PS-00072-2021

1/8  Procedimiento Nº: PS/00072/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: La Asociación de Consumidores y Usuarios en Acción (FACUA), actuando en nombre y representación de D. A.A.A. (en adelante, el reclamante) con fecha 15 de noviembre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Curenergia Comercializador de Último Recurso S.A. con NIF A95554630 (en adelante, la reclamada). Los motivos en que se basa su reclamación son que ha sido suplantada su identidad debido a que no recibió en su domicilio las dos últimas facturas de la reclamada, por haberse modificado en éstas el domicilio postal indicándose en las mismas el domicilio de su hermano. El reclamante aporta la siguiente documentación: Denuncia a la Policía Nacional de fecha 15 de octubre de 2019. Facturas de los cuatro últimos meses, en las cuales se comprueba que las dos últimas se dirigen a un domicilio que no ha facilitado reclamante, produciéndose una suplantación de su identidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que ha previsto un mecanismo, previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma , o a éstos cuando no los hubieren designado, se dio traslado de la reclamación presentada por la reclamante a la reclamada, para que procediese a su análisis y diera respuesta a esta Agencia en el plazo de un mes. Consta que con fecha 29 de abril de 2020, la parte reclamada contesta al traslado de la reclamación, manifestando lo siguiente: “Que el reclamante residía en la vivienda situada en ***DIRECCION.1, en calidad de inquilino. Que a partir del mes de junio de 2019 y por motivos que desconocemos, el reclamante deja de abonar las facturas correspondientes al suministro, a pesar de que las mismas se venían enviando al mismo domicilio de siempre y que se corresponde con el del punto de suministro, esto es: ***DIRECCION.1. Se adjunta como documento Anexo nº 1, el requerimiento de pago que se envía al reclamante en el mismo domicilio de siempre en fecha 28 de junio de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Que con carácter posterior, se le enviaron al reclamante, al mismo domicilio de siempre, las facturas correspondientes a los consumos de los meses posteriores, esto es las facturas de fechas 4 de julio, y 19 de julio de 2019. Se adjuntan como documentos Anexos nº 2 y nº 3. Que el reclamante da de baja definitivamente el contrato en fecha 19 de julio de 2019, dejando impagadas las dos últimas facturas correspondientes al mismo. Que en relación a la manifestación del reclamante relativa a la imposibilidad de pagar las facturas por no recibirlas en su domicilio, es preciso indicar que, no solo se le remitieron los requerimientos de pago a su domicilio habitual, sino que además y de haber sido esa su verdadera intención, el reclamante también podría haberse puesto en contacto con el número de atención telefónica de CURENERGÍA o a través de su área de cliente, para preguntar el importe de las facturas e incluso abonarlas con la ayuda de la atención telefónica, mediante tarjeta de crédito, transferencia bancaria o en cualquier cajero automático. Que en fecha 24 de julio de 2019, se procede a la modificación del domicilio a efectos de notificaciones, por parte de alguien que telefónicamente se acredita como el titular del contrato, al efecto de abonar las facturas pendientes de pago. Que el hecho de que existan terceros con la intención de suplantar identidades, es una conducta que desde CURENERGÍA se intenta mitigar implementando, como ya se ha informado a esa Agencia en expediente similares que han resultado en el archivo de actuaciones, mecanismos robustos a través de los cuales se asegura de que la persona que solicita la realización de cualquier gestión con respecto a su contrato, como pueda ser un cambio de número de teléfono, o un cambio de titularidad, o cualquier otra gestión, ya sea presencialmente en un punto de atención, de forma telefónica o a través de su área cliente online, sea la titular del contrato, requiriendo para ello determinada información personal del titular en función de la gestión solicitada. No obstante, cualquier persona que, por su relación con el reclamante, tenga acceso a dicho datos, podría suplantar su identidad sin que ello sea responsabilidad de CURENERGÍA, ni suponga una vulneración en la protección de los datos personales como aduce la reclamante, ya que es algo totalmente ajeno a CURENERGÍA y a sus procedimientos de verificación. Que no obstante lo anterior, se ha procedido por parte de CURENERGÍA y en atención al contenido de esta reclamación, a modificar nuevamente la dirección de correspondencia del contrato afectado para que vuelva a ser la dirección indicada por el titular, como se puede observar en el cuadro adjunto, tal y como indica el mismo ante esta Agencia”. TERCERO: Con fecha 15 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5

