← España

PS-00140-2019

1/12 Procedimiento Nº: PS/00140/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00140/2019, instruido por la Agencia Española de Protección de Datos a la entidad IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U., (en la actualidad CURENERGIA COMERCIALIZADORA DE ULTIMO RECURSO, S.A.U.), vista la reclamación presentada por Dña. A.A.A. (en adelante, el reclamante), y en base a los siguientes ANTECEDENTES PRIMERO: El 13/12/2018 tiene entrada en la AEPD escrito de la reclamante, dirigido contra IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U., (en la actualidad CURENERGIA COMERCIALIZADORA DE ULTIMO RECURSO, S.A.U. en adelante CURENERGIA), con NIF A95554630. Los motivos en que basa la reclamación son, en síntesis, los siguientes: la compañía ha utilizado sus datos de carácter personal como antiguo cliente de la misma sin su consentimiento para realizar una contratación y alta fraudulenta. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 15/01/2019 fue trasladada a CURENERGIA la reclamación presentada para su análisis y comunicación a la denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. El 15/01/2019 se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 21/03/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra CURENERGIA. IBERDROLA no ha dado respuesta a ninguno de los requerimientos formulados por la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 TERCERO: Con fecha 02/04/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CURENERGIA por la presunta infracción del artículo 6.1.

  1. a)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
  2. a)de la citada norma y calificada a efectos de prescripción como infracción muy grave en el artículo 72.1.
  3. a)de la LOPDGDD. CUARTO: Notificado el acuerdo de inicio, CURENERGIA presentó escrito de alegaciones en el que manifiesta, en síntesis, lo siguiente: que tras analizar la reclamación se comprueba que la afectada envío solicitud de bono social y documentación para su aplicación; que constituye requisito necesario para su tramitación la existencia de contrato; que mantuvo informada a la reclamante del estado de su tramitación; que durante dicho trámite la reclamante solicito el cambio de comercializadora; que una vez se tuvo conocimiento de dicho cambio se procedió a anular la contratación a la mayor brevedad sin que se llegara a producir la activación del contrato, ni la emisión de facturas no habiendo contratación fraudulenta. QUINTO: Con fecha 07/05/2019 se inició el período de práctica de pruebas, acordándose las siguientes: Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/00204/2019. Dar por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento presentadas por CURENERGIA. Solicitar a CURENERGIA copia del contrato de energía eléctrica suscrito con la reclamante; fechas de alta y baja, razones de la baja, identificación de quien la solicitó y si el cliente está nuevamente dado de alta en la compañía; asi como cualquiera otra documentación relacionada con la baja producida que se estime de interés. Solicitar al denunciante copia de la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia o cualquier otra manifestación en relación con los hechos denunciados, así como copia legible de su DNI y del documento 1 aportado con su reclamación. Solicitar a HOLALUZ copia del contrato de energía eléctrica suscrito con el marido de la denunciante, fechas de alta y baja, razones de la baja, identificación de quien solicitó la misma; si el cliente está nuevamente dado de alta en la compañía, así como cualquiera otra documentación relacionada con la baja producida que se estime de interés. CURENERGIA, la reclamante y HOLALUZ dieron respuesta a la prueba practicada cuyo contenido obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 SEXTO: En fecha 11/09/2019, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a CURENERGIA por infracción del artículo 6.1.
  4. a)del RGPD, tipificada en el artículo 83.5.
