← España

PS-00216-2023

1/227  Expediente N.º: EXP202304117 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES..........................................................................................................4 PRIMERO: ESCRITOS E INFORMES PROCEDENTES DE LA POLICÍA:................4 SEGUNDO: PRIMERA INVESTIGACIÓN POR PARTE DE LA AEPD RELATIVA A NIVALCO.................................................................................................................... 4 TERCERO: INVESTIGACIÓN DE LA AEPD RELATIVA A ENÉRGYA-VM................5 CUARTO: ACTUACIONES PREVIAS DE INVESTIGACIÓN......................................5 QUINTO: ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR..............14 SEXTO: COPIA DEL EXPEDIENTE Y AMPLIACIÓN DE PLAZO.............................14 SÉPTIMO: ALEGACIONES AL ACUERDO DE INICIO:............................................14 OCTAVO: PERIODO DE PRÁCTICA DE PRUEBA..................................................25 NOVENO: PROPUESTA DE RESOLUCIÓN, RECTIFICACIÓN DE ERROR MATERIAL Y AMPLIACIÓN DE PLAZO...................................................................29 DÉCIMO: ALEGACIONES A LA PROPUESTA DE RESOLUCIÓN...........................29 UNDÉCIMO: INFORME DE AXESOR......................................................................33 HECHOS PROBADOS................................................................................................34 PRIMERO:............................................................................................................... 34 SEGUNDO:.............................................................................................................. 35 TERCERO:............................................................................................................... 36 CUARTO:................................................................................................................. 36 QUINTO:.................................................................................................................. 37 SEXTO:.................................................................................................................... 38 SÉPTIMO:................................................................................................................ 38 OCTAVO:.................................................................................................................. 39 NOVENO:................................................................................................................. 40 DÉCIMO:.................................................................................................................. 41 UNDÉCIMO:............................................................................................................. 42 DUODÉCIMO:.......................................................................................................... 43 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/227 DECIMOTERCERO:................................................................................................44 DECIMOCUARTO:...................................................................................................47 DECIMOQUINTO:....................................................................................................49 DECIMOSEXTO:......................................................................................................49 DECIMOSÉPTIMO:..................................................................................................50 DECIMOCTAVO:......................................................................................................50 DECIMONOVENO:..................................................................................................59 VIGÉSIMO:.............................................................................................................. 59 VIGÉSIMO PRIMERO:.............................................................................................61 VIGÉSIMO SEGUNDO:............................................................................................62 VIGÉSIMO TERCERO:............................................................................................63 VIGÉSIMO CUARTO:...............................................................................................64 VIGÉSIMO QUINTO:................................................................................................64 VIGÉSIMO SEXTO:..................................................................................................65 VIGÉSIMO SÉPTIMO:..............................................................................................66 VIGÉSIMO OCTAVO:...............................................................................................67 VIGÉSIMO NOVENO:..............................................................................................67 TRIGÉSIMO:............................................................................................................ 68 TRIGÉSIMO PRIMERO:...........................................................................................68 TRIGÉSIMO SEGUNDO:.........................................................................................69 TRIGÉSIMO TERCERO:..........................................................................................69 TRIGÉSIMO CUARTO:............................................................................................69 TRIGÉSIMO QUINTO:.............................................................................................70 TRIGÉSIMO SEXTO:...............................................................................................71 TRIGÉSIMO SÉPTIMO:...........................................................................................71 TRIGÉSIMO OCTAVO:.............................................................................................72 TRIGÉSIMO NOVENO:............................................................................................73 CUADRAGÉSIMO:...................................................................................................73 CUADRAGÉSIMO PRIMERO:.................................................................................74 CUADRAGÉSIMO SEGUNDO:................................................................................75 CUADRAGÉSIMO TERCERO:.................................................................................75 CUADRAGÉSIMO CUARTO:...................................................................................77 CUADRAGÉSIMO QUINTO:....................................................................................78 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/227 CUADRAGÉSIMO SEXTO:......................................................................................78 CUADRAGÉSIMO SÉPTIMO:..................................................................................79 CUADRAGÉSIMO OCTAVO:...................................................................................79 CUADRAGÉSIMO NOVENO:..................................................................................80 QUINCUAGÉSIMO:.................................................................................................81 QUINCUAGÉSIMO PRIMERO:................................................................................81 QUINCUAGÉSIMO SEGUNDO:...............................................................................82 QUINCUAGÉSIMO TERCERO:...............................................................................85 QUINCUAGÉSIMO CUARTO:..................................................................................85 QUINCUAGÉSIMO QUINTO:...................................................................................86 QUINCUAGÉSIMO SEXTO:.....................................................................................86 QUINCUAGÉSIMO SÉPTIMO:.................................................................................87 QUINCUAGÉSIMO OCTAVO:..................................................................................88 QUINCUAGÉSIMO NOVENO:.................................................................................88 SEXAGÉSIMO:........................................................................................................ 89 SEXAGÉSIMO PRIMERO:.....................................................................................114 SEXAGÉSIMO SEGUNDO:...................................................................................123 FUNDAMENTOS DE DERECHO...............................................................................145 Competencia.......................................................................................................... 145 Cronología de los hechos.......................................................................................145 Cuestiones preliminares.........................................................................................151 Enérgya-VM como responsable del tratamiento.....................................................152 Sobre el principio de tipicidad.................................................................................175 Sobre el principio de proporcionalidad...................................................................177 Sobre las circunstancias de graduación de la sanción...........................................184 Supuesta vulneración del principio de contradicción y generación de indefensión a la parte reclamada en fase de prueba........................................................................191 Supuesta existencia de un concurso medial...........................................................193 Supuesta inconstitucionalidad del régimen sancionador de la LOPDGDD.............200 Obligaciones incumplidas.......................................................................................207 A. Infracción del artículo 5.1