1. a)del RGPD. CUARTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 6 de abril de 2021, formuló, en síntesis, las siguientes alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 “El reclamante dejó de satisfacer el importe del suministro eléctrico correspondiente a las siguientes facturas: • Factura con nº de referencia 09190708010052506 emitida el 8 de julio de 2019, correspondiente al consumo comprendido entre el 4 de junio de 2019 a 4 de julio de 2019. • Factura con nº de referencia 09190722010050187, emitida el 22 de julio de 2019, correspondiente al consumo comprendido entre el 4 de julio de 2019 y el 19 de julio de 2019. 3. Las citadas facturas fueron emitidas a nombre del reclamante y remitidas al domicilio de suministro. A tal efecto se adjuntan como documentos nº uno y dos las mencionadas facturas originales, en que consta el mencionado domicilio de suministro. En fecha 19 de julio de 2019 el reclamante se dirigió a Iberdrola, en cuyo Grupo se integra CURENERGÍA solicitando la resolución de su contrato de suministro referenciado como 318852070, a lo que procedió mi mandante en esa misma fecha. Se adjunta como documento nº tres, escrito de solicitud de resolución del contrato formulado por el Reclamante, en que se adjunta copia de su Documento Nacional de Identidad, y como documento nº cuatro, acreditación de la efectiva tramitación de la baja en el servicio mediante copia de la pantalla en que consta como fecha de la baja la ya mencionada en este punto. 5. En fecha 23 de julio de 2020, es decir, cuatro días después de la resolución del anterior contrato, quien se identificó como D. B.B.B. y afirmó ser el titular de la finca en que el reclamante residía y respecto de la que aquél había contratado el suministro eléctrico se dirigió a Curenergia asumiendo el pago de los recibos insatisfechos por el reclamante y solicitando el alta con Iberdrola Clientes (en adelante, “IBERCLI”) en el contrato de suministro de la vivienda situada en la ***DIRECCION.1. En fecha 24 de julio de 2019, es decir cinco días después de la resolución del anterior contrato la persona que le había atendido el día anterior se puso en contacto con D. B.B.B., a fin de atender la solicitud efectuada por el mismo. En este sentido, es preciso aclarar que de acuerdo con lo previsto en el artículo 83.3 del Real Decreto 1955/2000, de 1 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de energía eléctrica, en los casos en que el usuario efectivo de la energía, con justo título, sea persona distinta al titular que figura en el contrato, podrá exigir, siempre que se encuentre al corriente de pago, el cambio a su nombre del contrato existente, sin más trámites. Por lo anterior se posibilita que la persona que manifiesta ser el usuario de la energía en un punto de suministro y tener justo título sobre el inmueble, pueda poner el contrato a su nombre cuando no exista deuda prexistente o proceda al pago de las facturas pendientes en dicho punto de suministro. Se adjunta como documento nº cinco, grabación acreditativa de dicha llamada, de la que resultan los siguientes extremos: • La acreditación de que D. B.B.B. había solicitado, el día inmediatamente anterior, hacerse cargo de los recibos impagados y celebrar un nuevo contrato con IBERCLI (minuto 0:36). • En dicha comunicación se pone de manifiesto que el servicio había sido “dado de baja por el inquilino”; esto es, por el reclamante, dado que el contrato estaba a nombre del mismo (minuto 4:35). • Con ocasión de dicha comunicación, D. B.B.B. solicitó que le fueran remitidas a su domicilio copias de los recibos pendientes de pago, a fin de poder acreditar su efectivo pago (minuto 0:32). • Se facilitó igualmente a D. B.B.B., en su condición de usuario efectivo de la energía, el número de cuenta bancaria de CURENERGIA en que hacer pago de los recibos no satisfechos referidos al contrato previamente resuelto, así como la referencia del contrato, a fin de poder proceder al abono de las mismas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 (minuto 2:05). • Al constar la baja del contrato se solicitó la celebración de uno nuevo respecto del servicio que había sido dado ya de baja por el reclamante, otorgándose dicho contrato, de forma telefónica, por D. B.B.B.. A tal efecto, D. B.B.B. facilitó como dirección de correo