credenciales de NCE, la CNMC realizó, entre otras, las siguientes apreciaciones a NCE: “Se ha detectado una actividad inusual en el número de consultas individuales que realizan a través de la API de la CNMC, muy alejada de los valores medios registrados por comercializadores con su volumen de switching y actividad comercial relacionada con el SIPS. Concretamente, durante el año 2021 se han registrado desde diferentes direcciones IP 3.037.402 consultas individuales sobre consumos y 219.717 consultas individuales sobre puntos de suministro. Poniendo como ejemplo un caso más concreto de los registros de consultas a la base de datos del SIPS utilizando el certificado o credenciales de acceso concedidos al comercializador, el día 23 de febrero de 2022 se registraron 9.073 peticiones, en su mayoría de información sobre puntos de suministro, desde la dirección IP ***IP.1 mediante máquina alojada en el dominio ***URL.1. Del mismo modo, se han registrado accesos desde la dirección IP ***IP.2 mediante máquina alojada en el dominio ***URL.2, desde las direcciones IP ***IP.3 y ***IP.4 mediante máquina alojada en el dominio ***URL.3, y desde la dirección IP ***IP.5 mediante máquina alojada en el dominio ***URL.4. Al mismo tiempo, se comprueba que, además de realizar un número inusual de consultas, descargan los ficheros completos con toda la información de consumos y puntos de suministro en el ámbito peninsular.” NCE ha confirmado que tiene suscrito un contrato con el investigado que ha adjuntado a su escrito y que responde al contrato tipo facilitado por el investigado. En relación con el ámbito geográfico de las comercializadoras clientes de Kommodo SIPS, manifiesta el investigado que “una comercializadora que no posea ámbito de actuación al menos, peninsular (P), no tendrá acceso a Kommodo SIPS, y en eso consiste parte del proceso de verificación manual” que realiza el investigado. Así, adjunta el investigado un anexo que incluye el listado de comercializadoras de alta en Kommodo SIPS a fecha 30/09/2022 que refleja que, como mínimo, el ámbito de actuación de las mismas es peninsular. La CNMC y la autorización para acceder al SIPS La CNMC ha manifestado que según “lo dispuesto en el artículo 3.
4. s)del Real Decreto 1011/2009, y en el artículo 7.3) del Real Decreto 1435/2002, la CNMC debe entregar las bases de datos del SIPS a entidades comercializadoras de energía.” Expresa además que para el ejercicio de la actividad de comercialización los interesados deben comunicar el inicio de la actividad especificando el ámbito territorial ante la Dirección General de Política Energética y Minas del Ministerio de Energía, Turismo y Agenda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/81 Digital. Señala además que dicha comunicación debe acompañarse de una declaración responsable de cumplimiento de los requisitos para el ejercicio de la actividad que se establecen. Añade que la Dirección General de Política Energética y Minas da traslado de la comunicación realizada por el interesado a la Comisión Nacional de los Mercados y la Competencia (CNMC), quien la publica en su página web y mantiene actualizado con una periodicidad al menos mensual, un listado que incluye a todos los comercializadores. Adicionalmente, la CNMC ha listado las obligaciones que deben cumplir los comercializadores en relación con el carácter confidencial de la información relativa a los puntos de suministro refiriendo el artículo 46.1.
5. k)de la Ley 24/2013, el artículo 7.3) del Real Decreto 1435/2002, y el artículo 43 del Real Decreto 1434/2002. E indica que “conforme a la normativa vigente, los datos del SIPS tienen carácter confidencial, por lo que la CNMC da acceso al SIPS solo a los comercializadores eléctricos y gasistas que los demandas[sic], y todo ello, en el ejercicio de las competencias que tiene atribuidas en virtud de sus leyes sectoriales.” En relación con este proceso de solicitud de acceso al SIPS, lo explica la CNMC de la siguiente forma: “Para su consulta o descarga de la información del SIPS, los comercializadores deben solicitar previamente a la CNMC el alta en el sistema de gestión de las bases de datos de puntos de suministro de electricidad y gas, a través del trámite establecido a tal efecto. Esta solicitud debe ser analizada y validada por la CNMC antes de proporcionar el acceso. La solicitud de alta la debe realizar un representante legal del comercializador, el cual garantiza expresamente que dará cumplimiento a la normativa aplicable a la protección de datos de carácter personal respecto de los datos recibidos, y que, mantendrá en todo momento la confidencialidad de la información de los datos, adoptando para ello las medidas precisas y necesarias en los procesos del tratamiento, que son