  1. a)del RGPD..........................................................207 B. Infracción del artículo 5.2 del RGPD:..............................................................230 Tipificación y calificación de las infracciones..........................................................242 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/227 Criterios de graduación de la cuantía.....................................................................243 Adopción de medidas.............................................................................................262 RESUELVE:............................................................................................................... 263 ANTECEDENTES PRIMERO: ESCRITOS E INFORMES PROCEDENTES DE LA POLICÍA: La Dirección General de la Policía (en adelante DGP) mediante una comunicación de fecha 13 de mayo de 2022, que tuvo entrada en el Registro de la AEPD el 17 de mayo, puso en conocimiento de esta Agencia que la Comisaría General de Policía Judicial (en adelante CGPJ), Unidad de Delincuencia Económica y Fiscal, en el marco de Diligencias Previas (...) de las que conoce el Juzgado (...), llevó a cabo una investigación por presuntos delitos contra (…) a compañías suministradoras de gas y luz en España. (…). (…). (…). (…). SEGUNDO: PRIMERA INVESTIGACIÓN POR PARTE DE LA AEPD RELATIVA A NIVALCO Dada la relevancia de los hechos y la necesidad de analizar las implicaciones en materia de protección de datos personales y seguridad de la información, se realizó en la AEPD una primera investigación ((...)) en orden al esclarecimiento de los hechos denunciados y su autoría. No obstante lo anterior, teniendo en cuenta el amplio alcance del caso y la necesidad de acompasarlo con las capacidades y recursos de que dispone la AEPD, la investigación se centró en la empresa Nivalco y la obtención de evidencias sobre el escenario de presunto acceso y uso fraudulento de bases de datos de carácter personal, todo ello sin perjuicio de que a la luz de las conclusiones se pudieran ampliar las investigaciones. TERCERO: INVESTIGACIÓN DE LA AEPD RELATIVA A ENÉRGYA-VM Posteriormente, con fecha 29 de marzo de 2023 la Directora de la Agencia Española de Protección de Datos acordó abrir una investigación de oficio e instó a la Subdirección General de Inspección de Datos (SGID) a que iniciase las actuaciones previas de investigación, a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/227 digitales (en adelante, LOPDGDD), al objeto de analizar el proceder de la sociedad Enérgya-VM en relación con los hechos relatados en los dos antecedentes anteriores. CUARTO: ACTUACIONES PREVIAS DE INVESTIGACIÓN La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Relación contractual entre Enérgya-VM y Nivalco Expresa Enérgya-VM (EscritoEnergyaVM) que “la contratación de Nivalco como prestador de servicios para la realización de acciones de “fuerza de venta” surge tras recibir una oferta comercial por su parte en la que Nivalco manifiesta ser responsable del tratamiento de una base de datos que contiene información identificativa de personas físicas y jurídicas para la promoción de diversos servicios”. Añade que Enérgya-VM que “con anterioridad a la suscripción del contrato de prestación de servicios con Nivalco, […] solicitó a Nivalco información acerca de la Base de Datos para garantizar que, en efecto, las campañas de suministro eléctrico que potencialmente iban a ser ofrecidas a los interesados se llevaban a cabo de conformidad con lo establecido en el Reglamento (UE) 2016/679 […] y en la Ley Orgánica 3/2018”. Facilita (documento 2 del EscritoEnergyaVM) una declaración responsable de Nivalco de fecha 28 de junio de 2019 que incluye lo siguiente: “Que la mercantil NIVALCO SOLUCIONES COMERCIALES, S.L con CIF B67330399, Promotor de Enérgya-VM, es titular y responsable de un fichero comercial de contactos identificativos básicos de personas físicas y jurídicas para la promoción de servicios en general. Que con objeto de poder utilizar el citado fichero para el desarrollo de la actividad comercial conforme al acuerdo de promoción de contratos a comisión suscrito con Enérgya-VM con fecha 28 de junio de 2019 en adelante, el acuerdo), DECLARO como responsable del fichero: 1) Que los datos contenidos en el citado fichero son los estrictamente necesarios, adecuados, pertinentes y veraces, para la consecución de acciones comerciales, y que los datos de contacto de las personas físicas y jurídicas del fichero han sido obtenidos de manera lícita y legítima conforme al Reglamento EU 2016/679 de Protección de Datos Personales (RGPD), así como, tratados de modo proporcional a la finalidad para la que fueron recabados; y por tanto, afirmo no haber obtenido los datos por medios fraudulentos, desleales o ilícitos, con asunción total de las posibles sanciones derivadas de las infracciones en caso de incumplimiento del RGPD y exención de responsabilidades a Enérgya-VM derivadas del citado fichero y su tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/227 2) Que me obligo a realizar un uso responsable y a mantener el debido secreto profesional respecto de los datos de carácter personal, comprometiéndome a aplicar proactivamente las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD, teniendo en cuenta la tipología de datos del ficheros, y en concreto a la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas. 3) En el caso de acceso a datos de responsabilidad de Enérgya-VM, declaro conocer y aplicar las condiciones e indicaciones como encargado de tratamiento documentadas de Enérgya-VM, en cumplimiento del Art. 28 del RGPD.” Manifiesta Enérgya-VM (EscritoEnergyaVM), en relación con la creación de la base de datos utilizada por Nivalco, que no disponía de ningún poder de decisión sobre “qué datos se incluyen (ni siquiera los conoce), las finalidades para las que son tratados, la composición de esta, su custodia, los terceros que acceden a dichos datos, las medidas de seguridad implementadas y/o cualesquiera otros aspectos relacionados con el porqué y el cómo del tratamiento”. Asimismo, señala a Nivalco como “exclusivo responsable del tratamiento” que “debía garantizar la obtención y el tratamiento lícito de los datos personales” tal y como consignó en la declaración responsable. Añade Enérgya-VM (EscritoEnergyaVM) que se incluyó el clausulado relativo al encargo del tratamiento (documento 3 del EscritoEnergyaVM) como parte del acuerdo de promoción de contratos a comisión suscrito el día 1 de julio de 2019 con Nivalco. Al respecto señala Enérgya-VM que dicho encargo “afecta únicamente a los interesados que, tras haber recibido la oferta de los servicios de Enérgya por parte de Nivalco, opten por contratar el suministro de energía con Enérgya y, en particular, se refiere a aquellos datos adicionales necesarios para la contratación que no consten en la Base de Nivalco”. Así, argumenta Enérgya-VM que, con respecto a aquellos datos identificativos y de contacto que sí estaban incluidos en la base de datos, Enérgya-VM y Nivalco son responsables del tratamiento independientes. Sobre esto último manifiesta lo siguiente: “(
  2. i)Enérgya los trata para la finalidad de prestar los servicios de suministro de energía, siendo la base legitimadora la ejecución del contrato del que el interesado es parte o, en su caso, la aplicación petición de este de medidas precontractuales; y (
  3. ii)Nivalco los trata para la finalidad de promocionar servicios de terceros con los que este suscribe acuerdos de prestación de servicios, siendo la base legitimadora, de conformidad con la información proporcionada por Nivalco a Enérgy, el consentimiento expreso recabado por Nivalco. A este respecto, dado que estamos ante relaciones jurídicas distintas, la responsabilidad de recabar los mencionados consentimientos corresponde, exclusivamente, a Nivalco en calidad de responsable independiente del tratamiento.” En relación con la resolución del vínculo contractual entre Nivalco y Enérgya-VM, ésta ha aportado (documento 9 del EscritoEnergyaVM) la carta mediante la cual notificó a Nivalco la finalización del contrato. Fechada el día 28 de mayo de 2020, reproduce los siguientes párrafos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/227 “Les remitimos la presente notificación para comunicarles la resolución del Acuerdo de promoción de contratos a comisión subscrito entre Nivalco Soluciones Comerciales, SL y Enérgya VM Gestión de Energía, SLU con fecha 1 de julio de 2019, en aplicación de la facultad que otorga la cláusula 1.2 de las Condiciones Generales del citado Acuerdo, con un mes de preaviso. […] (…): - (…) (…) (…). (…). (…).” Directrices y supervisión de la actividad de Nivalco Enérgya-VM ha manifestado (EscritoEnergyaVM) que “lleva a cabo campañas de formación periódicas, remitiendo a todas fuerzas de venta con las que firma acuerdos de promoción de contratos a comisión (los “Promotores”), incluyendo Nivalco, correos electrónicos con directrices específicas con argumentarios de venta conforme a la legalidad general (evitando confusión con otros comercializadores o distribuidores) e instrucciones concretas de la forma en la que deben tratar los datos personales de Enérgya para garantizar la protección de los derechos de los interesados.” Sobre este particular ha facilitado los siguientes documentos: - Documento 4 del EscritoEnergyaVM: correo electrónico de fecha 15 de julio de 2019 y asunto “(…)”. Manifiesta Enérgya-VM respecto al mismo que fue enviado a todos los “Promotores, incluyendo Nivalco”. La comunicación subraya que se debe cumplir la normativa de datos personales de acuerdo al contrato firmado entre las partes. Cita expresamente la (…) y de atender los derechos en materia de protección de datos personales. - Documento 5 del EscritoEnergyaVM: correo electrónico de fecha 27 de enero de 2020 y asunto “(…)”. Manifiesta Enérgya-VM respecto al mismo que fue enviado a todos los “Promotores, incluyendo Nivalco”. La comunicación subraya que se debe cumplir la normativa de datos personales de acuerdo al contrato firmado entre las partes. Igualmente comunica que (…). Además, refiere las acciones que se han de tomar en caso de recibir solicitudes por parte de clientes o exclientes de EnérgyaVM. Asimismo, recuerda expresamente la necesidad de (…). Manifiesta Enérgya-VM (EscritoEnergyaVM) en relación a este correo que “Mediante esta medida, Enérgya busca tener un cauce para auditar las respuestas al ejercicio de derechos otorgadas por los Promotores. […] una vez que un consumidor ha contratado los servicios de suministro de Enérgya, desde la Sociedad se asume un rol como responsable del tratamiento. Estas directrices responden, precisamente, a la implementación de medidas que permitan a Enérgya conocer la información relacionada con el tratamiento de datos