PS-00139-2023

1/17  Expediente Nº: EXP202203969 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HOLALUZ-CLIDOM, S.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 19 de junio de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202203969 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 2 de marzo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra HOLALUZ-CLIDOM, S.A. con NIF A65445033 (en adelante, el reclamado o Holaluz). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que Holaluz ha dado de alta los suministros de energía eléctrica de cuatro inmuebles que la reclamante previamente tenía suscritos con la comercializadora Energía XXI haciendo uso de sus datos personales, sin su consentimiento. Además, la parte reclamante indica que se percata de tal situación en el mes de diciembre del año 2021 cuando se produjo el corte de suministro en uno de los inmuebles. Y, aporta la siguiente documentación relevante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 - Alegaciones realizadas por Holaluz, el día 2 de febrero de 2022, en las que manifiesta que ha remitido a la reclamante un acuerdo sobre el que no ha recibido contestación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Holaluz, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5 abril de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 28 de abril de 2022 se recibe en esta Agencia escrito de respuesta indicando: Que es una comercializadora de energía eléctrica y de gas. Además dispone de tres canales para la contratación: internet, telefonía, y red de comerciales. Con estos últimos suscribe contratos de colaboración. Que el día 28 de julio de 2021 se dieron de alta a través del colaborador BLANER ENERGY, S.L (en adelante Blaner) cuatro puntos de suministro asociados a la reclamante. La codificación de dichos puntos de suministro (CUPS) es: ***CODIFICACIÓN.1, ***CODIFICACIÓN.2, ***CODIFICACIÓN.3, y ***CODIFICACIÓN.

1. Que, debido a que el colaborador aparentó veracidad en la contratación, no pudo detectar que dicha contratación había sido realizada sin consentimiento del titular, hasta que la parte reclamante lo puso de manifiesto. Que en la base de datos de Holaluz figuran (“al ser los mismos incorporados por parte del colaborador”) asociados a la parte reclamante el correo electrónico ***USUARIO.1@gmail.com y el número de teléfono ***TELÉFONO.
2. Que en el marco de la contratación se enviaron por correo electrónico las condiciones a la dirección de correo electrónico vinculada a la reclamante consignada en el contrato para su validación. Cuestión ésta última que, según indica, fue efectuada. Que el problema que deduce que se produjo fue que la dirección de correo electrónico consignada en el contrato no pertenecía efectivamente a la titular, sino que fuera “facilitada conscientemente por el Colaborador para perpetuar su fraude, algo que, en principio, fue imposible detectar por esta parte, a pesar de los mecanismos de control establecidos”. Que el día 11 de diciembre de 2021 la reclamante contactó con el reclamado comunicando la suplantación de identidad sufrida en la ejecución de dichas contrataciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Que contactó con el colaborador al objeto de esclarecer los hechos el día 17 de enero de 2022 y, tras la falta de respuesta, nuevamente el 24 de enero de
3. Que como medida para evitar que se produzcan este tipo de hechos realiza de forma aleatoria una posterior revisión de la calidad de las llamadas y las altas realizadas por los nuevos colaboradores. Expone que el protocolo consiste en que los agentes de atención al cliente internos del reclamado llaman por teléfono a un porcentaje significativo de los nuevos clientes aportados por los canales comerciales con los cuales se hubiese suscrito un contrato de colaboración el mes anterior. Que procede a la supresión de los datos personales de la reclamante de sus bases de datos. Documentación relevante aportada por Holaluz: Contrato de prestación de servicios suscrito el 30 de marzo de 2017 entre CLIDOM ENERGY, S.L. y Blaner cuyo objeto incluye la tramitación de altas de clientes en relación con el suministro de energía eléctrica (en adelante ContratoColaborador#2). Correo electrónico de fecha 17 de enero de 2022 dirigido desde gestiones@holaluz.es a ***USUARIO.2@blanerenergy.es en el que se comunica la reclamación recibida en relación con los CUPS contratados. En el mismo se indica que “los contratos se validaron desde un correo electrónico que no es el suyo ***USUARIO.1@gmail.com” y se solicita información al respecto. Correo electrónico de fecha 24 de enero de 2022 dirigido desde gestiones@holaluz.es a ***USUARIO.2@blanerenergy.es en el que se comunica que ha de atender la reclamación dado que no dispone de la “llamada de venta” y expresa que “el canal se tendrá que hacer cargo de las facturas hasta la fecha de baja”. TERCERO: Con fecha 4 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Holaluz en su respuesta al traslado realizado por la AEPD, manifestó