PS-00129-2023

1/22  Expediente N.º: EXP202202899 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 17/02/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ENERGÍA COLECTIVA, S.L. con NIF B98670003 (en adelante, la parte reclamada o LUCERA). Los motivos en que basa la reclamación son los siguientes: la reclamante manifiesta que, tras solicitar un cambio de empresa suministradora de energía de Endesa a Lucera, desde la entidad reclamada se le ha cobrado el suministro de otro domicilio y se ha mantenido su suministro con ENDESA, quien continuó facturándole. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 14/03/2022 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/03/2021 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 17/05/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En relación con la denuncia presentada por la interesada en la que consta que, tras solicitar un cambio de empresa suministradora de Endesa a LUCERA, esta última le ha cobrado el suministro correspondiente a otro domicilio, continuando el cobro a su vez de las facturas de su domicilio por Endesa. Los representantes de LUCERA han informado de lo sucedió basándose en el histórico de contactos con la reclamante: C/ Jorge C.C.C., 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/22 1. Con fecha 26/10/2020, reciben una llamada telefónica en la que se informa a una persona que se identifica como B.B.B. solicitando información sobre los datos necesarios para realizar la contratación de los servicios de LUCERA. El interesado indica que no tiene facturas ni conoce qué comercializadora es la que tiene contratado el servicio. Se le indica que los datos necesarios son los datos personales del titular (nombre, DNI, dirección), correo electrónico y CUPS. Esta llamada tiene un carácter meramente informativo. Al finalizar la llamada, B.B.B. indica que le devuelvan la llamada pasados 15 minutos. 2. En la segunda llamada, realizada el mismo día 26/10/2020, B.B.B. indica que ya tiene el CUPS, que su compañía distribuidora es Iberdrola y que esta le ha proporcionado el CUPS para llevar a cabo la contratación. B.B.B. informa que va a contratar en nombre de A.A.A., la interesada, y proporciona sus datos, incluido el CUPS ***CÓDIGO.1. Los datos aportados fueron los que se utilizaron para realizar el switching del punto de suministro identificado por el CUPS proporcionado por B.B.B. en representación de A.A.A.. El switching de energía se lleva a cabo a través de los portales proporcionados por las distribuidoras a tal efecto, siendo estas las responsables de proporcionar un rechazo o aceptación a la solicitud al ser ellas las que disponen de información de cliente y punto de suministro que permiten verificar que la información indicada por la comercializadora. En este caso no se produjo un rechazo en el switching. 3. El 09/09/2021, casi un año después de la contratación, B.B.B., en representación de A.A.A., se pone en contacto con LUCERA indicando que está pagando dos facturas eléctricas. De las averiguaciones realizadas con motivo de esta reclamación se concluye que el CUPS proporcionado durante la contratación no era el de A.A.A., sino de un tercero, solicitando A.A.A. una reposición, es decir, que se devolviera el contrato a su titular original y a su comercializadora original. 4. El 27/10/2021 C.C.C., el propietario del CUPS ***CÓDIGO.1 utilizado en el marco de la contratación de A.A.A., se pone en contacto con LUCERA indicando que en Iberdrola (su anterior comercializadora) le han indicado que su contrato está con LUCERA. Ese mismo día LUCERA devolvió la llamada a C.C.C., quien pregunta por quién pudo llevar a cabo el cambio de comercializadora por si fuera algún vecino de su escalera. En esa llamada se le explica a C.C.C. varias vías de proceder para restituir su situación inicial, ante lo que pregunta quién va a pagar sus facturas de la luz del último año. En este punto la persona que habla con C.C.C. le dice, de motu propio, que tal vez pueda llegar a un acuerdo con la Sra., indicando C.C.C. que su intención es pagarle los consumos de su vivienda durante ese año. C.C.C. se ofrece a proporcionar su teléfono para facilitárselo a la persona que tiene el contrato bajo su CUPS (A.A.A.). C/ Jorge C.C.C., 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 En ese momento A.A.A. estaba pagando sus facturas con LUCERA, esto es, el consumo de C.C.C., además de las facturas devengadas por la comercializadora inicial de A.A.A., Endesa, hasta que dio la orden de no abonar las facturas. 