personales de sus clientes por parte de los Promotores” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/227 - Documento 6 del EscritoEnergyaVM: correo electrónico de fecha 24 de julio de 2020 y asunto “(…)”. Comunicación análoga a la vista en el párrafo anterior. Expresa que se envió como reiteración tras resolver el acuerdo con Nivalco. En relación con la supervisión de la actividad de Nivalco como “promotor”, EnérgyaVM ha señalado (EscritoEnergyaVM) en primer lugar que, al “no poder acceder a la Base de Datos de Nivalco al no ser responsable Enérgya de la misma, no se podía supervisar”. Añade, no obstante, que una vez tuvo conocimiento de las “posibles irregularidades en la actuación de Nivalco […] inició un procedimiento de verificación, llamando a todos los clientes que habían contratado sus servicios de suministro a través de Nivalco con la finalidad de proporcionarles, de nuevo, toda la información necesaria y renovar los consentimientos otorgados.” Expresa que esta actuación encaja dentro de “los estándares de privacidad y diligencia establecidos y desarrollados en el Código de Buenas Prácticas Comerciales de Enérgya” (documento 10 del EscritoEnergyaVM) que “tiene la finalidad de servir como guía de conducta ética tanto para Enérgya como para los Promotores con los que Enérgya desarrolle cualquier tipo de actividad comercial”. Este documento consigna en el apartado “Principios”, el siguiente: “(…)” Asimismo, en el apartado de “Practicas” el documento cita: “(…)” Enérgya-VM expresa (EscritoEnergyaVM) asimismo que una vez “fue conocedora de las posibles irregularidades en la actuación de Nivalco, interpuso una denuncia por los presuntos delitos de (…) frente al Juzgado (…) y exigió a Nivalco su inmediata subsanación, así como la cesación de la actividad comercial a una captación meramente residual.” Y añade que “Pocos meses más tarde, ante la desconfianza que le transmitía Nivalco, Enérgya decidió resolver la relación que les unía, como ya hemos expuesto, la cual en ningún momento se ha vuelto a retomar”. En relación con las reclamaciones recibidas por Enérgya-VM por parte de clientes captados por Nivalco, Enérgya-VM manifiesta (EscritoEnergyaVM) haber recibido “veinticuatro

(24)reclamaciones de clientes (alguna inclusiva de varios CUPS-puntos de suministro-), todas las cuales se han tramitado correctamente, accediendo a lo solicitado en cada caso por cada persona.” Adjunta (documento 12 del EscritoEnergyaVM) un resumen de las reclamaciones recibidas. Modelo de supervisión de Enérgya-VM de los “promotores” Especifica Enérgya-VM (EscritoEnergyaVM) que actualmente realiza las siguientes acciones de supervisión: - Facilita el Código de Buenas Prácticas a los Promotores (documento 10 del EscritoEnergyaVM) - Recomienda un argumentario concreto de venta a los Promotores. Ha adjuntado el mismo como documento 8 del EscritoEnergyaVM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/227 - Exige la grabación de todas las llamadas de captación a consumidores domésticos. - Emplea a un tercero verificador en el soporte duradero contractual. - Emplea a una empresa externa al Promotor y Enérgya-VM para la verificación del consentimiento de los clientes. - Remite emails semestrales insistiendo en el escrupuloso respeto de la Protección de datos. Adjunta (documentos 13 y 14 del EscritoEnergyaVM) los que señala como remitidos a los promotores en 2022 y 2023: o Comunicación de asunto “COMUNICADO: Código de Buenas Prácticas Comerciales” de fecha 1 de diciembre de 2022, en el que se manifiesta adjuntar el código ético como “guía de conducta ética para la propia Compañía y sus Promotores”. o Comunicación de asunto “COMUNICADO: Protección de Datos Personales y garantía de los derechos digitales” de fecha 6 de marzo de 2023, en el que se recuerda la obligación de respetar la normativa de protección de datos personales. Además explicita un recordatorio de la necesidad de cumplir con la transparencia según lo dispuesto en el artículo 13 del RGPD y el artículo 11 de la LOPDGDD. Procedimiento de contratación de los suministros con Enérgya-VM Enérgya-VM resume (EscritoEnergyaVM) el procedimiento de contratación “que se sigue y seguía en los meses en los que Nivalco captó a los clientes para la contratación del suministro de energía con sus clientes por vía telefónica” en los siguientes términos: “(
  1. i)Previo contacto telefónico por parte de los Promotores: los Promotores contactan telefónicamente con el potencial cliente y hacen una descripción del producto que se comercializa, así como de sus características. En el supuesto que nos ocupa, durante esta fase del proceso, Enérgya no es conocedora de los datos personales de los interesados a los que se dirige Nivalco, no ha llevado a cabo ninguna actividad de tratamiento sobre la Base de Datos y no tiene capacidad de decisión sobre a qué interesados se dirige la oferta. A contrario, la acción comercial la lleva a cabo Nivalco en calidad de responsable del tratamiento, decidiendo a qué interesados dirigir cada una de las ofertas comerciales que posee dentro de las opciones proporcionadas por sus diferentes clientes, entre los que se encuentra Enérgya. (
  2. ii)Inicio del Procedimiento de Contratación: este Procedimiento se dividía en las siguientes fases: (
  3. a)llamada grabada con formulación de preguntas preestablecidas por Enérgya a través del script; (
  4. b)recepción de SMS informando de la oferta y las condiciones al cliente, con un hipervínculo a las condiciones generales en las que se incluye la información relativa al tratamiento de sus datos por parte de Enérgya; (
  5. c)otorgamiento del consentimiento expreso mediante respuesta positiva del cliente al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/227 SMS; (
  6. d)verificación por parte de un proveedor externo; y (
  7. e)remisión del contrato al cliente. (iii) Labor de control y verificación por parte de Enérgya: por su parte, Enérgya, en su labor de control y verificación de las contrataciones realizadas a través de Promotores, supervisa que se sigue el contenido del script y analiza la respuesta al SMS certificado recibido por el cliente con la finalidad de autenticar que, efectivamente, este ha tenido acceso a las Condiciones Generales, las cuales contienen el aviso de privacidad pertinente. Posteriormente un tercero verificador, ajeno al canal de venta, realiza una llamada para verificar el consentimiento emitido por el cliente final.” Sobre la primera de las fases que ejecutan “los Promotores” (tal y como los refiere Enérgya-VM), Enérgya-VM ha señalado que les recomienda la utilización de un argumentario (adjunto como documento 8 del EscritoEnergyaVM). A continuación, se transcribe su contenido: (…) Adicionalmente, en relación con el proceso de aceptación de la oferta mediante respuesta al mensaje de texto, Enérgya-VM ha facilitado (documento 7 del EscritoEnergyaVM) un certificado emitido por un tercero (Of Service BTP, S.L.) que “muestra la información facilitada a un cliente en el momento de la contratación”. Incluye la certificación del tercero del envío de un mensaje (SMS) con el texto que refiere la contratación a la que se va a proceder con Enérgya-VM con inclusión de un enlace a una página de internet. Este mensaje concluye requiriendo que se responda afirmativamente para aceptar la contratación. Además, el tercero certifica la recepción del mensaje de respuesta y de su contenido (“Si”, en el documento facilitado). El documento incluye la copia de las condiciones de contratación que contiene, en su cláusula quinta, la información relativa al tratamiento de datos personales. Esta cláusula consigna los siguientes párrafos: “(…)”. Muestra de contrataciones efectuadas por Nivalco para Enérgya-VM La Resolución de la CNMC de fecha 28 de julio de 2022 del procedimiento sancionador incoado a Enérgya-VM Gestión de la Energía S.L.U., por incumplimiento de los requisitos de contratación y apoderamiento con los clientes incluye, entre los hechos probados, el siguiente: “La comercializadora ENÉRGYA-VM GESTIÓN DE LA ENERGÍA, S.L.U. durante el periodo comprendido entre febrero y mayo de 2020, realizó de forma continuada llamadas telefónicas, a través de la sociedad NIVALCO SOLUCIONES COMERCIALES, S.L., que viciaron el consentimiento prestado por una pluralidad de consumidores de electricidad y gas -que se corresponden con los CUPS que, a continuación, se relacionan- para cambiar sus correspondientes contratos de suministro”. A solicitud de la AEPD, la CNMC ha facilitado (EscritoCNMC) la documentación relativa a los treinta puntos de suministro cuya contratación se refiere en los hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/227 probados de la ResoluciónCNMC. Para cada una de estas contrataciones la CNMC ha aportado (Diligencia CNMC) los siguientes documentos: “1. La grabación desde el primer contacto con el consumidor (numerado con un 1). 2. La grabación para formalizar la contratación (numerado con un 2). 3. En caso de existir, la grabación de la llamada de verificación de la contratación efectuada por la empresa (...) (numerado con un 3). 4. Copia del certificado de envío, recepción y confirmación del SMS con la oferta comercial. 5. Copia del contrato formalizado” El hecho probado sexagésimo de esta resolución, reseña el contenido de dichos documentos. Tal y como se apuntó anteriormente, Enérgya-VM manifiesta (EscritoEnergyaVM) haber recibido “veinticuatro
(24)reclamaciones de clientes (alguna inclusiva de varios CUPS-puntos de suministro-), todas las cuales se han tramitado correctamente, accediendo a lo solicitado en cada caso por cada persona.” A tal efecto adjunta (documento 12 del EscritoEnergyaVM) un resumen de las reclamaciones recibidas junto a la documentación relativa a las mismas: El hecho probado sexagésimo primero de esta resolución contiene una muestra de dichas reclamaciones. Asimismo, el hecho probado sexagésimo segundo de esta resolución reproduce el análisis de cada expediente efectuado por el Inspector de la AEPD y reflejado en el informe de actuaciones previas de investigación de 5 de mayo de 2023. QUINTO: ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR Con fecha 9 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por: - Por la supuesta infracción del artículo 5.2 del RGPD, tipificada en el artículo 83.5 de dicha norma. - Por la supuesta infracción del artículo 5.1.