electrónico para la recepción de las facturas ***EMAIL.1, pudiendo comprobarse que las tres primeras letras coinciden con las iniciales del interesado (minuto 13:30). • El interesado igualmente facilitó a efectos de pago los veinte dígitos de su cuenta corriente a fin de domiciliar los recibos, identificándose como C.C.C. (minuto 14:30 a 15:10) • Finalmente, se grabó la celebración del contrato, informándose al interesado acerca de la consulta de sistemas de información crediticia (minuto 16:45), indicándose que la contratación se realiza “hoy, día 24 de julio de 2019 a las 11 horas y 32 minutos” (minuto 17:52), haciéndose expresa referencia al Documento Nacional de Identidad del solicitante (minuto 18:08), con indicación del lugar del punto de suministro y su CUPS (minuto 18:25) y dejando constancia de las condiciones del contrato. Igualmente se reiteran el número de teléfono del nuevo titular del contrato y la cuenta corriente de domiciliación del servicio (minuto 20:50), confirmado por el interesado. 7. Como consecuencia de dicha conversación se remitió a D. B.B.B. copia del contrato celebrado en la misma fecha, sin que desde ese momento se haya producido el impago de ninguna factura. A tales efectos se adjuntan como documentos nº seis, siete, y ocho copias de las facturas del servicio correspondientes al año 2021, en las que incluye, el número de cuenta corriente del nuevo titular del contrato. Asimismo, se adjunta como documento nº nueve, acreditación de que no existe en la fecha de emisión de este escrito deuda alguna pendiente de pago por el abonado, habiendo sido satisfechas todas las facturas por el nuevo titular del contrato. Igualmente, como consecuencia de la solicitud mencionada en el punto 6 anterior, CURENERGIA remitió a D. B.B.B., en la dirección que el mismo facilitó copia de las facturas impagadas, haciendo constar en el contenido de las mismas la nueva dirección, al haber asumido el nuevo titular el abono de las deudas pendientes, en su condición de usuario efectivo de la energía con justo título, que efectivamente satisfizo. El cambio de dirección de envío de la factura se produjo al asumir el abono de las mismas D. B.B.B., en fecha 24 de julio de 2019 Consta inequívocamente que el reclamante resolvió su contrato con mi mandante en fecha 19 de julio de 2019, no habiendo procedido, no obstante, al abono del suministro realizado por CURENERGIA y que se desprende de las facturas aportadas igualmente al procedimiento por mi mandante. A tal efecto, es preciso recalcar que, como puede comprobarse de las mencionadas facturas, el suministro fue prestado hasta la citada fecha. Quiere ello decir que desde el momento en que se produjo la baja en el contrato, solicitada por el Reclamante a mi representada, y como evidente consecuencia de dicha resolución, no procedía la remisión al interesado de información o documentación alguna referida a un contrato ya concluido en la fecha en que se personó en las oficinas de CURENERGIA. El titular de la vivienda, en su condición de usuario efectivo de la energía con justo título, y dada la coincidencia en los apellidos probablemente hermano del reclamante, asumió la realización de los citados pagos contratando nuevamente con mi representada el suministro eléctrico de la vivienda en fecha 24 de julio de 2019, es decir, con posterioridad a la fecha de baja del contrato, como no podía ser de otro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 modo, y también con posterioridad a la emisión y envío de la última de las facturas insatisfechas y cuyo abono asumió el nuevo titular. Como consecuencia de la asunción de dicho pago se emitieron sendos duplicados de las facturas, que fueron remitidos a la dirección que el titular de la vivienda, que había asumido su pago, facilitó durante la conversación telefónica mantenida con un representante de Curenergia y que también ha sido aportada junto con el presente escrito. De este modo, El tratamiento del dato de la dirección del nuevo titular trae igualmente su causa de la existencia de una relación contractual con el nuevo titular, dado que asumió, como se ha reiterado, el pago de las facturas, teniendo como único objeto el poder facilitar al pagador la acreditación de servicio satisfecho. Por este motivo, en las facturas solicitadas por el reclamante un mes después de haber solicitado la baja en el contrato constaba como domicilio de remisión el de quien efectivamente había procedido al pago y no el del denunciante, que resolvió el contrato y no afrontó el mismo. Es preciso poner de manifiesto que en el momento de celebración del contrato, el