PS-00188-2019

1/13 Procedimiento Nº: PS/00188/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00188/2019, instruido por la Agencia Española de Protección de Datos, a la entidad MADRILEÑA RED DE GAS S.A.U., (en adelante, “entidad reclamada”), vista la denuncia presentada por Dª. A.A.A., (en adelante, “la reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 28/08/18, tiene entrada en esta Agencia escrito, presentado por la reclamante, en el que expone, entre otras, lo siguiente: “En relación al contrato de suministro de gas con Madrileña de Gas, de la cual soy única titular del contrato nº ***CONTRATO.1 y no habiendo otorgado representación alguna a terceros, la compañía ha facilitado a la inquilina del inmueble de mi propiedad, sito en ***DIRECCION.1 información sobre mis datos e histórico de consumo, dándome la inquilina traslado de esto, a través de una imagen vía WhatsApp, el 11/08/18”. Se aporta copia del mensaje recibido vía WhatsApp. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fechas 10/10/18, 25/10/18 y 15/01/19, se dirige requerimientos informativos a la entidad MADRILEÑA SUMINISTRO DE GAS, S.L. sita en: c/ Anabel Segura 16 Edif. Vega Norte I 28108 Alcobendas (Madrid). TERCERO: Con fecha 15/01/19, se dirige requerimiento de información a la reclamante, para que presente información en esta Agencia, sobre el contrato de arrendamiento del inmueble objeto de la reclamación y copia, en su caso, de contrato de prorroga hasta el momento de la presentación de la reclamación. Dicha documentación es enviada a esta Agencia con fecha 21/01/19. En dicho contrato, celebrado el 16/09/17, se constata que la vivienda alquilada se encuentra en la ***DIRECCION.1. La propietaria de la misma es, Dª A.A.A. con dirección de correo electrónico a efectos de notificación ***EMAIL.1 y los arrendatarios son, D. B.B.B. y Dª C.C.C., con dirección de correo electrónico a efectos de notificación ***EMAIL.2 CUARTO: Con fecha 07/02/19, la Subdirección General de Inspección de Datos procedió a realizar requerimiento informativo a la entidad MADRILEÑA RED DE GAS, SAU sita en c/ Virgilio 2, B, Edificio 1, Centro Empresarial Arco; 28223 Pozuelo de Alarcón, (Madrid), solicitando que presentase información relativa a la reclamación presentada por la reclamante como consecuencia de la comunicación de datos de su contrato a terceros. QUINTO: Con fecha 15/02/19, la entidad MADRILEÑA RED DE GAS SAU, envía a esta Agencia escrito informando, entre otras, que: “Madrileña Red de Gas es una empresa distribuidora de gas, que entre otros cometidos. gestiona las solicitudes de puesta en servicio tramitados por las Empresas Comercializadoras. Como resultado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 de una contratación de suministro de gas que dichas empresas gestionan con los usuarios finales. Por tanto, Madrileña Red de Gas no les puede aportar copia del contrato de suministro, entendiendo que dicho documento debe ser aportado por la empresa comercializadora con la que la usuaria haya tramitado la contratación del suministro. Para el punto de suministro CUPS del que se solicita información en la llamada referenciado en el punto siguiente, en el momento de dicha llamada, no constaba ningún contrato en vigor desde el año 2013, fecha en la que se dio de baja el contrato anterior. Por lo tanto. dicho punto se encontraba disponible en el sistema para nuevas contrataciones y no estaba asociado a ningún titular. Por otro lado. el titular del contrato anterior ya dado de baja que consta en nuestros históricos, es una tercera persona que no coincide con la reclamante reflejada en su escrito de Requerimiento de información. Por último. intentando averiguar alguna información que aclarara esta consulta. no localizamos registros relacionados con la interesada Respecto al Procedimiento empleado para la identificación de la persona que presentó la solicitud de información nos consta en nuestro sistema el registro de una llamada a nuestra