  1. a)del RGPD, tipificada en el artículo 83.5 de dicha norma. SEXTO: COPIA DEL EXPEDIENTE Y AMPLIACIÓN DE PLAZO Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el día 11 de mayo de 2023 la parte reclamada solicitó copia del expediente, así como ampliación de plazo para presentar alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/227 El 17 de mayo de 2023, se remitió a la parte reclamada el expediente, concediendo al mismo tiempo un nuevo plazo para presentar alegaciones. SÉPTIMO: ALEGACIONES AL ACUERDO DE INICIO: La parte reclamada presentó escrito de alegaciones al acuerdo de inicio el día 7 de junio de 2023 en el que, en síntesis, manifestaba lo siguiente: Enérgya-VM incluye en su escrito de alegaciones de 7 de junio de 2023 una cronología de los hechos dividida en cuatro fases: I fase: inicio de la relación con Nivalco y notificación de (...). II fase: inicio de la auditoría por parte de Enérgya-VM. III fase: periodo de observación y análisis de los resultados. IV fase: recepción de nueva información y resolución de la relación contractual con Nivalco. Asimismo, formula las siguientes alegaciones: 1. Ausencia de responsabilidad de Enérgya-VM. Afirma no ser responsable de las acciones de Nivalco, ni de los tratamientos llevados a cabo por este último sobre la Base de Datos de Nivalco. Enérgya afirma que no ha tenido ningún tipo de responsabilidad o capacidad de decisión en los hechos. La parte reclamada destaca que Nivalco había obtenido los datos personales de manera independiente y construido y estructurado su Base de Datos, determinando, de manera autónoma, los medios y finalidades del tratamiento. Enérgya-VM considera que no ha llevado a cabo actividades de tratamiento, que permitan inferir su rol como responsable del tratamiento respecto de la Base de Datos de Nivalco. Afirma que su capacidad de decisión sobre las finalidades y los medios del tratamiento que poseía Enérgya-VM respecto de la Base de Datos de Nivalco ha sido en todo momento nula. Destaca que no ha tenido acceso o conocimiento alguno sobre aquellos interesados que, estando incluidos en la Base de Datos de Nivalco, fueron contactados por dicha empresa y decidieron no contratar los servicios de Enérgya-VM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/227 La parte reclamada estima que, desde la perspectiva de protección de datos, la relación con los consumidores a los que Nivalco se dirigía fue, en todo momento, ajena a Enérgya-VM en la primera fase de la captación. Es decir, en el momento de contacto con tales consumidores y hasta que estos no confirmaban su intención de contratar a Enérgya-VM, Nivalco era el único responsable del tratamiento de los datos personales contenidos en la Base de Datos Nivalco. En opinión de Enérgya-VM, prueba de ello es el certificado de licitud de la Base de Datos de Nivalco emitido por Nivalco en fecha 28 de junio de 2019, cuyo contenido reproduce parcialmente. La parte reclamada considera que dicho certificado supone una clara evidencia de que la Base de Datos de Nivalco fue elaborada, en exclusiva, por Nivalco, sin cooperación alguna por parte de Enérgya-VM. Enérgya no niega haber tenido una relación de responsable del tratamiento con sus clientes desde el momento en el que, de manera libre y autónoma, estos decidían contratar sus servicios. Es decir, Enérgya adquiría el rol de responsable del tratamiento en el momento en el que comenzaban las medidas contractuales. En opinión de Enérgya-VM, ese era el preciso instante en el que desde Enérgya-VM se tomaban decisiones sobre las finalidades para las que dichos datos personales iban a ser tratados – suscribir el contrato y prestar el servicio – y los medios del tratamiento. Así, sólo en el momento en el que se materializaba el consentimiento del interesado para contratar los servicios de Enérgya-VM, sus datos pasaban a formar parte de la base de datos de Enérgya (la Base de Datos de Enérgya), independiente de la Base de Datos de Nivalco. A continuación, hace referencia a las Condiciones Generales del Contrato suscrito con Nivalco, en el que se regula la relación entre el responsable y el encargado del tratamiento. En este sentido, vuelve a insistir en que el encargo del tratamiento afectaba únicamente a los interesados que, tras haber recibido la oferta de los servicios de Enérgya-VM por parte de Nivalco, optaban por contratar el suministro de energía con Enérgya-VM. La parte reclamada destaca que la Base de Datos de Enérgya no es una copia de la Base de Datos de Nivalco. La primera (Base de Datos de Enérgya), incorpora exclusivamente:  Los datos personales de los interesados que sí habían decidido contratar los servicios de Enérgya-VM.  Únicamente aquellos datos de carácter personal que eran necesarios para la contratación  Enérgya-VM trataba dichos datos exclusivamente para las finalidades relacionadas con el suministro contratado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/227 A continuación, Enérgya-VM destaca que, de conformidad con el RGPD, la LOPDGDD y las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD emitidas por el Comité Europeo de Protección de Datos (en adelante, CEPD), la figura del responsable del tratamiento requiere tener capacidad de decisión sobre determinados aspectos considerados esenciales del tratamiento de datos (destacando la finalidad y medios del tratamiento). Asimismo, cita un ejemplo incluido en las mencionadas Directrices que considera aplicable a su caso. Enérgya-VM indica que, según afirma la AEPD en el acuerdo de inicio, Enérgya cumple con el rol de responsable del tratamiento desde el inicio de la relación contractual entre Nivalco y Enérgya-VM. La AEPD llega a esta conclusión partiendo de las supuestas directrices otorgadas por Enérgya-VM a Nivalco, que evidenciarían su papel como responsable. Sin embargo, la parte reclamada considera necesario diferenciar meras pautas de índole comercial, sin impacto en el ámbito de la protección de datos, de directrices propias de un responsable del tratamiento. Enérgya-VM concluye insistiendo en que no puede ser considerada como responsable del tratamiento de la Base de Datos de Nivalco desde el inicio de la relación contractual con dicha empresa, llegando a afirmar que se he producido una instrumentalización de la normativa de protección de datos a efectos de aplicar una interpretación extensiva del concepto de responsable del tratamiento sobre actuaciones e ilícitos que no son imputables a Enérgya-VM ni directamente ni por acción ni por omisión. Destaca que incluso si la AEPD considera a Enérgya-VM responsable del tratamiento, cosa que niega, carecería de fundamento obviar lo que Nivalco no atendió las guías comerciales de Enérgya-VM, sin que la parte reclamada tuviese control sobre estos hechos y, por tanto, dicha conducta omisiva no podría ser imputable a Enérgya-VM. En otro apartado del escrito de alegaciones al acuerdo de inicio, Enérgya-VM destaca que en el supuesto de que la AEPD mantuviera que Enérgya-VM actuaba como responsable del tratamiento desde el inicio de la relación contractual, la parte reclamada considera imprescindible destacar lo siguiente:  El hecho de que Nivalco ignorara las directrices de Enérgya, no supondría un incumplimiento del principio de responsabilidad proactiva como indica la AEPD.  El encargo del tratamiento es instrumental, permite delegar actividades empresariales a terceros, garantizando una adecuada protección de los datos personales tratados.  Si bien dicha delegación conlleva unos controles, Enérgya-VM considera que la AEPD no puede exigir que sean mayores que los requeridos por el propio RGPD. En su opinión, requerir a los responsables del tratamiento unos estándares de vigilancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/227 excesivos e inoperativos contravendrían la naturaleza del encargo del tratamiento al impedir, de facto, la delegación de funciones. 2. Enérgya-VM destaca haber actuado en todo momento con los más altos estándares de diligencia, contratando a auditores externos, imponiendo medidas de control adicionales e incluso presentando una denuncia por la vía penal a efectos de esclarecer los hechos. Enérgya-VM afirma que durante la vigencia de su relación contractual con Nivalco, ha actuado conforme a los más altos estándares de diligencia. En primer lugar, destaca que su intención al proporcionar el Script de ventas y demás directrices genéricas a Nivalco era:  Garantizar que su imagen de marca no se viera dañada y que sus proveedores presentaban a Enérgya al mercado cumpliendo con los más altos estándares de calidad promovidos por ella.  Cumplir con las obligaciones en materia civil, relacionadas con consumidores y usuarios, cuestiones evaluadas por la CNMC y que, en opinión de la parte reclamada, nada tienen que ver con la protección de datos.  Asentar las bases de la futura relación entre responsable del tratamiento e interesado que Enérgya-VM sabía que ostentaría en el supuesto de que los interesados optasen por contratar los servicios de Enérgya. Según Enérgya-VM, dichas actuaciones cumplían, desde la perspectiva de la protección de datos, con una función preventiva, lo que, en su opinión, demuestra no sólo gran diligencia comercial por parte de Enérgya sino, adicionalmente, un escrupuloso respecto al principio de responsabilidad proactiva establecido en el RGPD. A continuación, destaca una serie de actuaciones mitigadoras llevadas a cabo por Enérgya-VM y que, en su opinión, han sido omitidas por el acuerdo de inicio: 1. Auditoría externa: La parte reclamada encargó a un proveedor externo, la empresa (...), la realización de una auditoría para verificar si el proceso de contratación efectuado por Nivalco cumplía con los elevados estándares de legalidad y calidad exigidos por Enérgya-VM. La parte reclamada considera que determinados resultados del informe de auditoría elaborado por (...) han sido malinterpretados por la AEPD y aclara que los parámetros empleados por (...) servían para medir la desviación de Nivalco del Script elaborado por Enérgya-VM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/227 2.Denuncia: Tras haber llevado a cabo una investigación interna, Enérgya-VM interpuso una denuncia por presuntos (...) denuncia contra los (...) cuyas ratios de incidencias habían resultado más elevadas. frente al Juzgado de (...), el día 10 de octubre de 2019. 