  5. a)del RGPD, con multa de 75.000,00 € (setenta y cinco mil euros). Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de CURENERGIA presentó el 18/09/2019 escrito solicitando copia del expediente y ampliación del plazo para alegaciones, siendo remitida la copia de los documentos solicitados y el escrito ampliando el plazo para contestar. El 22/10/2019 la representación de CURENERGIA presento escrito en el que señalaba que habían procedido a ordenar el 16/10/2019 transferencia por un importe de cuarenta y cinco mil euros (45.000 €), en concepto de ingreso voluntario de la infracción propuesta. No obstante, analizado el talón ingresado se observó que su importe no coincidía con la sanción consignada en la Propuesta de Resolución una vez realizada la deducción del 20% correspondiente por pago voluntario, es decir, sesenta mil euros (60.000 €), dado que ya no era posible acogerse también a la deducción del 20% por reconocimiento de responsabilidad; además, tampoco se había remitido el escrito desistiendo o renunciando a cualquier acción o recurso en vía administrativa como se señalaba en la citada Propuesta de Resolución. Por tanto, dado el tiempo transcurrido, se le solicitó a CURENERGIA que aportara a la mayor brevedad el número de cuenta bancaria a fin de ordenar la devolución del importe ingresado el 16/10/2019 (45.000 euros), al no coincidir con el importe de la sanción consignado en la Propuesta de Resolución y la continuación del procedimiento, procediendo a dictar la resolución final. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 13/12/2018 tuvo entrada en la AEPD escrito de la afectada en el que declara que CURENERGIA sin su consentimiento ni autorización ha utilizado sus datos de carácter personal como antiguo cliente de la misma para realizar una contratación y alta fraudulenta el 19/10/2018, teniendo conocimiento de ello al recibir un e-mail de su suministradora HOLALUZ e indicarle la baja en el contrato. SEGUNDO. La reclamante ha aportado copia de su DNI nº ***DNI.1, con domicilio en ***DIRECCION.1, Madrid (Madrid), coincidente con el que figura en el escrito de reclamación. TERCERO. Consta que el 30/05/2018 HOLALUZ y los reclamantes suscribieron contrato de suministro eléctrico para el CUPS ***CUPS.1 correspondiente al domicilio situado en ***DIRECCION.1, Madrid (Madrid). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 CUARTO. Consta aportada copia del e-mail remitido por HOLALUZ a la pareja de la reclamante en el que se indica: “…Porque es posible que este sea nuestro último correo y es que nuestros caminos se separan: el pasado 19/10/2018 dimos de baja tu punto de suministro de Holaluz. Como sabes, no tenemos ni tendremos permanencia. Creemos que el trato cercano y la transparencia es lo mejor para que nuestros clientes se queden con nosotros. Y es por eso que sentimos profundamente no haber estado a la altura contigo. Por nuestra parte solo nos queda enviarte nuestra última factura. Y no lo dudes, si tienes cualquier consulta o duda sobre el cambio, cuenta con nosotros para ayudarte” (el subrayado es de la AEPD). QUINTO. El 23/10/2018 la reclamante envió e-mail a CURENERGIA en la que señalaba: “Solicito el desistimiento del contrato nº ***CONTRATO.1. Los motivos son que ese contrato lo ha dado de alta Iberdrola de manera fraudulenta el pasado día 19 de octubre de 2018 sin mi autorización ni consentimiento. Por teste motivo ya tengo abierta la reclamación correspondiente (nº ***RECLAMACION.1) y adicionalmente tomare las medias oportunas. Adjunto copia de mi DNI en el correo en el que he adjuntado este escrito”. A su recepción CURENERGIA le respondía en la misma fecha: “Le confirmamos que hemos recibido su correo electrónico y que hemos iniciado las gestiones necesarias para responderle a la mayor brevedad posible…” SEXTO. CURENERGIA envío a la reclamante comunicación de fecha 24/10/2018 señalando que atendiendo a su solicitud de 23/10/2018 de oposición al tratamiento de sus datos de carácter personal se había procedido a hacer efectivo el citado derecho al tratamiento solicitado. Posteriormente el 30/10/2018 le remito nueva comunicación en relación con el contrato de suministro denunciado indicando: “…En relación con la reclamación correspondiente a la información arriba indicada, queremos transmitirle nuestras más sinceras disculpas por las molestias que le hayan podido ser causadas. Asimismo, le informamos que su contrato se ha anulado, por lo que no se ha llegado a activar tras rechazar Vd., su activación…” SEPTIMO. Consta que el 20/02/2018 la reclamante y su pareja tramitaron ante IBERDROLA la solicitud de bono social aportando, la documentación necesaria para su aplicación, para el punto de suministro, CUPS ***CUPS.1, correspondiente al domicilio situado en ***DIRECCION.1, Madrid (Madrid). OCTAVO. El 17/05/2018 CURENERGIA remitió a la denunciante comunicación en la que le señalaba: “Le informamos que su solicitud de abono social cumple los requisitos para ser considerado consumidor vulnerable, de acuerdo con lo establecido en el Real Decreto 897/2017, por el que se regula el bono social, y en la Orden ETU/943/2017, que desarrolla dicho Real Decreto. Continuando con el proceso establecido para completar la tramitación de su bono social, hemos iniciado la formalización de un contrato acogido al Precio Voluntario para el Pequeño Consumidor (PVPC). El bono social se aplicará desde el momento en que dicha formalización se lleve a cabo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 (…)” NOVENO. El 29/05/2018 CURENERGIA