5. Con fecha 27 de octubre se vuelve a poner en contacto con C.C.C. una supervisora de LUCERA con la finalidad de facilitar el cambio de comercializadora a Iberdrola. C.C.C. solicita información sobre la señora que realizó la contratación con LUCERA, indicándole la supervisora que, por normativa de protección de datos, no es posible proporcionarle información sobre la Sra. y, ante su insistencia, le ofrece que proporcionar a A.A.A. el teléfono de C.C.C.. Según indica C.C.C., su intención es pagar a A.A.A. el año de luz que A.A.A. ha pagado por su consumo. C.C.C. acepta expresamente que su teléfono sea proporcionado a A.A.A. con la finalidad de que se ponga en contacto con él para llegar a un acuerdo sobre pago de los consumos de C.C.C. que ha pagado A.A.A.. 6. El día 29 de octubre el contrato del CUPS ***CÓDIGO.1 (titularidad del vecino de la denunciante) cambia de compañía. 7. Con fecha 28/01/2022 entra una reclamación a LUCERA, presentada por un tercero en representación de A.A.A.. Consecuencia de tal reclamación se produce la anulación de las facturas emitidas por importe de 535,02 euros y se devuelven las cantidades al último número de cuenta que consta asociado a la reclamante. El error en la contratación se produce por B.B.B. al proporcionar un CUPS que no es el de A.A.A. en el momento de la contratación alegando que es el CUPS que le proporcionó la distribuidora, así como de la distribuidora, que no rechazó el switching, pese a ser la única que dispone de los datos del punto de suministro, incluido el DNI del titular. LUCERA ha procedido a devolver a la reclamante los importes devengados como consecuencia de dicha contratación, 535,02 euros en el número de cuenta desde la que se realizaban los pagos del suministro. En relación con el intercambio de mensajes que se ha producido con la distribuidora, los representantes de la entidad manifiestan que el CUPS fue facilitado directamente por la persona contratante y que la compañía no tiene visibilidad de las personas que constan como titulares del punto de suministro, disponiendo de esa información solo la distribuidora. Aportan la siguiente documentación: - - Orden, 1 a solicitud cambio distribuidora, 26/10/2020. Rechazo de la orden por no coincidir DNI, 26/10/2020. Petición de cambio de comercializadora con petición de cambio de titular 27/10/2020 Aceptación del cambio Activación del cambio 28/10/2020 - Aviso salida del cliente de la compañía 29/10/2021 Confirmación de la baja del cliente en nuestra compañía 30/10/2021 C/ Jorge C.C.C., 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 Los representantes de I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U., (en lo sucesivo I-DE REDES) manifiestan en relación con las comprobaciones que realiza el distribuidor sobre el contenido de la solicitud de cambio de comercializador para verificar que se cumplan los requerimientos específicos del proceso, lo siguiente: - En la actualidad hay un punto de suministro a nombre del reclamante comercializado por ENDESA. con CUPS ***CÓDIGO.2 situado en la ***DIRECCION.1, Valencia que desde 09/10/2014 es comercializado por ENDESA, siempre a nombre de la reclamante. Sobre este suministro no ha habido solicitudes de cambio de comercializador (ni de LUCERA ni de ningún otro comercializador) - Otro punto de suministro cuya titularidad ha correspondido a la reclamante tiene como CUPS ***CÓDIGO.1 en la dirección ***DIRECCION.2, Valencia. Es la misma dirección que la del contrato de suministro actualmente vigente, pero difiere en el número. La del contrato de suministro actualmente en vigor con ENDESA referida en el apartado anterior es número “17” mientras que el número de esta dirección de suministro es el “7”. Dicho punto de suministro estuvo comercializado por la sociedad comercializadora ENERGÍA COLECTIVA, S.L. (en lo sucesivo “LUCERA). En relación a este punto de suministro, con fecha 26/10/20 se produjo una solicitud de la comercializadora LUCERA de cambio de comercializadora sin cambio de titularidad (formato C1). Dicha solicitud fue rechazada por cuanto no se solicitaba el cambio de titularidad (el titular que constaba a la fecha no coincidía con el comunicado por LUCERA) (solicitud ***SOLICITUD.1). En fecha 27/10/20, LUCERA emitió una nueva solicitud de cambio de comercializador, esta vez con cambio de titular a nombre de A.A.A. (formulario C2) que fue aceptada por cuanto formalmente cumplía con todos los requerimientos. El 30/10/2021, sobre este punto de suministro hay una solicitud de cambio de comercializador y de titular, que se tramita, por lo que su titular deja de ser la reclamante. El artículo 40.2 de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico, en sus obligaciones, establece