3.(…) de la calidad de la contratación: Enérgya-VM solicitó a (...) la prestación de servicios continuados para la verificación de todas las captaciones comerciales de Nivalco, mediante una (…) y de la calidad de la contratación. Según explica Enérgya-VM, esta medida consistía en lo siguiente: 1.Pasados tres días desde la contratación del suministro, (...) contactaba con los clientes para volver a verificar que la contratación se había realizado correctamente y que el cliente había entendido el producto contratado y, por ende, la modificación de responsable del tratamiento. 2. Si como consecuencia de la llamada de verificación de (...), la contratación no pasaba los requisitos de validación, el contrato de suministro con Enérgya nunca llegaba a entrar en vigor ni se llegaba a activar el cambio de comercializador. Dicho sistema se prolongó hasta el 31 de mayo de 2020. En ese momento, dada la desconfianza que transmitía Nivalco y la notificación el 22 de abril de 2020 de un nuevo requerimiento por parte de la CNMC, Enérgya-VM decidió resolver el contrato con Nivalco. 4.Remisión de varios escritos a Nivalco (el correo electrónico de 13 de septiembre de 2019 y los burofaxes de 10 y 31 de octubre de 2019). En el primero, se ponían de manifiesto las irregularidades puestas en conocimiento de Enérgya-VM por parte de (...) y se indicaba el inicio de la auditoría de (...). En los segundos, se exigía a Nivalco la inmediata subsanación de toda acción que pudiese ser considerada ilícita. El 31 de mayo de 2020 Enérgya-VM decidió resolver la relación contractual con Nivalco. El escrito de alegaciones al acuerdo de inicio contiene varias aclaraciones al respecto. 1. En cuanto a la causa de dicha decisión: destaca la desconfianza que le transmitía Nivalco y la notificación el 22 de abril de 2020 de un segundo bloque de requerimientos por parte de la CNMC, circunstancia mencionada en otras tres ocasiones en dicho apartado. 2. En relación con la afirmación de la AEPD relativa a que a pesar de obtener la confirmación de casos de mala praxis que afectaban a Nivalco, decidió mantener el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/227 acuerdo con dicha empresa: Enérgya-VM destaca que tenía una relación comercial con Nivalco que implicaba obligaciones. Resalta que estuvo de forma continúa investigando los hechos para obtener certeza. 3. En relación con la afirmación de la AEPD relativa a que no consta un análisis de riesgos tras los resultados obtenidos en la auditoría de (...): Enérgya-VM afirma que dicha aseveracion es incongruente con las múltiples acciones llevadas a cabo por su parte. Asimismo, resalta que realizó esfuerzos destinados a contextualizar, identificar, analizar y evaluar las conductas de Nivalco, tal y como indica la Guía de Gestión del riesgo y evaluación de impacto en tratamientos de datos personales de la AEPD. Concluida dicha fase de identificación y análisis no hizo una evaluación de riesgos más exhaustiva, porque optó por resolver el contrato con Nivalco. 4. Por otra parte, destaca numerosas acciones que reflejan un trato individualizado del caso Nivalco (auditoría específica, (...), demanda contra (...), comunicaciones individualizadas, etc). 5. Frente a la afirmación de la AEPD de que la rescisión del contrato con Nivalco se produjo como consecuencia de la crisis provocada por la COVID-19: destaca que la AEPD analiza dicha carta como una comunicación aislada y no tiene en cuenta que Enérgya-VM adoptó la decisión de rescindir el contrato con Nivalco de forma prudente al recibir el segundo bloque de requerimientos de la CNMC a partir del 22 de abril de 2020. 3. Enérgya-VM considera que la calificación de las supuestas conductas cometidas por dicha empresa es errónea e incumple el principio de tipicidad que rige el derecho administrativo sancionador. La parte reclamada estima que la AEPD ha realizado una calificación incorrecta de las conductas de Enérgya-VM, que requiere una retipificación para cumplir con los principios rectores del procedimiento administrativo sancionador. Considera que las supuestas infracciones cometidas por Enérgya-VM supondrían el incumplimiento de las obligaciones derivadas de los artículos 28, 32, 13 y 14 del RGPD (cuya infracción se califica como grave y leve en la LOPDGDD). La parte reclamada afirma que la AEPD opta por subsumir tales infracciones bajo el amplio paraguas de los principios rectores del RGPD (infracción calificada como muy grave por la LOPDGDD). En su opinión, esta calificación de la AEPD, contraviene el principio de tipicidad (artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). Asimismo, menciona el principio de especialidad previsto en el artículo 8 del Código Penal, cuya aplicación al derecho administrativo sancionador es ampliamente aceptada (Sentencia del Tribunal Supremo, Sala de lo Contencioso-Administrativo, número 529/2022, de 4 de mayo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/227 En cuanto a la supuesta infracción del artículo 5.1
  2. a)y 5.2 del RGPD las considera extremadamente genéricas y considera que la motivación que contiene el acuerdo de inicio es, cuanto menos, ambigua. Recuerda que el principio de tipicidad emana del mandato de taxatividad o lex certa, que exige la mayor concreción posible en la imposición de sanciones por parte de la Administración. Enérgya-VM cita jurisprudencia: STS de 15 de noviembre de 1999, STS de 7 de mayo de 1987 y la SAN nº 6640/2022, de 23 de diciembre de 2022. En opinión de Enérgya-VM, no detalla el porqué de la subsunción de los hechos en el artículo 5 del RGPD, cuando dichas conductas deberían ser subsumidas, en todo caso, en otras infracciones de la LOPDGDD. Enérgya-VM considera que no existe una motivación suficiente, pues la AEPD simplemente menciona determinadas conductas supuestamente desarrolladas por dicha empresa para terminar afirmando que le es de aplicación una sanción discrecionalmente determinada por la AEPD. En su opinión, no existe una explicación expresa, razonada y fundada sobre por qué las conductas han de ser subsumidas dentro del tipo sancionador propuesto, toda vez que existen tipos administrativos más adaptados a las supuestas conductas infractoras de Enérgya (infracciones de los artículos 73. f); 73.
  3. k)y 74.
  4. a)de la LOPDGDD). Afirma que en virtud del principio de especialidad, los preceptos infringidos serían los que imponen determinadas obligaciones específicas. Según Enérgya-VM, esta selección omisiva de la norma contraviene frontalmente el principio de tipicidad e implica una vulneración de la seguridad jurídica que requiere el derecho administrativo sancionador (STC 242/2005, de 10 de octubre). La parte reclamada considera notorio que, existiendo normas más ciertas, más específicas y que responden de manera más ajustada a las supuestas infracciones de Enérgya-VM, no era esperable para dicha empresa la aplicación de los tipos infractores del Acuerdo de Inicio. La parte reclamada muestra sorpresa por el hecho de que una brecha de seguridad relacionada con (...), no desemboque en la apertura de un expediente sancionador a (...) o a Nivalco, sino contra Enérgya-VM, empresa mediana que desde entonces lleva sufriendo un alto coste reputacional por estos hechos, perjuicios económicos notables derivados de impagos de clientes finales y extracostes. A continuación, hace referencia a resoluciones de expedientes sancionadores en los que considera que, ante hechos similares, la AEPD ha impuesto sanciones con base en otras infracciones, con una calificación menor, siendo consideradas graves o leves, pero no muy graves (PS/00059/2020, PS/00037/2020). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/227 Enérgya- VM concluye destacando que no se estaría respetando el principio de tipicidad en su vertiente material, lo que conllevaría una vulneración de los derechos del administrado en el procedimiento sancionador. 4. Clara prescripción de las acciones en la que correspondería subsumir las supuestas conductas de Enérgya a la fecha de incoación del presente Procedimiento. Según Enérgya-VM, el motivo por el que aparentemente la AEPD ha decidido subsumir las conductas imputadas a Enérgya-VM en la infracción de los artículos 5.1a) y 5.2 del RGPD y no en los preceptos específicos antes citados, es que las acciones u omisiones tipificadas en los artículos 73 f), 73
  5. k)y 74