remitió a la denunciante comunicación en la que le señalaba: “Queremos agradecerle que haya contratado con nosotros su suministro de electricidad. Junto a esta carta el entregamos dos ejemplares de su contrato. Le rogamos que nos devuelva firmado el “Ejemplar para IBERDROLA COMERCIALIZACION ULTIMO RECURSO, SAU a través de cualquiera de nuestros gestores…” CURENERGIA aporta los dos ejemplares del contrato sin nº, sin fecha, ninguno de los cuales se encuentra firmado por la reclamante. DECIMO. Constan aportados las comunicaciones realizadas entre las entidades CURENERGIA y HOLALUZ mediante Extensible Markup Language (“XML”), formato oficial de los ficheros de intercambio de información declarado por la CNMC de las que se desprende las fechas de baja, alta y reposición del contrato de suministro de la reclamante. UNDECIMO. CURENERGIA no ha aportado documentación alguna: contrato firmado por las partes, grabación de la llamada o bien contrato digital, que acredite que contaba con el consentimiento del reclamante para el tratamiento de sus datos personales en relación con el contrato de suministro anulado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa a IBERDROLA en el presente procedimiento la vulneración del artículo 6, Licitud del tratamiento, del RGPD que establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” Por otra parte, en el artículo 4 del RGPD, Definiciones, en su apartado 11, se establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. III En el presente caso, consta acreditado que la reclamante y su pareja eran clientes del reclamado para el punto se suministró eléctrico, CUPS, situado en su domicilio, solicitando el 20/02/2018 el bono social eléctrico aportando la documentación necesaria para su aplicación. Es cierto que CURENERGIA les remitió comunicación el 17/05/2018 en la que les señalaba que “Le informamos que su solicitud de abono social cumple los requisitos para ser considerado consumidor vulnerable, de acuerdo con lo establecido en el Real Decreto 897/2017, por el que se regula el bono social…” y, otra de 29/05/2018 en la que indicaba “Queremos agradecerle que haya contratado con nosotros su suministro de electricidad” y que junto a la carta le remitía ejemplares del contrato para que devolvieran firmado “Ejemplar para IBERDROLA COMERCIALIZACION ULTIMO RECURSO, SAU a través de cualquiera de nuestros gestores…”; sin embargo, no consta acreditado que los titulares contrataran con la reclamada el suministro de electricidad puesto que el citado ejemplar, contrato nº ***CONTRATO.1, nunca fue firmado ni remitido a la compañía ya que el día siguiente, 30/05/2018, los afectados suscribieron contrato de suministro eléctrico con HOLALUZ para el CUPS situado en su domicilio. La propia entidad en escrito de 10/04/2019 señalaba: “Que los tiempos de gestión y tramitación del bono social llevaron a la reclamante a tomar la decisión de cambiar a la comercializadora Holaluz. No obstante lo anterior, y toda vez que IBERCUR tuvo conocimiento de dicho cambio de comercializadora por parte de la reclamante, se procedió a anular la contratación a la mayor brevedad, sin que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 llegara a producir ni la activación del contrato, ni la emisión de facturas, no habiendo por tanto ninguna contratación fraudulenta”. La documentación obrante en el expediente ofrece indicios de que la reclamada vulneró el artículo 6 del RGPD, puesto que la citada entidad trató los datos personales de la reclamante (nombre, apellidos, NIF, domicilio etc.,) vinculándolos al contrato de suministro de electricidad correspondiente a su domicilio que la afectada niega haber autorizado o dado su consentimiento para su contratación y del que tuvo conocimiento por el envió de un e-mail de despedida de su compañía suministradora Holaluz comunicándole que desde el 19/10/2018 habían procedido a la baja del punto de suministro: “…Porque es posible que este sea nuestro último correo y es que nuestros caminos se separan: el pasado 19/10/2018 dimos de baja tu punto de suministro de Holaluz”. La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en supuestos similares ha considerado que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia debiendo el responsable del tratamiento de datos de terceros recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Así, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto: “…Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley. Pues bien aplicando toda dicha normativa y doctrina al supuesto enjuiciado tenemos que Telefónica Móviles ha declarado que para poder realizar las recargas telefónicas el cliente debe cumplimentar y firmar un contrato en el que se indicarán sus datos personales y los datos del contrato Movistar Plus al que se asocie o los datos de la cuenta bancaria o tarjeta de crédito/debito, y que para asegurar la identidad del cliente, el distribuidor tiene que solicitar fotocopia del DNI y documentos acreditativos de los datos de cobro. Sin embargo, tal y como argumenta la resolución administrativa impugnada y se desprende de las actuaciones, resulta que ante la solicitud de la Agencia de Protección de Datos la remisión del contrato suscrito por D. Gaspar Telefónica Móviles manifestó que no obraba en sus archivos copia del contrato. Resulta, por tanto, que tal la empresa demandante no sólo no ha aportado ningún elemento probatorio que acredite la celebración telefónica del contrato, sino que tampoco ha acreditado el cumplimiento de las garantías y cautelas que determinan las normas