de su exclusiva responsabilidad. En particular, a través de su solicitud, el representante legal se compromete a trasladar al personal que haga uso de la información su carácter confidencial, y su sujeción a la normativa de protección de datos de carácter personal, así como a poner con carácter inmediato los medios necesarios para asegurar el respeto a tales condiciones. Si se ha producido un cambio en la comercializadora que afecta al responsable de la descarga del SIPS de la CNMC se ha de informar a la CNMC, ya que la autorización de acceso al SIPS es nominativa, y se concede a un solicitante con poder que actúa en nombre y representación de la comercializadora peticionaria, asumiendo la responsabilidad sobre la utilización de los datos descargados.” Además, la CNMC refiere su sede electrónica en la que se expone lo siguiente en relación al procedimiento que deben seguir los comercializadores para acceder al SIPS: “Para su consulta o descarga, los comercializadores deben solicitar previamente el alta en el sistema de gestión de las bases de datos de puntos de suministro de electricidad y gas a través del trámite establecido a tal efecto, y su solicitud debe ser aprobada por la CNMC quien proporcionará acceso. La solicitud de alta la debe realizar un representante legal del comercializador, el cual garantiza expresamente que dará cumplimiento a la normativa aplicable a la protección de datos de carácter personal respecto de los datos recibidos, y que, mantendrá en todo momento la confidencialidad de la información de los datos, adoptando para ello las medidas precisas y necesarias en los procesos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/81 tratamiento, que son de su exclusiva responsabilidad. En particular, a través de su solicitud, el representante legal se compromete a trasladar al personal que haga uso de la información su carácter confidencial, y su sujeción a la normativa de protección de datos de carácter personal, así como a poner con carácter inmediato los medios necesarios para asegurar el respeto a tales condiciones.” La sede electrónica de la CNMC además ofrece instrucciones de cómo ha de realizarse el trámite, incluyendo un apartado de “instrucciones” y otro de “documentación requerida”. Ésta última cita los siguientes documentos: “1. Formulario de alta de comercializadoras indicando la persona habilitada para la recepción de las BBDD SIPS 2. Copia del poder habilitante para la recepción de las Bases de Datos SIPS” El formulario de solicitud reseñado en el párrafo anterior incluye el siguiente clausulado: “COMUNICACIÓN A LA COMISIÓN NACIONAL DE LOS MERCADOS Y LA COMPETENCIA SOLICITUD DE ALTA DE COMERCIALIZADORES EN EL SISTEMA DE GESTIÓN DE BASES DE DATOS DE PUNTOS DE SUMINISTRO (SIPS V2) DE GAS Y ELECTRICIDAD. (…) I.- Que, el SOLICITANTE en nombre y representación de la entidad PETICIONARIA solicita el alta en el sistema de gestión de las Bases de Datos de Puntos de Suministro de electricidad y gas. II.- Que la Comisión Nacional de los Mercados y la Competencia, en el ejercicio de las competencias que tiene atribuidas en virtud de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico y el artículo 3.
6. s)del Real Decreto 1011/2009, de 19 de junio, por el que se regula la Oficina de Cambios de Suministrador, comunicará gratuitamente a la PETICIONARIA, mediante procedimientos telemáticos seguros, la información relativa a las Bases de Datos de Puntos de Suministro eléctricos y de gas relativos al ámbito geográfico establecido en las licencias de suministro eléctrico y de gas de la PETICIONARIA. III.- Que la Comisión Nacional de los Mercados y la Competencia hace expresa advertencia a la PETICIONARIA de que ésta queda obligada al cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, debiendo tratar los datos conforme a la normativa aplicable a la comunicación efectuada y no aplicándolos o utilizándolos con una finalidad distinta a la que justifica su cesión, sin la posibilidad de que los comunique, ni siquiera para su conservación, a otras personas, siendo todo ello de su única y exclusiva responsabilidad a partir del momento de la entrega efectuada. IV.