que el día 28 de julio de 2021 se dieron de alta a través del colaborador Blaner los puntos de suministro asociados a la reclamante que son objeto de controversia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 En relación con estas contrataciones, tanto Holaluz como Blaner han facilitado los siguientes documentos (documento anexo al Escrito con el nombre de “Contratos”, y anexo II el EscritoBlaner): Se aportan cuatro documentos con la documentación que se menciona en los susodichos párrafos y que viene referido cada uno de ellos a cada uno de los cuatro puntos de suministro Blaner ha confirmado que realiza la actividad de colaborador del reclamado a través de los canales de venta telefónica y presencial. Igualmente manifiesta que ejerce su actividad para el reclamado tanto directamente como a través de “subagentes”. Así, expresa que las contrataciones objeto de controversia fueron realizadas a través del subagente (…). QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad HOLALUZ-CLIDOM, S.A. es una gran empresa constituida en el año 2010, y con un volumen de negocios de 564.590.423 euros en el año
4. SEXTO: Con fecha 20 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que repite la contestación al requerimiento de fecha 28 abril de 2022, en síntesis, manifestaba que: <<que, en relación a la posible vulneración del principio de licitud, si bien es cierto que HOLALUZ-CLIDOM, S.A, en adelante (CLIDOM) responde y se identifica con las definiciones referidas al responsable de tratamiento en los artículos 4 y 24.1 del RGPD, lo es ante la relación contractual que existe con Blaner Energy 2 S.L. (en adelante, “Blaner”) a los efectos del contrato de servicios firmado con éste en fecha 30 de marzo de 2017 y actualizado en fecha 1 de diciembre de 2021 para la realización de servicios de promoción de contratos de suministro de energía eléctrica y captación de potenciales clientes, que se adjunta para que conste a los efectos oportunos como Documento número 1 y 2 respectivamente. Para el cumplimiento del contrato, se requiere el tratamiento de datos de personas físicas, pues Blaner debe captar potenciales clientes para que éstos se den de alta a los servicios de suministros energéticos de CLIDOM. No obstante lo anterior, es importante incidir que, en el contrato que se firmó entre las dos partes, CLIDOM, como responsable del tratamiento, incluyó, como obligación contractual a Blaner, en calidad de encargado de tratamiento, la responsabilidad proactiva de recoger el consentimiento de los interesados de conformidad con las exigencias del RGPD. Que, en el presente caso, un comercial contratado por Blaner, haciéndose pasar por A.A.A. (en adelante, el Cliente), dio de alta en CLIDOM los puntos de suministros con CUPS ***CODIFICACIÓN.1; ***CODIFICACIÓN.2; ***CODIFICACIÓN.3; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 ***CODIFICACIÓN.4, respectivamente. Que, según se puede comprobar a continuación, el comercial validó ambos contratos con su propio correo electrónico (***USUARIO.1@gmail.com), perpetuando así el fraude en la contratación: Que el encargado Blaner, actuó en contra de las instrucciones de CLIDOM en cuanto a la obligación de recabar el consentimiento de los interesados ya que, éste suplantó la identidad de la afectada y, además, firmó un consentimiento no válido sin que pudiera cumplir con los principios de transparencia, libertad y consentimiento expreso. Por ende, siendo Blaner plenamente responsable de las actuaciones negligentes de su proveedor, por el incumplimiento del artículo 6.1 del RGPD. Es por ello, que mi representada el pasado 10 de mayo remitió un correo electrónico dirigido a Blaner solicitando nuevamente la documentación que acreditara la contratación -puesto que la misma ya había sido requerida en anteriores ocasiones-. Asimismo, se hacía un recordatorio de las obligaciones establecidas contractualmente que atañen al Colaborador. A continuación, se contactó de nuevo con Blaner el pasado 12 de mayo tras la respuesta negativa de este último. Se adjunta la cadena de correos entre ambas partes implicadas como Documento número
5. CLIDOM ha implementado medidas de comprobación y aseguramiento de las acciones encomendadas a Blaner, cumpliendo pues con el principio de responsabilidad proactiva. Asimismo, con el fin de cumplir con el principio de responsabilidad proactiva, también se le solicita a Blaner documentación que acredite que el interesado ha consentido el tratamiento de sus datos para la gestión de la contratación de su suministro de energía. Además, y nuevamente para dar cumplimiento al principio de responsabilidad proactiva, CLIDOM establece en su Anexo IV distintas medidas para controlar la calidad de los servicios prestados por los Colaboradores, entre las que se encuentran la verificación de de las políticas de privacidad, seguridad y confidencialidad aplicadas por parte de los Colaboradores, verificación de los controles de seguridad aplicados por los Colaboradores a sus subcontratas, etc. Finalmente, CLIDOM