que el distribuidor es un mero ejecutor de estas solicitudes siempre y cuando cumplan ciertos condicionantes técnicos y de los propios formatos, por lo que éste no realiza juicios de valor sobre si un cambio de comercializador, un cambio de titular o ambos, son procedentes dentro de la relación habitual y contractual entre el cliente y la empresa comercializadora, ni tampoco recibe ningún tipo de documentación acreditativa de la firma del contrato entre el cliente final y el comercializador. A juicio de la distribuidora, todo parece indicar que la comercializadora LUCERA por error solicitó un cambio de comercializadora con un cambio de titularidad a nombre de la reclamante sobre una dirección de suministro con la que esta última no tenía ninguna relación, si bien era muy similar a la de un C/ Jorge C.C.C., 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 punto de suministro que si era de su titularidad: Punto de suministro del que sí era titular la reclamante: dirección ***DIRECCION.1, Valencia. Punto de suministro sobre el que se solicita el cambio de titular con el que la reclamante no tenía relación: dirección ***DIRECCION.2, Valencia. Parece tratarse de una confusión por parte de LUCERA en su solicitud a i-DE efectuada el 27/10/20. LUCERA se habría equivocado en el número de la calle objeto del cambio de titularidad del punto de suministro derivado de lo anterior, el punto de suministro en la dirección ***DIRECCION.1, Valencia continuó estando comercializado por ENDESA ENERGÍA, S.A.U. a nombre de la reclamante y adicionalmente se puso a su nombre el punto de suministro sito en ***DIRECCION.2, Valencia. QUINTO: Con fecha 03/05/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción por la presunta infracción del artículo 5.1.

1. d)del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD. SEXTO: Notificado el acuerdo de inicio el reclamado solicito el 05/05/2023 ampliación del plazo para contestar y copia del expediente; ampliación que fue concedida y copia que le fue trasladada el 09/05/2023. El reclamado presentó escrito de alegaciones el 26/05/2023 manifestando, en síntesis: que no es responsable de los hechos ocurridos; que en ningún caso ha vulnerado el principio de exactitud de los datos y, en cuanto a las circunstancias aplicables al caso individual y conforme al art. 83.2 RGPD, no se han tenido en cuenta circunstancias concurrentes y la desproporción en la sanción propuesta; el archivo del expediente o subsidiariamente su apercibimiento o imposición de sanción leve. SEPTIMO: Con fecha 23/06/2023, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. OCTAVO: El 18/09/2023 fue emitida Propuesta de resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por infracción del artículo 5.1.
3. d)del RGPD, tipificada en el artículo 83.5.
4. a)del RGPD, con una multa de 70.000 € (setenta mil euros). Con fecha 02/10/2023 el reclamado presente escrito de alegaciones a la citada Propuesta manifestando su disconformidad con la misma y alegando, en síntesis: incongruencia omisiva; que no cabe atribuir al reclamado infracción del principio de exactitud de los datos; ausencia de culpabilidad; la inadecuada graduación de la infracción y el archivo del procedimiento, o subsidiariamente una sanción de apercibimiento o bien una calificación de la infracción en grado leve. C/ Jorge C.C.C., 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 17/02/2022 tiene entrada en la AEPD escrito del reclamante manifestando que, tras solicitar un cambio de empresa suministradora de energía en el mes de octubre de 2020, de Endesa a Lucera; desde la entidad reclamada se le ha cobrado el suministro de otro domicilio y, de manera simultánea, le siguieron cobrando las facturas de su domicilio por Endesa. SEGUNDO. Consta aporta autorización de la reclamante a favor de D.D.D. para que le represente tanto ante la AEPD como ante el reclamado para reclamar las facturas abonadas indebidamente abonadas. TERCERO. La reclamante ha aportado facturas (…) emitidas por LUCERA, a nombre de la reclamante, correspondiente al domicilio ***DIRECCION.2, Valencia, CUPS ***CÓDIGO.1. CUARTO. La reclamante ha aportado facturas (…) emitidas por ENDESA, a nombre de la reclamante y correspondientes al domicilio, ***DIRECCION.1, Valencia, CUPS ***CÓDIGO.2. QUINTO. LUCERA en escrito de 24/06/2022 ha manifestado que “el error se produce por B.B.B. (persona que contrato el cambio de suministro en nombre de la reclamante) al proporcionar un CUPS que no es el de A.A.A. en el momento de la contratación alegando que es el CUPS que le proporcionó la distribuidora, así como de la distribuidora, que