  6. a)de la LOPDGDD prescriben a los dos años (las dos primeras) y al año (la tercera). El contrato entre Enérgya-VM y Nivalco se rescindió con fecha de efectos de 1 de julio de 2020. En consecuencia, dichas acciones habrían prescrito. La parte reclamada afirma que la AEPD habría dejado transcurrir el plazo máximo legal para exigir responsabilidades a Enérgya-VM (periodo de dos años). Asimismo, considera que el procedimiento sancionador atentaría contra los principios constitucionales de seguridad jurídica (artículo 9.3 de la Constitución) y de eficacia de la Administración Públicas (artículo 103.1 de la Constitución). 5. La parte reclamada estima que se ha producido una vulneración del principio de proporcionalidad. 5.1. Principio de proporcionalidad Enérgya-VM destaca que el principio de proporcionalidad implica que la imposición de sanciones por las Administraciones Públicas deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada. Se ha configurado como un principio general y esencial del derecho administrativo sancionador que supone un límite a la potestad sancionadora de la propia Administración Pública. 5.2. Principio de proporcionalidad en materia de protección de datos: En materia de protección de datos, el principio de proporcionalidad se consagra en el artículo 83 del RGPD, así como en el artículo 76 de la LOPDGDD (relativo a las sanciones y medidas correctivas). A continuación, la parte reclamada hace referencia al considerando 129 del RGPD y a la Sentencia de la Audiencia Nacional 6640/2022 de 23 de diciembre de 2022. Según Enérgya-VM la citada Sentencia destaca que el respeto al considerando 129 se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/227 materializa atendiendo a los principios de la potestad sancionadora de la Administración Enérgya-VM destaca que las supuestas conductas infractoras son aisladas. Los hechos enjuiciados son absolutamente aislados y tienen un origen muy concreto: Nivalco. La parte reclamada considera que en ningún caso están relacionadas con los procesos o políticas de su empresa. 5.3. Resultados financieros de Enérgya-VM (EBITDA): Considera flagrante la desproporción de la sanción, habida cuenta de los resultados financieros de Enérgya-VM durante los últimos cuatro ejercicios. En este sentido, hace referencia al EBITDA que, en su opinión, muestra la imagen más fiel de las pérdidas o ganancias de la sociedad. Refleja en una tabla el EBITDA correspondiente a los años 2019, 2020, 2021 y 2022. Resalta que la sanción propuesta es superior al mayor de los EBITDAs obtenido por la sociedad en estos cuatro años y que el EBITDA de Enérgya-VM de los dos últimos ejercicios ha sido negativo. 5.4. Precedentes en el ámbito bancario o de telecomunicaciones: Posteriormente cita diversos precedentes (PS/00070/2019, PS/00477/2019, PS/00059/2020) de sanciones impuestas por la AEPD a empresas bancarias o de telecomunicaciones, al objeto de ilustrar la flagrante desproporción que implica la sanción a Enérgya en comparación con sanciones anteriores impuestas por la AEPD, incluyendo en sus alegaciones al acuerdo de inicio una tabla que incluye importe de sanción, cifra de negocios del ejercicio anterior a la sanción, número de empleados durante el ejercicio anterior a la sanción, EBITDA del ejercicio anterior y proporción de la sanción sobre el EBITDA. Énergya-VM considera que dicha tabla reflejaría la desproporción tanto en cuanto al EBITDA, ya que según sus cálculos la sanción representaría un 225,93% del EBITDA, como en cuanto a la cifra de empleados. 5.5. Particularidades del mercado de suministro de energía y precedentes de sanciones en dicho mercado: A continuación, hace referencia a las particularidades del mercado de suministro de energía y gas y en concreto de Enérgya-VM: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/227  Los márgenes netos sobre la cifra de negocios se ven notablemente aminorados por los costes de explotación y captación.  La parte reclamada destaca que no genera energía eléctrica o gas, sino que actúa como intermediario dentro de la cadena de suministro.  Afirma ser un prestador de servicios de última milla que debe hacer frente al pago de grandes cantidades en concepto de servicios prestados por terceros.  Afirma que los volúmenes de negocio cuantiosos, no son representativos de la capacidad real de pago de dicha empresa. La parte reclamada analiza sanciones de la AEPD en el sector de la comercialización de la energía destacando que se trata de sanciones inferiores a las que pueden darse en otros sectores (telecomunicaciones o bancario), donde los ratios de cifra de negocios/EBITDA son mucho más elevados. A estos efectos menciona las resoluciones de tres procedimientos sancionadores (PS/00025/2019, PS/00232/2020 y PS/00153/2018). 5.6. Posibles efectos irreparables para Enérgya-VM derivados de la sanción: Enérgya-VM afirma que la sanción propuesta puede ocasionar efectos irreparables, en la medida que conllevaría (…) que impediría su continuidad habitual en el tráfico mercantil. Cita una Sentencia y tres Autos en los que el Tribunal Supremo valora la capacidad y posición económica del infractor a la hora de graduar las sanciones a imponer (Sentencia del Tribunal Supremo de 5 de noviembre de 1981, Autos del Tribunal Supremo de 6 de marzo de 2014 en los recursos 487/2013 y 1571/2013, así como el Auto del Tribunal Supremo de 6 de marzo de 2014 del recurso 487/2013). 6. Enérgya-VM cuestiona la graduación de la sanción: La parte reclamada argumenta que pretende arrojar luz sobre la flagrante desproporción de la sanción, para ello parte la calificación que considera correcta y de que las supuestas infracciones de los artículos 73
  7. f)y
  8. k)y del artículo 74
  9. a)de la LOPDGDD, estarían prescritas. En cualquier caso, los importes de las sanciones deberían respetar los tramos previstos en el artículo 78 de la LOPDGDD. Concluye afirmando que respetando dichos tramos la sanción máxima ascendería a 640.000 euros. A continuación, enumera diversas circunstancias atenuantes que entiende aplicables en su caso: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/227 1. El grado de cooperación con la AEPD (artículo 83.2 f del RGPD). 2. No haberse visto afectadas categorías de datos especialmente protegidos (artículo 83.2
  10. g)del RGPD). 3. Los hechos no han tenido carácter continuado en el tiempo, sino una duración limitada (artículo 83.2
  11. a)del RGPD y 76.2
  12. a)de la LOPDGDD). 4.La parte reclamada ha adoptado medidas para paliar los daños y perjuicios sufridos por los interesados (artículo 83.2
  13. c)del RGPD). 5.Enérgya-VM no ha cometido ninguna infracción anterior de la misma naturaleza (artículo 83.2
  14. e)del RGPD). 6.No ha habido intencionalidad (artículo 83.2
  15. b)del RGPD). 7.No se han visto afectados derechos de menores (artículo 76. 2
  16. f)del RGPD). Concluye poniendo de manifiesto la falta de motivación por parte de la AEPD, al considerar que la Agencia no ha desarrollado o motivado las causas por las que ha obviado dichas atenuantes. Enérgya-VM solicita el inmediato archivo del expediente sancionador por ausencia de incumplimiento de la normativa en materia de protección de datos. Alternativamente, la inmediata recalificación de las infracciones en los preceptos que correspondería (artículos 73 f); 73
  17. k)y 74
  18. a)de la LOPDGDD) y, en consecuencia, el inmediato archivo del expediente sancionador por prescripción. Subdiariamente, la desestimación de una de las multas propuestas, al considerar que los hechos descritos para determinar la infracción del artículo 5.2 del RGPD son los mismos que los descritos para determinar la infracción del artículo 5.1
  19. a)del RGPD, dado que únicamente podría sancionarse una vez por los mismos hechos. OCTAVO: PERIODO DE PRÁCTICA DE PRUEBA Con fecha 9 de octubre de 2023 se acuerda abrir un periodo de práctica de prueba. Se acuerda, asimismo: -Dar por reproducidos a efectos probatorios los documentos y grabaciones obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. Así como la comunicación de la Dirección General de la Dirección General de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/227 Policía de 13 de mayo de 2022, los informes de la Dirección General de la Policía (CGPJ) de 12 de mayo de 2022, 25 de octubre de 2022 y 6 de febrero de 2023, mencionados en el hecho primero del acuerdo de inicio, el informe de auditoría realizado por (...) de 28 de noviembre de 2019 y el escrito de 8 de noviembre de 2019 elaborado por Enérgya-VM en respuesta a una solicitud de información de la Dirección General de la Policía (CGPJ). -Dar por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por ENERGYA VM GESTIÓN DE ENERGÍA, S.L., y la documentación que a ellas acompaña. Se practican las siguientes diligencias de prueba: a. Ante la reclamada: Práctica de prueba I: 1.En el mismo escrito de fecha 9 de octubre de 2023 se requiere a Enérgya-VM para que, en un plazo de (…), aporte la información o documentación sobre las siguientes cuestiones: A. El documento número 5 al que hace referencia su escrito de alegaciones al acuerdo de inicio de fecha 7 de junio de 2023 (respuesta de Enérgya-VM al burofax de (...) de 10 de septiembre de 2019, enviada a dicha empresa el día 18 de septiembre de 2019). En los documentos que acompañan al escrito de alegaciones al acuerdo de inicio, esta Agencia ha recibido el documento número 3 dos veces. B. Aclarar si (...) dirigió a Enérgya-VM más comunicaciones escritas, además del documento número 3 que acompaña a su escrito de alegaciones al acuerdo de inicio (Burofax de (...) de fecha 10 de septiembre de 2019), relativas a las llamadas telefónicas efectuadas a clientes de (...) para contratar los servicios de electricidad utilizando argumentos confusos, inexactos y/o irreales. En caso afirmativo, aportar dichas comunicaciones y la contestación a las mismas por parte de Enérgya-VM. C. El correo electrónico enviado por el Sr. A.A.A. a Nivalco el día 10 de septiembre de 2019, al que se hace referencia en el documento número 7 que acompaña a su escrito de alegaciones al acuerdo de inicio (burofax enviado por Enérgya-VM a Nivalco el 10 de octubre de 2019). D. Escrito de denuncia por los presuntos (...) presentada ante el Juzgado de (...), el día 10 de octubre de 2019, contra (...), al que hacer referencia el punto 34 de su escrito de alegaciones al acuerdo de inicio. E. Burofax enviado por Nivalco a Enérgya-VM el día 21 de octubre de 2019, al que hace referencia el documento número 8, que acompaña al escrito de alegaciones al acuerdo de inicio (burofax de Enérgya-VM a Nivalco de 31 de octubre de 2019). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/227 F. Contrato de servicios celebrado entre Enérgya-VM y (...) al objeto de que esta última realizase una verificación de las contrataciones realizadas por el canal de venta externa NIVALCO SOLUCIONES COMERCIALES S.L, mencionado en el documento número 12 que acompaña al escrito de alegaciones al acuerdo de inicio (certificado sobre prestación de servicios de (...) de fecha 23 de mayo de 2023). G. En relación con las grabaciones de voz de los procesos de contratación realizadas por el canal de venta externa NIVALCO SOLUCIONES COMERCIALES S.L, indicar si dicho promotor enviaba a Enérgya-VM las mencionadas grabaciones de voz. En caso afirmativo, aclarar si remitía todas las grabaciones y especificar la frecuencia con la que dichas grabaciones eran enviadas a Enérgya-VM. H. En el documento número 4, que acompaña al escrito de alegaciones al acuerdo de inicio (correo electrónico enviado por Enérgya-VM a Nivalco el día 13 de septiembre de 2019) se indica: “Las irregularidades hacen referencia al modo de presentarse, ya que lo hacen como operadores de (...) u ofreciendo descuentos de (...). Adicionalmente en los datos con los que se contaban en la contratación se disponía ya de la cuenta bancaria, sin que nosotros os hayamos proporcionado dicho dato como sabes perfectamente ya que nosotros solo os aportamos razón social/nombre/teléfono de contacto. (…) En este sentido tras consultarlo con nuestra Asesoría Jurídica, os reiteramos la necesidad de: Aclarar si esta práctica es algo habitual en vuestra forma de trabajar. Asumiendo que lo anterior no es posible ya que generaría una decisión de terminación de servicios inmediata por nuestra parte, hagáis con urgencia una investigación para identificar a los operadores y/o coordinador que estén promoviendo o incurriendo en estas prácticas intolerables.” (el subrayado es nuestro). Asimismo, en el documento número 7 (burofax enviado por Enérgya-VM a Nivalco de fecha 10 de octubre de 2019), aportado junto al escrito de alegaciones al acuerdo de inicio se destaca: “Y bajo dicha premisa y atendiendo a los protocolos internos de contratación de Enérgya-VM, los códigos de conducta y los términos contractuales de nuestra relación mercantil, les INSTAMOS A QUE: 1) Realicen inmediatamente una exhaustiva investigación interna respecto de las prácticas de sus operadores para discernir si es una práctica orquestada o fomentada por sus coordinadores de equipos, o aislada de dichos operadores, informándonos del resultado de la misma.” (el subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/227 En relación con los dos extractos que acaban de ser reproducidos, indicar en qué consistió el seguimiento efectuado por Enérgya-VM. Aportar acreditación documental de la realización de dicho seguimiento, así como de los escritos, informes u otra documentación relativos a esta cuestión, enviados por Nivalco a Enérgya-VM. I. Certificado, fechado y firmado, en el que se acredite la implantación de cualquier otra medida técnica u organizativa que hubiera adoptado Enérgya-VM en relación con las contrataciones realizadas por el canal de venta externa NIVALCO SOLUCIONES COMERCIALES S.L en el que se especifique la fecha de implantación. J. Análisis de riesgos para los derechos y libertades de los interesados, fechado y firmado, que, en su caso, hubiere realizado Enérgya-VM en relación con la participación de encargados del tratamiento en el proceso de contratación. 2. Con fecha 16 de octubre de 2023 se recibió una solicitud de Enérgya-VM de ampliación del plazo conferido para la práctica de la prueba I, concediéndose la ampliación de plazo solicitada. 3. El día 31 de octubre de 2023 se recibió un escrito de Enérgya-VM en respuesta a la solicitud de prueba de 9 de octubre de 2023, acompañado de diversa documentación. b. Ante la empresa (...). Práctica de prueba II: 1. Examinado el certificado expedido por (...). de fecha 23 de mayo de 2023, aportado por Enérgya-VM junto a su escrito de alegaciones al acuerdo de inicio, se observa que en el referido certificado se indica lo siguiente: “5. En el periodo objeto de servicio fueron realizadas (…) llamadas de las cuales (…) en la explicación del producto a contratar.” (el subrayado es de la AEPD). 2.Con fecha 13 de octubre de 2023 se requiere a (...). para que, en un plazo de (…), remita a esta Agencia un certificado elaborado por dicha empresa relativo a esas (…) llamadas (…), a las que hace referencia el párrafo del certificado de fecha 23 de mayo de 2023 que acaba de ser reproducido, en el que se detalle, para el periodo de tiempo en el que estuvo vigente el contrato de servicios entre Enérgya-VM y dicha empresa (desde el 23 de septiembre de 2019 hasta el 31 de mayo de 2020), (…) detectadas cada mes. 3. El día 31 de octubre de 2023 se recibió un escrito de (...) en respuesta a la solicitud de prueba de 13 de octubre de 2023, aportando el certificado solicitado. Práctica de prueba III: 1. Examinado el certificado expedido por (...). de fecha 25 de octubre de 2023, aportado con motivo de la práctica de prueba II, en el que se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/227 “Los (…)” 2. Con fecha 3 de noviembre de 2023 se requiere a (...). para que, en un plazo de (…), remita a la AEPD un certificado elaborado por dicha empresa relativo a las llamadas (…) para el periodo comprendido entre el (…). En dicho certificado se incluirá la siguiente información: 1. Especificar todas las (…). 2. Indicar, para cada uno de los 10 meses, el número de llamadas incluidas en cada una de las (…) que reflejaban el motivo por el que no se daba por válida la contratación (…). 3.Indicar la frecuencia con la que (...) comunicaba a Enérgya-VM los datos obtenidos (…). 3. El día 13 de noviembre de 2023 se recibió un escrito de (...). en respuesta a la solicitud de prueba de 3 de noviembre de 2023, aportando el certificado solicitado. NOVENO: PROPUESTA DE RESOLUCIÓN, RECTIFICACIÓN DE ERROR MATERIAL Y AMPLIACIÓN DE PLAZO Con fecha 29 de diciembre de 2023 se formuló propuesta de resolución, que fue notificada a la parte reclamada el día 1 de enero de 2024 conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). El 4 de enero de 2024 Enérgya-VM presentó un escrito por el que solicitaba aclaración de la suma a la que ascendía la multa relativa al EXP202304117, que el plazo de alegaciones a la propuesta de resolución, iniciado el 2 de enero de 2024, no empezara a contar hasta el momento en el que la AEPD hubiera notificado a esa empresa la cuantía a la que ascendía la propuesta de sanción, así como una ampliación del plazo de cinco días hábiles adicionales para formular alegaciones. Examinado el contenido de la propuesta de resolución, se advirtió la existencia de un error material, dado que, en una parte de la propuesta, existía una discrepancia entre el importe de la sanción expresado de forma numérica y el importe de la sanción reflejado en letra, procediéndose a dictar el 10 de enero de 2024 un acuerdo rectificando dicho error material, indicando que no procedía volver a iniciar el cómputo del plazo para formular alegaciones a la propuesta de resolución y concediendo la ampliación de plazo de 5 días hábiles solicitada. DÉCIMO: ALEGACIONES A LA PROPUESTA DE RESOLUCIÓN Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones a la propuesta de resolución el de enero de 2024, en el que, en síntesis, manifesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/227 1. SUPUESTO ERROR RELATIVO AL ROL DE ENÉRGYA-VM RESPONSABLE DE LOS TRATAMIENTOS QUE REALIZA NIVALCO. COMO Enérgya-VM defiende que no era responsable de los tratamientos de datos realizados por Nivalco de forma previa a la incorporación de los datos de los nuevos clientes a su Base de Datos. En opinión de la parte reclamada, hasta ese momento, Nivalco era el único responsable del tratamiento. La parte reclamada estima que, ni el hecho de que existiese un contrato entre Enérgya-VM y Nivalco, ni el hecho de que Nivalco realizase la campaña para EnérgyaVM, ni el hecho de que Enérgya-VM diese indicaciones sobre dicha campaña ((...)) a Nivalco, sirven para determinar que Enérgya-VM fuera responsable del tratamiento. Reitera las alegaciones relativas al art. 46 RLOPD, que, según defiende, prevé que únicamente quien establece los parámetros identificativos de la campaña pueda ser considerado responsable, lo que llevaría a concluir que Nivalco era el responsable del tratamiento. Destaca que la AEPD obvia que el Acuerdo de Promoción con Nivalco era en régimen de no exclusiva y la Base de Datos de Nivalco fue empleada por dicha entidad para ofrecer servicios a otras empresas comercializadoras, entre ellas (...). 2. SUPUESTA MUTACIÓN DEL ROL DE NIVALCO DE ENCARGADO A RESPONSABLE DESDE EL MOMENTO EN QUE SE APARTÓ DE LAS INSTRUCCIONES DE ENÉRGYA-VM Y TRATÓ LOS DATOS PARA FINES PROPIOS Enérgya-VM alega, que aún en el supuesto de que se entendiera que Nivalco era encargado del tratamiento respecto a todos los tratamientos que se llevaban a cabo en el marco del Acuerdo de promoción, dicha condición de encargado habría mutado a la de responsable del tratamiento, en el momento en el que Nivalco realizó tratamientos de datos apartándose de las instrucciones de Enérgya-VM y para fines propios. 3. CONSECUENCIAS INMEDIATAS DE CONSIDERAR A NIVALCO COMO RESPONSABLE DE LOS TRATAMIENTOS LLEVADOS A CABO EN LA PRIMERA FASE DE CAPTACIÓN Enérgya-VM afirma que todas las actuaciones presuntamente llevadas a cabo por Nivalco consistentes en engañar a las personas que contactaba, serían únicamente atribuibles a Nivalco y en ningún caso a Enérgya-VM. Estima que la “totalidad” de la vulneración del artículo violación del art. 5.1.