remitió el documento relativo a los “Procedimientos de contratación y activación” a todos sus Colaboradores cuyo contenido establece las directrices claras marcadas por la Empresa para la formalización de contrataciones. En el presente caso, el pasado 17 de febrero se le remitió a Blaner el correo adjuntando el citado documento. Se aporta como Documento número 5, el documento relativo a los Procedimientos y como Documento número 6 el correo enviado a Blaner. Solicita. - Que, teniendo por presentado este escrito, se sirva admitirlo, y, en su virtud, tenga por presentadas en tiempo y forma las alegaciones contra el Acuerdo de Inicio y, a la vista de las manifestaciones que anteceden, dicte resolución por la que, estimando estas alegaciones, el procedimiento sancionador nº EXP202203969 quede archivado>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 OCTAVO: Con fecha 17 de mayo de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la reclamación interpuesta por Dña. A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00230/
7. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por HOLALUZ-CLIDOM, S.A., y la documentación que a ellas acompaña. El resultado de estas pruebas podrá dar lugar a la realización de otras>>. NOVENO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. HECHOS PROBADOS De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada ha quedado acreditadas los siguientes hechos: Primero: Holaluz, con fecha 28 de julio de 2021, dio de alta a través de su colaborador Blaner cuatro puntos de suministro asociados a la reclamante. La codificación de dichos puntos de suministro (CUPS) es: ***CODIFICACIÓN.1, ***CODIFICACIÓN.2, ***CODIFICACIÓN.3, y ***CODIFICACIÓN.4 que la reclamante previamente tenía suscritos con la comercializadora Energía XXI haciendo uso de sus datos personales, sin su consentimiento. Segundo: Se constata que el proceso de contratación implica el envío para su validación, a través de correo electrónico, de las condiciones contractuales a la dirección de correo electrónico vinculada al titular en el propio contrato. Tercero: Que en la base de datos de Holaluz asociados a la parte reclamante figuran el correo electrónico ***USUARIO.1@gmail.com y el número de teléfono ***TELÉFONO.
8. Cuarto: Se acredita que la dirección de correo electrónico consignada en el contrato no pertenecía efectivamente a la titular. Quinto: Se constata que en el correo electrónico de fecha 17 de enero de 2022 dirigido desde gestiones@holaluz.es a ***USUARIO.2@blanerenergy.es se comunica la reclamación recibida en relación con los CUPS contratados. En el mismo se indica que “los contratos se validaron desde un correo electrónico que no es el suyo ***USUARIO.1@gmail.com” y se solicita información al respecto. Sexto: Se constata en el correo electrónico de fecha 24 de enero de 2022 dirigido desde gestiones@holaluz.es a ***USUARIO.2@blanerenergy.es se comunica que ha de atender la reclamación dado que no dispone de la “llamada de venta” y expresa que “el canal se tendrá que hacer cargo de las facturas hasta la fecha de baja”. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio Según expone la parte reclamante en su escrito de reclamación de fecha 2 de marzo de 2022, que Holaluz ha dado de alta los suministros de energía eléctrica de cuatro inmuebles que la reclamante tenía suscritos con la comercializadora Energía XXI haciendo uso de sus datos personales sin su consentimiento En definitiva. la reclamante denuncia suplantación de identidad para contratar con Holaluz cuatro contratos de luz. El reclamado, alega que la contratación la hizo su encargado del tratamiento de manera fraudulenta al hacer constar una dirección de correo electrónico diferente de la que tiene la reclamante. Pues bien, el reclamado tiene previsto un sistema de validación de los contratos que realizan sus encargados, y si bien indica que en el presente caso se realizó la validación de manera correcta, no hay evidencia al respecto, pues remite los contratos sin firmar así como el envío del correo electrónico para tal validación, pero no hay evidencia de que se haya realizado tal validación por alguna persona. Consta acreditado que el reclamado trató los datos personales de la reclamante sin legitimación para ello. Está claro, que Holaluz (comercializadora entrante) tuvo que gestionar la baja de los contratos de la reclamante con la comercializadora saliente (Energía XXI), lo que se efectúa a través del número de CUPS que va asociado a las viviendas. La Ley 24/2013, de 26 de diciembre, del sector eléctrico (en adelante, “Ley del Sector Eléctrico”), establece el derecho del consumidor a cambiar de empresa comercializadora conforme a lo establecido en las directivas europeas del mercado interior de electricidad. Para ello, la normativa establece el proceso general que debe llevarse a cabo entre la nueva comercializadora o comercializadora entrante, la distribuidora y la comercializadora existente o comercializadora saliente. Dicho cambio implica el alta de