transcritas. Más concretamente, no consta justificación documental, ni cinta de grabación, ni cualquier otro soporte que justifique la celebración del contrato, y tampoco hay constancia del ulterior envío y recepción por el destinatario de la documentación correspondiente al mencionado contrato. Hemos de concluir de todo lo anterior, por tanto, que Telefónica Móviles procedió a tratar los datos del DNI de doña Julia sin su consentimiento, dado que no existía ninguna relación negocial entre ellos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 La reclamante ha aportado copia del escrito remitido a CURENERGIA el 23/10/2018 solicitando el desistimiento del contrato nº ***CONTRATO.1, así como los motivos y razones del proceder de la compañía; CURENERGIA le respondía el 30/10/2018 indicando que el contrato había sido anulado transmitiéndole disculpas por las molestias ocasionadas: “…En relación con la reclamación correspondiente a la información arriba indicada, queremos transmitirle nuestras más sinceras disculpas por las molestias que le hayan podido ser causadas. Asimismo, le informamos que su contrato se ha anulado, por lo que no se ha llegado a activar tras rechazar Vd., su activación…” . Hay que señalar que el respeto al principio de licitud de los datos exige que conste acreditado que el titular de los datos consintió en el tratamiento de los datos de carácter personal y desplegar una razonable diligencia imprescindible para acreditar ese extremo. De no actuar así el resultado sería vaciar de contenido el principio de licitud. Además, ha de destacarse que pese al requerimiento informativo de la Inspección de Datos de esta Agencia, la reclamada no trasladó respuesta alguna a pesar de que se le demandaba acerca de las causas que habían dado lugar a la incidencia que había originado la reclamación y de las medidas adoptadas para evitar que se produzcan incidencias similares. IV El artículo 83.5
  8. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por otra parte, la LOPDGDD en su artículo 72 indica, a efectos de prescripción, que: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  9. b)El tratamiento de datos personales personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” De conformidad con los hechos considerados probados, el reclamado vulneró el artículo 6.1.
  10. a)del RGPD, al tratar de manera ilícita los datos personales de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 reclamante sin que constara su consentimiento, materializado en el contrato de suministro eléctrico correspondiente al CUPS de su domicilio, infracción que viene tipificada en el artículo 83.5.
  11. a)del RGPD y que a efectos de prescripción viene determinada en el artículo 72.1.
  12. b)de la LOPDGDD. V A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  13. a)a
  14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  16. b)la intencionalidad o negligencia en la infracción;
  17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  21. g)las categorías de los datos de carácter personal afectados por la infracción;
  22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  26. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 “2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción.
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  33. f)La afectación a los derechos de los menores.
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos y a efectos de fijar el importe de la sanción a imponer por la infracción tipificada en el artículo 83.5 del RGPD de la que se responsabiliza a CURENERGIA, se estiman concurrentes los siguientes factores: El alcance meramente local del tratamiento llevado a cabo por la entidad reclamada, puesto que la infracción se circunscribe a un único punto de suministro. En el tratamiento llevado a cabo por la entidad solo se ha visto afectada una persona por la conducta infractora. El daño causado a la afectada puesto que como consecuencia de la actuación de CURENERGIA fue dada de baja en su compañía suministradora teniendo que ser activado nuevamente el servicio después de su anulación. No se tiene constancia de que la entidad hubiera obrado dolosamente, aunque la conducta infractora muestra una falta de diligencia notable. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, puesto que en su actividad habitual ha de tratar con los datos tanto de sus clientes como de terceros. La entidad reclamada tiene la consideración de una gran empresa, siendo una de las primeras grandes compañías del país tanto por volumen de negocio como por volumen de facturación. Por tanto, de conformidad con los criterios de graduación establecidos en el artículo 83 del RGPD y 76 de la LOPDGDD, tanto favorables como adversos, se impone una sanción de 75.000 euros de la que CURENERGIA debe responder. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 De acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U., (en la actualidad CURENERGIA COMERCIALIZADORA DE ULTIMO RECURSO, S.A.U.), con NIF A95554630, por una infracción del aartículo 6.1.
  36. a)del RGPD, tipificada en el artículo 83.5.
  37. a)del RGPD, y considerada a efectos de prescripción en el artículo 72.1.
  38. b)de la LOPDGDD, una sanción de 75.000 € (setenta y cinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U., (en la actualidad CURENERGIA COMERCIALIZADORA DE ULTIMO RECURSO, S.A.U.), con NIF A95554630 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  39. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  40. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.