plataforma telefónica realizada el 13/04/18 por la usuaria Dña. D.D.D.. donde solicitaba el Código Universal del Punto de Suministro sito en la ***DIRECCION.2. sobre el que quería contratar servicio de gas, el cual nos figuraba en el sistema como disponible para poderlo contratar y, por lo tanto. no asociado a ningún titular. Para aportar el código CUPS. el agente telefónico solicitó a la usuaria que se identificara aportando nombre y DNI, momento en el cual procedió a facilitarle dicha información. No se proporcionó ningún tipo de dato personal puesto que, como se ha venido explicando, dicho punto de suministro se encontraba disponible en el sistema para nuevas contrataciones y no estaba asociado a ningún titular”. SEXTO: Con fecha 20/02/19, la Subdirección General de Inspección de Datos dirige comunicado a la entidad MADRILEÑA RED DE GAS SAU, al detectar en el escrito recibido el 15/02/19, una alteración en los datos aportados. Así, con fecha 06/03/19, la entidad reclamada envía carta a esta Agencia, informando que: “Tras revisar el código que nos aportan con numeración ***REFERENCIA.1 hemos encontrado un registro asociado a un punto de suministro. en el que la titular del contrato fue Dña. A.A.A. hasta el 22/10/18 y consta en el sistema el registro de un email recibido en el buzón atención.usuarios@madrilena.es , en Abril de 2018 solicitando información de consumo de un punto de suministro. Concretamente, dicha solicitud se refería al historial de lecturas de Dª A.A.A., indicando que el DNI del solicitante era el ***NIF.1. Tras comprobar que la persona que decía solicitar la información, efectivamente tenía un contrato activo que correspondía con el DNI informado, se le envían exclusivamente los datos de consumo solicitados. Los datos trasladados se limitan al consumo del punto de suministro vinculado al DNI y a nombre de la solicitante, A.A.A., en el periodo 31/12/10 al 15/09/12. Dicha información se remite por correo electrónico al mismo email desde el que se hace la solicitud de información, ***EMAIL.3. Adjuntamos copia de dicho correo con la información”. SÉPTIMO: Con fecha 24/06/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 artículo 5.1.

1. f)del RGPD tipificada en el artículo 83.5.
2. a)del RGPD y considerada muy grave, a efectos de prescripción, en el artículo 72.1.
3. a)de la LOPDGDD, argumentado en el mismo que: se ha verificado que, el número de referencia de la consulta que figura en la denuncia está asociado a un punto de suministro del que era titular la reclamante hasta el 22/10/18. La consulta, nº ***REFERENCIA.1 se hizo por correo electrónico a la dirección atención.usuarios@madrilena.es, en abril de 2018, indicando como DNI del solicitante, el de la titular del contrato. Aunque la entidad reclamada aporta el correo de contestación a la solicitud nº ***REFERENCIA.1 y manifiesta que es la misma que la del remitente de la solitud, se comprueba que los datos no corresponden con los de la titular del contrato de suministro, ya que en dicha dirección figura como destinatario E.E.E. < ***EMAIL.3 >.Tampoco aporta el correo mediante el que se solicita la información y en el que supuestamente se indicó los datos de la reclamante. OCTAVO: Notificado el acuerdo de inicio, la entidad reclamada, MADRILEÑA RED DE GAS (MRG), mediante escrito de fecha 10/07/19, formuló, en síntesis, las alegaciones ya expuestas en la propuesta de resolución. NOVENO: Con fecha 09/08/19, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/00242/2019 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00188/2019, presentadas por la entidad denunciada. DÉCIMO: Con fecha 02/09/19, se notifica la propuesta de resolución sancionadora consistente en que por parte de la Directora de la Agencia Española de Protección de Datos se sancione a la entidad reclamada por infracción del art 5.1.
4. f)del RGPD, tipificada en el artículo 83.5.
5. a)de dicha norma y considerada “muy grave” a efectos de prescripción, en el art. 72.1.