no rechazó el switching, pese a ser la única que dispone de los datos del punto de suministro, incluido el DNI del titular, mi representada procedió a devolver los importes devengados como consecuencia de dicha contratación, 535,02 euros. En resumen, C.C.C. (titular del domicilio en ***DIRECCION.2, Valencia, CUPS ***CÓDIGO.1), ha sido beneficiado con un año de electricidad gratuita y los importes abonados por A.A.A. a mi representada fueron devueltos en el número de cuenta que nos constaba en la ficha de la interesada, desde la que se realizaban los pagos del suministro”. SEXTO. I-DE REDES, compañía distribuidora, en escrito de 21/11/2022 ha manifestado que: “A la vista de lo expuesto, todo parece indicar que la comercializadora LUCERA por error solicitó un cambio de comercializadora con un cambio de titularidad a nombre de la reclamante sobre una dirección de suministro con la que esta última no tenía ninguna relación, si bien era muy similar a la de un punto de suministro que si era de su titularidad, a saber: Punto de suministro del que si era titular la reclamante: dirección ***DIRECCION.1, Valencia. C/ Jorge C.C.C., 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 Punto de suministro sobre el que se solicita el cambio de titular con el que la reclamante se indica que no tenía relación: dirección ***DIRECCION.2, Valencia. Parece tratarse de una confusión por parte de LUCERA en su solicitud a I-DE efectuada el 27/10/20. LUCERA se habría equivocado en el número de la calle objeto del cambio de titularidad del punto de suministro. En relación a dicha solicitud, tal y como se ha dicho, de conformidad con el artículo 40.2 de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico, en sus obligaciones, I-DE fue un mero ejecutor de esta solicitud, dado se habían cumplido los formatos establecidos al efecto por la CNMC, ya que I-DE no realiza juicios de valor sobre si un cambio de comercializador, un cambio de titular o ambos, son procedentes dentro de la relación habitual y contractual entre el cliente y la empresa comercializadora, ni tampoco recibe ningún tipo de documentación acreditativa de la firma del contrato entre el cliente final y el comercializador. Derivado de lo anterior, el punto de suministro en la dirección ***DIRECCION.1, Valencia, continuó estando comercializado por ENDESA ENERGÍA, S.A.U. a nombre de la reclamante y adicionalmente se puso a su nombre el punto de suministro sito en ***DIRECCION.2, Valencia. SEPTIMO. En escrito de 23/11/2022 el reclamado ha reiterado que “el CUPS nos fue facilitado directamente por la persona contratante en el momento del alta y que ella misma es la que manifiesta que el CUPS le fue proporcionado por la distribuidora, al no disponer de ninguna factura”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestión previa El artículo 58 del RGPD, Poderes, señala: C/ Jorge C.C.C., 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “(…)
5. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
6. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” III Obligación incumplida: articulo 5.1.
7. d)RGPD El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de exactitud, señalando que: “1. Los datos personales serán: (…)
8. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); (…)” Lo señalado en la citada norma hay que ponerlo en relación con el artículo 5, Exactitud de los datos, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), que establece en su apartado 1 que: “1. Conforme al artículo 5.1.
9. d)del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados. 2. A los efectos previstos en el artículo 5.1.
10. d)del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:
11. a)Hubiesen sido obtenidos por el responsable directamente del afectado.
12. b)Hubiesen sido obtenidos por el responsable de un mediador o intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervención de un intermediario o mediador que recoja en nombre propio los datos de los afectados para su transmisión al responsable. El mediador o intermediario asumirá las responsabilidades que pudieran derivarse en el supuesto de C/ Jorge C.C.C., 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 comunicación al responsable de datos que no se correspondan con los facilitados por el afectado.
13. c)Fuesen sometidos a tratamiento por el responsable por haberlos recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad conforme al artículo 20 del Reglamento (UE) 2016/679 y lo previsto en esta ley orgánica.
14. d)Fuesen obtenidos de un registro público por el responsable". Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones indica que: “