nuevo titular facilitó todos los datos necesarios para llevar a cabo la contratación, incluyendo la información referida a su Documento Nacional de Identidad, así como la cuenta de domiciliación de los recibos en la que aparece como titular y en la que se ha efectuado el abono del servicio sin que se haya producido problema alguno como consecuencia de una supuesta suplantación de la identidad del nuevo titular ni del reclamante. De este modo, no ha existido en el presente caso suplantación alguna, sino un tratamiento de datos personales perfectamente licito y siempre amparado en la existencia de una relación contractual y en el hecho de que las facturas impagadas por el Reclamante fueron finalmente satisfechas por el nuevo titular del contrato, titular de la vivienda de la que aquél era inquilino”. QUINTO: Con fecha 13 de abril de 2021, se notificó a la reclamada la apertura del período de pruebas, teniéndose por incorporadas todas las actuaciones previas, así como los documentos aportados por la entidad reclamada. HECHOS PROBADOS 1º El 15 de noviembre de 2019, el reclamante manifiesta que ha sido suplantada su identidad debido a que ha dejado de recibir en su domicilio las dos últimas facturas emitidas por la reclamada, por haberse modificado en éstas el domicilio postal indicándose en las mismas el domicilio de su hermano. 2º Consta que el reclamante dejó de satisfacer dos facturas a la reclamada, correspondientes al periodo que abarca desde el 4 de junio al 4 de julio de 2019 y desde la fecha anterior al 19 de julio del mismo año. Las citadas facturas fueron emitidas a nombre del reclamante y remitidas al domicilio de suministro. El 19 de julio de 2019 el reclamante solicitó la resolución del contrato del suministro eléctrico. 3º Consta grabación acreditativa de que el 23 de julio de 2019, quien se identificó como D. B.B.B. se puso en contacto con la reclamada y afirmó ser el titular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 de la finca en que el reclamante residía, y se dirigió a la reclamada asumiendo el pago de las facturas pendientes y además solicitó el alta en el contrato de suministro de la vivienda situada en la ***DIRECCION.1. 4º Se constata, que el nuevo titular del contrato efectuó el pago de las dos facturas pendientes, solicitando que le fueran remitidas a su domicilio copias de los recibos pendientes de pago, a fin de poder acreditar su efectivo pago. 5º Consta la grabación del contrato, haciéndose referencia al DNI, con indicación del lugar del punto de suministro y su CUPS y dejando constancia de las condiciones del contrato. Igualmente se reiteran el número de teléfono del nuevo titular del contrato y la cuenta corriente de domiciliación del servicio, confirmado por el interesado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes:
2. a)La inexistencia de los hechos que pudieran constituir la infracción”. III Se imputa a la reclamada la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
5. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
6. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV En el supuesto que nos ocupa, tras el estudio pormenorizado de los documentos obrantes en el presente procedimiento, y las alegaciones de la reclamada, debemos manifestar que el tratamiento de datos personales del reclamante, concretado en el envío al nuevo titular de las dos facturas cuyo pago había asumido y referidas al contrato previamente suscrito con la reclamada, encuentra su base de legitimación en el art. 6.1
7. b)del RGPD en la medida en que eran necesarios para la ejecución del contrato de suministro eléctrico a suscribir por el nuevo titular de dicho contrato habida cuenta la imposibilidad de contratar si existía deuda asociada al punto de suministro, como en el presente caso. Al margen de la legitimación para el referido tratamiento debe señalarse que los datos personales facilitados al nuevo titular del suministro eléctrico de la vivienda eran conocidos por éste dada su condición de familiar del reclamante y dueño de la vivienda de instalación del servicio de energía en la que se produjeron los impagos. Por lo tanto, procede el archivo del presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00207/2020, instruido a CURENERGIA COMERCIALIZADOR DE ULTIMO RECURSO S.A., con NIF A95554630, por haber acreditado que empleó una razonable diligencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución CURENERGIA COMERCIALIZADOR DE ULTIMO RECURSO S.A., con NIF A95554630. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos , C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es