6. a)de la LOPDGDD, fundamentándolo en que, según se desprende la documentación existente en el expediente: “desde el correo electrónico ***EMAIL.2, perteneciente a los arrendatarios de la vivienda sita en ***DIRECCION.1, desde septiembre de 2017, se envió un correo electrónico, utilizando los datos personales de la dueña vivienda, (su nombre y DNI), a dirección de correo electrónico de la entidad, MADRILEÑA RED DE GAS SAU, atencion.usuarios@madrileña.es , para solicitar el consumo de gas realizado en la vivienda durante los años 2011 y 2012. La entidad reclamada, considerando que la solicitante de dicha información estaba debidamente identificada con los datos aportados, reenvió a la dirección de correo electrónico de los inquilinos los datos de consumo de la vivienda en los años 2011 y 2012 de la dueña de la vivienda. Queda constatada la falta de diligencia, en la acreditación de la identidad de la solicitante por parte de entidad, ya que no requirió evidencias suficientes para la correcta identificación como cliente, más aún, cuando en el campo “remitente”, del correo electrónico de la solicitud, aparecía otra persona distinta a la del titular del contrato, muestra de que la entidad no garantiza el cumplimiento de la RGPD a la hora de verificar que los datos de la persona que se pone en contacto con ellos, es quien dice ser. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 Hay que reiterar que este procedimiento sancionador abierto contra MADRILEÑA RED DE GAS SAU, hace referencia al tratamiento de datos de carácter personal que gestiona la compañía y la falta de diligencia en la adopción de medidas adecuadas que garanticen el cumplimiento del RGPD, en este caso, en lo referente a la usurpación de las identidades de los clientes y al fraude que ello puede dar lugar, sin entrar a valorar aquí, que los datos ofrecidos después por la compañía estuvieran o no amparados por el RGPD (artículo 4 y considerando 30)”. UNDÉCIMO: Notificada la propuesta de resolución, la entidad reclamada presenta alegaciones a la propuesta en el periodo concedido al efecto, fundamentando en esencia, lo siguiente: “En el punto PRIMERO de apartado HECHOS PROBADOS del escrito de la PROPUESTA, se recoge un contrato de alquiler entre la reclamante Dª A.A.A. y sus inquilinos D. B.B.B. y Dª C.C.C.. En dicho contrato se establece una vinculación entre los inquilinos y el correo ***EMAIL.2. Sin embargo, MRG no tiene conocimiento de ningún tipo de la existencia de tal contrato, ni mucho menos de los datos de los inquilinos, por lo que no puede vincular dicho correo a una tercera persona de forma que sea conocedora de que no es un correo del titular del contrato que esté usando para comunicarse con MRG. Desde nuestro punto de vista, lo que muestra dicho contrato es lo siguiente:
7. a)Que la titular proporciona sus datos personales a su inquilina con la finalidad de la gestión de la relación contractual entre las partes, relación demostrada por dicho contrato. Por lo tanto. los inquilinos cuentan con la información necesaria para identificarse en nombre de los titulares del contrato de suministro de gas. Si este uso es indebido o no, no podemos determinado por no conocer los términos del contrato ni lo acordado entre las partes.
8. b)Queda demostrado que, como alegó MRG en la respuesta a la propuesta de sanción de fecha 27/06/19, Dª A.A.A. incumplió sus obligaciones al no realizar un traspaso de su contrato de gas al inquilino ni comunicarlo formalmente a MRG. Al no cumplir con este requisito, MRG no puede de ninguna forma tener constancia de dicha situación. Además, puesto que el inquilino cuenta con los datos identificativos del titular. hace en la práctica muy complicado identificar de forma fehaciente al solicitante de información como titular del contrato. Insistimos en que, según el artículo 21, 1,