- Que el SOLICITANTE, en nombre y representación de la PETICIONARIA, garantiza expresamente que dará cumplimiento a la normativa aplicable a la protección de datos de carácter personal respecto de los datos recibidos y que mantendrá en todo momento la confidencialidad de la información de los datos que ha recibido, adoptando, para ello, las medidas precisas y necesarias en los procesos del tratamiento, que son de su exclusiva responsabilidad. En particular, el SOLICITANTE, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/81 en nombre y representación de la PETICIONARIA, se compromete a trasladar al personal que haga uso de la información su carácter confidencial y su sujeción a la normativa de protección de datos de carácter personal, así como a poner con carácter inmediato los medios necesarios para asegurar el respeto a tales condiciones.” Procedimiento de alta en Kommodo SIPS El investigado ha manifestado lo siguiente en relación a las condiciones que han de cumplir sus clientes para tener acceso al SIPS a través de su plataforma: “Para proceder al alta de una comercializadora en Kommodo SIPS, esta debe cumplir los requisitos de acceso estipulados por la Ley. Para ello, Tecsisa solicita a la comercializadora:  Código SIMEL de participante en el Mercado Eléctrico.  Código de AGENTE asignado por la CNMC.  Código CIE (Código de Identificación de la Electricidad) asignado por AEAT. Adicionalmente, Tecsisa verifica manualmente la presencia de la empresa (por razón social y CIF) en el Listado de Comercializadoras de electricidad que publica la CNMC en la web ***URL.5 y que su ámbito de geográfico de actuación es al menos “Peninsular”. Una vez realizadas estas comprobaciones y firmado el contrato de prestación de servicios, Tecsisa procede a dar de alta a los usuarios designados por la comercializadora en la aplicación Kommodo SIPS.” Igualmente, la plantilla de contrato de prestación de servicios de acceso al SIPS consigna los siguientes párrafos: “MANIFIESTAN (…) III.- El USUARIO es una sociedad mercantil comercializadora de gas y/o de electricidad, que necesita una aplicación informática para gestionar la información proporcionada por los distribuidores de gas y/o electricidad a la CNMC. Las empresas distribuidoras han implementado diversos sistemas para poner a disposición de la CNMC y de las empresas comercializadoras la información contenida en las bases de datos SIPS. La CNMC publica un API a través de la cual las comercializadoras acreditadas pueden consultar las bases de datos de SIPS a través de programas informáticos desarrollados para tal efecto. Que la compañía comercializadora se encuentra debidamente registrada ante los organismos oficiales españoles con los siguientes códigos:  Código SIMEL de participante en el Mercado Eléctrico: ___  Código de AGENTE asignado por la CNMC: ___  Código CIE (Código de Identificación de la Electricidad) asignado por AEAT: ___ (…) ESTIPULACIONES (…) Sexta. Condiciones de prestación del Servicio para el USUARIO. El USUARIO: - Declara y garantiza que la información proporcionada al PROVEEDOR del Servicio al solicitar el alta en el servicio y en cualquier momento posterior es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/81 verídica, está actualizada y tiene derecho al uso de esta en virtud de su condición de comercializador de gas y/o electricidad.” Sobre si el cumplimiento de los requisitos anteriores es condición suficiente para acceder al SIPS, la CNMC ha señalado que “el acceso a la información del SIPS de la CNMC se permite a las comercializadoras de energía que se encuentran inscritas en el listado de comercializadores que figura en la página web de la CNMC y que, además, uno o varios representantes de las mismas hayan sido habilitados por la CNMC en el sistema de gestión de las bases de datos de puntos de suministro de electricidad y gas, a través del trámite establecido a tal efecto.” Clientes del investigado y análisis de su autorización para acceder al SIPS A continuación, se plasman los resultados del análisis de las relaciones de clientes de la plataforma Kommodo SIPS obtenidas a partir de los distintos escritos y sus circunstancias en relación con la consulta del SIPS. En primer lugar, la CNMC comunicó a la AEPD lo siguiente en relación con las entidades que, según los indicios disponibles, podrían estar accediendo al SIPS a través del sistema del investigado: “(…) 3. TECNOLOGÍA SISTEMAS Y APLICACIONES S.L. (CIF: B83128033) A través de su web comercial ofrece el software “KOMMODO SIPS” indicando: «Consulta los datos de tus futuros clientes desde un único sistema. Acceso a SIPS con todos los datos agregados de las principales distribuidoras». En la web indican una serie de logos correspondientes a comercializadores que supuestamente utilizan este software bajo el indicativo «Comercializadoras que ya confían en Kommodo». Entre estos comercializadores se identifica más de una veintena sin autorización de acceso al SIPS. Se incluye en el Excel que acompaña a este oficio una relación de comercializadores identificados por su logo publicado en la web de esta empresa, donde se indica si disponen o no de acceso autorizado a las bases de datos del SIPS.” La CNMC adjuntó la relación de sociedades que utilizan el software Kommodo SIPS extraída del sitio de internet del interesado. Para cada una de las sociedades la CNMC