un nuevo contrato de suministro energético con la comercializadora entrante y la baja del contrato existente con la comercializadora saliente, mediante un agente que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 ejecuta el cambio que es la distribuidora. Asimismo, el artículo 46 de la Ley del Sector Eléctrico establece entre las obligaciones de los comercializadores, en su apartado 1 letra g) la de “Formalizar los contratos de suministro con los consumidores de acuerdo a la normativa reglamentaria que resulte de aplicación”. La mención por la Ley de la obligación de formalizar el contrato entre las obligaciones de los comercializadores pone de manifiesto que es la comercializadora la titular del contrato de suministro con el consumidor. Por tanto, corresponde a la comercializadora y, en un caso de cambio de comercializadora, a la comercializadora entrante, comprobar la identidad y la voluntaria, correcta e informada prestación del consentimiento por parte del consumidor, que es su contraparte en el contrato de suministro. En este sentido, la nueva comercializadora (el reclamado) tendrá que gestionar la baja del contrato de la reclamante con su comercializadora saliente (Energía XXI), lo que se efectúa a través del número de CUPS que va asociado a la vivienda. En definitiva, trata sus datos personales. Así pues, habiendo quedado acreditado que el reclamado trató los datos personales de la reclamante, quien niega su consentimiento al tratamiento, y en tanto la primera no ha aportado prueba alguna para desvirtuar tales evidencias, se estima que los hechos que se someten a la valoración de esta Agencia podrían ser constitutivos de una infracción del artículo 6.1 del RGPD, infracción tipificada en el artículo 83.5 del citado Reglamento 2016/
9. III Obligación incumplida El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. «
10. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física. e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En relación con lo anterior, se considera que existen evidencias de que el tratamiento de datos de la reclamante objeto de esta reclamación se ha efectuado sin csa legitimadora de las recogidas en el artículo 6 del RGPD. El RGPD se aplica a los datos personales, que se definen como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. La documentación que obra en el expediente evidencia que el reclamado, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello. Los datos personales de la reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese licito el tratamiento efectuado. Los datos personales de la reclamante fueron registrados en los ficheros de la reclamada y fueron tratados para la emisión de facturas por servicios asociados a la reclamante. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Resultaba por ello esencial que el reclamado acreditara ante esta Agencia que la reclamante había contratado con ella el suministro de energía eléctrica; que al tiempo de la contratación había desplegado (a través de su encargado de tratamiento) la diligencia que las circunstancias del caso exigían para asegurarse de que la persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 que dio de baja el servicio con la comercializadora “Energía XXI”, dando de alta con Holaluz era efectivamente su titular. Hay que resaltar que el reclamado en su contestación al requerimiento de información de esta Agencia de fecha 28 de abril de 2022 y en sus alegaciones al Acuerdo de Inicio de fecha 16 de mayo de 2023 reconoce que la dirección de correo electrónico consignada en el contrato no pertenecía efectivamente a la titular, sino que fuera “facilitada conscientemente por el Colaborador para perpetuar su fraude, algo que, en principio, fue imposible detectar por esta parte, a pesar de los mecanismos de control establecidos”. Correo electrónico de fecha 17 de enero de 2022 dirigido desde gestiones@holaluz.es a ***USUARIO.2@blanerenergy.es en el que se comunica la reclamación recibida en relación con los CUPS contratados. En el mismo se indica que “los contratos se validaron desde un correo electrónico que no es el suyo ***USUARIO.1@gmail.com” y se solicita información al respecto. Correo electrónico de fecha 24 de enero de 2022 dirigido desde gestiones@holaluz.es a ***USUARIO.2@blanerenergy.es en el que se comunica que ha de atender la reclamación dado que no dispone de la “llamada de venta” y expresa que “el canal se tendrá que hacer cargo de las facturas hasta la fecha de baja”. Pues bien, Holaluz tiene previsto un sistema de validación de los contratos que realizan sus encargados, y si bien indica que en el presente caso se realizó la validación de manera correcta, no hay evidencia al respecto, pues remite los contratos sin firmar así como el envío del correo electrónico para tal validación, pero no hay certeza de que se haya realizado tal validación. De aquí que el reclamado no acredita base de legitimación para el tratamiento de los datos de la parte reclamante. En ese sentido el Considerando 40 del RGPD señala: “