9. c)del Real Decreto 1434/2002 que regula las actividades de transporte, distribución, comercialización. suministro y procedimientos de autorización de instalaciones de gas natural, se impone la obligación al titular del punto de suministro, en este caso a la reclamante, " Que el gas natural se destine a su propio uso”, obligación legal que está infringiendo la reclamante al permitir que el gas sea usado por persona distinta. en este caso la arrendataria. Además, el artículo 36.2 de este Real Decreto 1434/2002 establece que: 2. El contrato de suministro es personal, y su titular deberá ser el efectivo usuario del combustible, que no podrá utilizado en lugar distinto para el que fue contratado, ni cederlo, ni venderlo a temeros. Pudiendo traspasado a terceros en las condiciones establecidas en el art. 39. 1 de dicho Real Decreto 1434/2002: 1. Para un punto de suministro, el consumidor que esté al corriente de pago podrá traspasar su contrato a otro consumidor que vaya a hacer uso del mismo, en idénticas condiciones. El titular la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 pondrá en conocimiento de la empresa distribuidora mediante comunicación que permita tener constancia a efectos de expedición del nuevo contrato. En el punto 2º de los HECHOS PROBADOS, se recoge que los correos solicitando la información de los consumos se realizan desde ***EMAIL.2. Esto mismo se afirma en los FUNDAMENTOS DE DERECHO. Sin embargo, esto no es correcto. Como se puede comprobar en los correos que se aportaron al expediente, los correos se dirigen desde la cuenta ***EMAIL.3 que tampoco parece ser la que consta en el contrato entre la titular y su inquilina. Queremos señalar que este error no es el primero que se produce en la tramitación de este procedimiento. Ya anteriormente, en la primera comunicación que se dirigió a MRG. se solicitó por parte de a la AEPD información sobre un punto de suministro que no estaba relacionado con este caso. Posteriormente, y tal como explica la AEPD en su propio escrito de propuesta de sanción y recoge en su ANEXO, se han enviado comunicaciones notificando este expediente a MADRILENA SUMINISTRO DE GAS, empresa totalmente ajena MRG, en varias ocasiones. A este respecto, en su anterior escrito se daba a entender que MRG no había contestado a las comunicaciones de la AEPD cuando, en realidad, esas notificaciones fueron dirigidas a otro destinatario indebidamente por parte de la propia AEPD no identificando correctamente al destinatario. En la respuesta a la Propuesta de acuerdo de inicio sancionador remitida con anterioridad, MRG intentó aportar como prueba una grabación de una llamada donde se identifica la llamante como A.A.A., proporciona el correo de contacto ***EMAIL.2 y se aporta una lectura de contador. Sin embargo, el sistema implementado por la AEPD no permite adjuntar archivos de voz, por lo que no se pudo realizar el envío. Cuando se registró la respuesta a la AEPD, se informó de esta circunstancia solicitando un canal alternativo para enviar este archivo. Queremos dejar constancia de que MRG no ha recibido respuesta de la AEPD hasta el momento, por lo que no se ha podido enviar este documento. Creemos que esta llamada aporta información sobre cómo en las comunicaciones con MRG, la titular del contrato, informa del correo de la usuaria ***EMAIL.2 como correo de comunicación con MRG. La operadora consulta varios datos del expediente para identificar a la titular. Si la persona que llama está haciendo un uso indebido de los datos, no puede atribuirse a MRG esta responsabilidad, más aún cuando en nuestra opinión, esta situación viene motivada por el incumplimiento de la titular en el cambio del contrato y permitir que exista un titular diferente del consumidor. Se adjunta al presente escrito copia del documento mediante el que se solicita a la AEPD un canal de comunicación alternativo para este fichero de voz y una transcripción de la conversación contenida en este fichero de voz. En los FUNDAMENTOS DE DERECHO se dice que 'queda constatada la falta de diligencia, en la acreditación de la identidad de la solicitante por parte de entidad reclamada, ya que no requirió evidencias suficientes para la correcta identificación como cliente. Así como, más adelante en al mismo apartado, dice. “falta de diligencia en la adopción de medidas adecuadas que garanticen el cumplimiento del RGPD, en este caso, en lo referente a te usurpación de las identidades de los clientes y al fraude que ello puede dar lugar". El punto del RGPD por el que se propone sancionar a MRG es el recogido en el Articulo 5.1.