concreta si disponen o no de autorización para el acceso al SIPS. El listado contenía: 32 sociedades sobre las que expresa que sí disponían de autorización de acceso al SIPS; 21 sociedades señaladas como no autorizadas para acceder al SIPS; y 2 sociedades en situación de “baja”. El investigado manifestó a la CNMC que “Tecsisa reconoce una desactualización en los logos publicados en la página web www.kommodo.com. Esto se ha debido a haber estado trabajando en los últimos meses en una nueva versión de la página web, ya publicada en el momento de remitir este escrito, en la cual se han actualizado todos los logotipos.” No obstante, en relación con el acceso provisto a través de este sistema, el investigado manifiesta que “ofrece acceso a Kommodo SIPS a empresas comercializadoras de electricidad debidamente acreditadas y dadas de alta en la CNMC, por lo que ni ahora ni en el pasado, empresas que no cumpliesen las condiciones legales para ser consideradas comercializadoras acreditadas han contado con acceso a Kommodo SIPS otorgado por Tecsisa.” Y en ese mismo escrito el investigado reconoce, a fecha 22/03/2022, un total de 75 sociedades con acceso al SIPS a través de la plataforma Kommodo SIPS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/81 Analizada esta información se han observado los siguientes hechos: - En relación con la discrepancia con los logotipos publicados en su sitio de internet originalmente, se ha comprobado que únicamente 13 de ellas no se encuentran en el listado de 75 entidades. Además, el investigado informó a la CNMC de la baja de 12 de esas sociedades en el sistema Kommodo SIPS, siendo la sociedad FUTURA ENERGIA Y GAS, S.L (B87370771) la única sobre la que no hace mención. Según se ha podido comprobar, esta sociedad no figura en el listado de comercializadores de electricidad de la CNMC sino en el de comercializadores de gas. Al respecto el investigado ha manifestado que esta sociedad no ha tenido ni tiene acceso a Kommodo SIPS. - Durante las presentes actuaciones se ha accedido al sitio de internet comprobando los logotipos publicados en la sección “Nuestros Clientes”. En esta sección, además de encontrarse publicados los logotipos de los grupos empresariales “Acciona”, “Enel”, y “Sacyr”, se han observado logotipos de otras 30 entidades, todas ellas presentes en el referido listado de 75 entidades clientes de Kommodo SIPS facilitado a la CNMC. - Adicionalmente el investigado comunicó un listado de entidades que han causado baja en el sistema. Así, se desprende de esta información facilitada por el interesado que del total de 75 sociedades relacionadas en el EscritoCNMC#2, únicamente 30 continúan teniendo acceso al sistema Kommodo SIPS. - Se ha comprobado que, de estas 30 sociedades 26 se encuentran activas en el listado de comercializadores de electricidad publicado por la CNMC. Las cuatro restantes son: o VIVA LUZ SOLUCIONES, S.L. (CIF: B66823881) en situación de baja desde el día 18/03/2022. Además, esta sociedad figura señalada en el listado facilitado por la CNMC como no autorizada para acceder al SIPS. o IBEROELECTRA 3000, S.L. (CIF: B12899589) en situación de baja desde el día 22/03/2022. o FUSIONA COMERCIALIZADORA, S.A. (CIF: A87414934) en situación de baja desde el día 20/04/2022. o COMERCIAL SUMINISTROS ELÉCTRICOS Y GAS, S.L. (CIF: B98989239) en situación de baja desde el día 21/04/2022. - Igualmente, entre estas 30 sociedades se encuentran otras seis que fueron calificadas como no autorizadas para acceder al SIPS por la CNMC: o NOSA ENERXÍA S.C.G (CIF:F94090792) o SOLABRIA (CIF: F39781794) o MEGARA ENERGÍA S.COOP (CIF: F42212696) o PETRONAVARRA, S.L. (CIF: B31595523) o DX COMERCIALIZADORA ENERGÉTICA, S.A. (CIF: A81798480) o NOVALUZ ENERGÍA, S.L. (CIF: B93661726) - El investigado ha facilitado un listado de comercializadoras dadas de alta en Kommodo SIPS a fecha 30/09/2022. De las presentes en dicho listado, fueron catalogadas como no autorizadas para acceder al SIPS por la CNMC, las siguientes: o NOSA ENERXÍA S.C.G (CIF: F94090792) o SOLABRIA (CIF: F39781794) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/81 o o o o o MEGARA ENERGÍA S.COOP (CIF: F42212696) PETRONAVARRA, S.L. (CIF: B31595523) DX COMERCIALIZADORA ENERGÉTICA, S.A. (CIF: A81798480) NOVALUZ ENERGÍA, S.L. (CIF: B93661726) ELEVA 2 COMERCIALIZADORA SL (CIF: B98670763) Procedimiento de retirada de acceso al sistema Kommodo SIPS Sobre el procedimiento de retirada del acceso al SIPS la plantilla de contrato de prestación de servicios de acceso al SIPS consigna los siguientes párrafos: “(…) ESTIPULACIONES (…) Sexta. Condiciones de prestación del Servicio para el USUARIO. El USUARIO: - (…) Comunicará al PROVEEDOR del Servicio, por medio escrito, en el plazo máximo de veinticuatro