10. f)1.Los datos personales serán: tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 o daño accidental, mediante la aplicación de medidas técnicas, organizativas apropiadas (integridad y confidencialidad). A la vista de dicho artículo. entendemos que MRG debe tomar medidas para identificar al solicitante dentro de las posibilidades existentes, como ha hecho en el presente caso. pero que recaiga en MRG impedir de cualquier modo una usurpación de identidad o evitar sus daños, cuando es la propia denunciante que incumple sus obligaciones establecidas en la legislación (citada) sobre el suministro de gas natural y facilita sus datos de identificación personales a terceros para que puedan usurpar su identidad, consideramos que excede las previsiones del articulo mencionado. No podemos estar de acuerdo en que MRG no ha tenido la diligencia debida para acreditar la identificación del solicitante de información. Al contrario. se han solicitado los datos identificativos necesarios para ver que la petición provenía del titular. En los FUNDAMENTOS DE DERECHO se dice 'en el campo “remitente" del correo electrónico de la solicitud aparecía otra persona distinta a la del titular del contrato. A este respecto queremos aclarar que el nombre que aparece relacionado con una dirección de correo, en ningún caso se puede tomar como un dato identificativo. El cambiar ese nombre en la cuenta es trivial. simplemente con que el titular de una cuenta edite su perfil puede poner el texto que prefiera, identificándose a sí mismo, a un tercero, o con un texto cualquiera. Este cambio, además, se puede hacer en cualquier momento. no solo cuando se diseñe la cuenta. De hecho, el nombre que se visualiza en el correo es E.E.E., no D. B.B.B. ni Dª C.C.C.. Por lo tanto, el correo electrónico, cuando su función es establecer un canal de comunicación, no puede ser un dato a considerar para identificar al solicitante ya que no hay garantías de que certifiquen ni su titularidad ni su uso por el interesado. Por lo tanto, las sospechas que debiera haber despertado el correo de E.E.E., según la interpretación de la Propuesta de Sanción, es un criterio poco objetivo. También se debe tener en consideración, que las empresas distribuidoras y comercializadoras de gas vienen obligadas por el Real Decreto 1434/2002 a mantener un canal de telefónica a disposición de los clientes. La identificación por estos canales se debe hacer contrastando datos identificativos, ya que en este momento no hay tecnología para poder realizar una identificación más segura. Exigir otro tipo de identificaciones (verificación de teléfonos, correos, claves) en este momento, por el perfil del consumidor y los medios técnicos extendidos socialmente, llevaría consigo la imposibilidad de prestar el servicio. Como ya explicamos en el escrito anterior, en la Resolución de 12 de abril de 2011, de la Dirección General de Política Energética y Minas, por la que se aprueba el procedimiento marco de contratación telefónica, electrónica y telemática para el mercado de gas natural, el email no consta como uno de los datos para identificar al titular, utilizándose nombre y DNI para identificar a la persona. El canal de correo electrónico, en este sentido. es similar al telefónico. Se puede comprobar que el remitente presenta los datos identificativos necesarios (Nombre y DNI), pero otros, como por ejemplo el email, ya hemos comprobado que no puede ser un dato identificativo por las nulas garantías que ofrece. Exigir que un titular se dirigiera a MRG siempre desde el mismo correo sería tanto como obligar a que siempre se llamara desde el mismo número de teléfono y que fuera el que tuviera registrado la empresa distribuidora para poder atender al usuario. Queremos dejar constancia de que MRG siempre ha actuado de buena fe, considerando que el solicitante estaba debidamente identificado con los datos del titular (Nombre, Apellidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 y DNI). Si el inquilino, u otra persona, ha hecho un mal uso de los datos del titular del punto de suministro (datos que NO han sido facilitados por MRG), supuestamente suplantándolo sin su autorización, Madrileña Red de Gas NO es, ni puede ser, responsable por la actuación inadecuada y fuera de la legalidad de esta persona, y a la que la reclamante, como titular del punto de suministro, ha tenido que facilitarle sus datos de identificación (nombre, apellido y DNI). Sin embargo, la reclamante no ha cumplido sus obligaciones de notificar a la distribuidora el cambio de contrato al formalizar el alquiler, lo que deja a MRG en una situación de indefensión ya que proporciona sus datos a un inquilino pero MRG no puede conocer dicha situación. Conforme a la normativa expuesta resulta que MRG Si solicito todos los datos de identificación del titular del punto de suministro para garantizar una seguridad adecuada de los datos personales antes de facilitar la información sobre el consumo; los datos del titular del punto de suministro (Nombre. Apellidos y DNI), para comprobar la identidad de la peticionaria, de un modo que se garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento, por lo que NO ha vulnerado el considerando