  20. a)del RGPD), que se imputa a EnérgyaVM, descansa en el engaño realizado por Nivalco, como responsable independiente. Resalta que Enérgya-VM está viendo menoscabada su reputación como consecuencia de este Procedimiento sancionador, que deriva de la incorrecta y gravísima actuación de su promotor Nivalco, de la cual no participa Enérgya-VM, que afirma ser una víctima más de Nivalco. 4. REFERENCIA A SUPUESTOS QUE ENÉRGYA-VM CONSIDERA IDÉNTICOS AL TRATADO EN EL PROCEDIMIENTO SANCIONADOR DONDE LA AEPD HA CONSIDERADO QUE EL PROMOTOR ERA RESPONSABLE DEL TRATAMIENTO. SUPUESTA VULNERACIÓN DEL PRINCIPIO DE “INTERDICCIÓN DE LA ARBITRARIEDAD” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/227 Enérgya-VM destaca dos precedentes (PS/00375/20213 y Resolución NºEXP202103411), que considera idénticos, en los que la AEPD consideró responsable del tratamiento al promotor y no a la empresa energética. En su opinión, la AEPD se ha apartado completamente de dichos precedentes, lo que supondría una vulneración del principio de “interdicción de la arbitrariedad” (artículo 9.3 de la Constitución Española). 5. SUPUESTA FALTA DE CONCURRENCIA DE REQUISITOS PARA SANCIONAR A ENÉRGYA-VM POR LA PRESUNTA INFRACCIÓN DEL ART. 5.1.A) RGPD En opinión de Enérgya-VM, yerra la AEPD al mencionar el (...) como un elemento de la supuesta infracción del deber de licitud, lealtad y transparencia, al no haber sido utilizado con ninguno de los interesados afectados por el supuesto engaño. Estima que, al no poder acreditar que fuese utilizado, debería desaparecer cualquier referencia a dicho documento a efectos de tipicidad, al no ocasionar ningún daño a ningún bien jurídico protegido. Estima la parte reclamada que al desaparecer el (…) como elemento de la tipicidad del art. 5.1.
  21. a)del RGPD, queda patente que quien, en su caso, engañó y faltó al principio de licitud, lealtad y transparencia fue Nivalco y no Enérgya-VM. En relación con el (…) encargado a un tercero, Enérgya-VM manifiesta su sorpresa al considerar que la AEPD ignora el exhaustivo seguimiento realizado por Enérgya-VM, lo cual, en su opinión, supone una evidencia del escrupuloso cumplimiento de la normativa de protección de datos por la parte reclamada. Dicho sistema permitió detectar más de (…) contrataciones incorrectas. En opinión de Enérgya-VM, la AEPD ignora dicho sistema como medida efectiva para controlar el cumplimiento de la normativa de protección de datos, lo que supondría una contradicción con el propio principio de responsabilidad proactiva, así como con el asentado criterio de la Agencia, que ha validado en múltiples ocasiones la implementación de medidas de verificación como evidencia del cumplimiento de la normativa de protección de datos. Asimismo, destaca que la implantación de controles de revisión del consentimiento ha sido valorado como “mejor práctica” por la CNMC. Enérgya-VM estima que la falta de vigilancia o de medidas suficientes deberían, en su caso, subsumirse en la supuesta infracción del artículo 5.2 del RGPD. 6. ENÉRGYA-VM CONSIDERA QUE EXISTE UN CONCURSO DE INFRACCIONES: APLICACIÓN DEL PRINCIPIO DE SUBSUNCIÓN O CONCURSO MEDIAL Enérgya-VM afirma que en este caso concurría un concurso medial, aplicado por la AEPD en ocasiones similares (PS/00240/2019). En consecuencia, estima que, en su caso, solo cabría sancionar a la parte reclamada por la infracción del art. 5.2 del RGPD. 7. SUPUESTO INCUMPLIMIENTO DE LOS PRINCIPIOS DE ESPECIALIDAD / TIPICIDAD Y PRESCRIPCIÓN Enérgya-VM considera que la AEPD incumple los principios de tipicidad y especialidad de normas. En opinión de la parte reclamada, los preceptos supuestamente infringidos serían los que imponen determinadas obligaciones específicas (artículos 12, 13, 24, 32.1 y 28.3 RGPD), y no los artículos 5.1.
  22. a)y 5.2 RGPD. Dicha circunstancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/227 implicaría, según Enérgya-VM, que las infracciones supuestamente cometidas serían las tipificadas por las letras
  23. f)y
  24. k)del artículo 73 y letra
  25. a)del art. 74 de la LOPGDGDD, que se refieren al incumplimiento de dichas obligaciones específicas. Insiste en que todas las supuestas conductas sancionables estarían ya prescritas. 8. SUPUESTA FALTA DE PROPORCIONALIDAD DE LAS SANCIONES: LA PARTE RECLAMADA QUE CONSIDERA INCORRECTA LA APLICACIÓN DE FACTORES AGRAVANTES Y ATENUANTES 8.1. Enérgya-VM afirma que la AEPD ha ignorado como factor atenuante que Enérgya jamás había sido sancionada por la AEPD ni había sido denunciada por los clientes supuestamente afectados, insiste en que la empresa (...) ha sido objeto de sanciones progresivas por motivos similares. 8.2. Dado que la AEPD mencionaba en la propuesta el (...). En consecuencia, considera que, tras sus alegaciones, debería reducirse el importe de la sanción. 8.3. La parte reclamada considera incumplido el principio de interdicción del non bis in idem. En su opinión, a los mismos hechos se les atribuye una infracción (art. 5.2 del RGPD), que castiga una supuesta negligencia, y además se aplica un agravante por negligencia grave. 8.4. Enérgya-VM entiende que concurre el atenuante previsto en el artículo 83.2
  26. k)del RGPD. Al entender que la AEPD no puede obviar que el supuesto incumplimiento derivaría de un delito denunciado por la parte reclamada. Cita una Resolución de la AEPD en la que se consideró el comportamiento doloso de un tercero como atenuante. 8.5. La parte reclamada alega que, lejos de haber tenido holgados beneficios a raíz de su relación comercial con Nivalco, ha sufrido perjuicios tanto económicos como reputacionales, circunstancia no habría sido, en su opinión, tenida debidamente en cuenta por parte de la AEPD. 9. SUPUESTA INFRACCIÓN DEL PRINCIPIO DE CONTRADICCIÓN Enérgya-VM considera que las evidencias relativas al (…) se habrían obtenido por la AEPD vulnerando el principio de contradicción, ya que no se notificaron a Enérgya-VM como investigado, afirmando que no se le habría dado oportunidad de alegar lo que a su derecho conviniera en dicho momento, o de haberle permitido ser consciente siquiera de la existencia de dichas pruebas supuestamente incriminatorias, en infracción del art. 24 de la CE. La parte reclamada estima que concurriría una causa de nulidad de pleno derecho del acto administrativo (artículo 47.1.
  27. a)de la LPACAP). 10. SUPUESTA INCONSTITUCIONALIDAD DEL RÉGIMEN SANCIONADOR DE LA LOPDGDD La parte reclamada opina que dicho régimen adolece de la falta de concreción sancionadora exigida en nuestro sistema jurídico (la amplitud de las horquillas establecidas por el artículo 83 RGPD deja un margen de discrecional excesivo a la AEPD. Considera inconstitucional la falta de previsibilidad de las sanciones). Enérgya-VM afirma que la LOPDGDD debió establecer horquillas de multas, aunque fueran mínimas, de la misma manera que previó un régimen de prescripción no previsto en el RGPD. Al no hacerlo, la parte reclamada estima que se convirtió en algo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/227 incompatible con la Constitución Española y, por lo tanto, en una norma inválida en nuestro ordenamiento. En opinión de la parte reclamada, dicho régimen atentaría contra el principio de tipicidad, básico en el sistema sancionador administrativo, que es concreción del principio de legalidad en su vertiente material (artículo 25.1 de la Constitución Española) y que se encuentra profundamente relacionado con la seguridad jurídica (artículo 9.3 de la Constitución Española). Posteriormente, Enérgya-VM se remite a las alegaciones formuladas al acuerdo de inicio y solicita que las alegaciones rechazadas sean motivadas individualmente. La parte reclamada concluye su escrito de alegaciones a la propuesta de resolución, solicitando el archivo del expediente sancionador en su totalidad. Alternativamente, que se recalifiquen las infracciones en los preceptos indicados por la parte reclamada en sus escritos de alegaciones al acuerdo de inicio y a la propuesta de resolución, archivando el expediente a causa de la prescripción de dichas infracciones. Subsidiariamente, que se desestime la supuesta infracción del artículo 5.1
  28. a)del RGPD, ya que Enérgya-VM entiende que no se habría acreditado la realización por su parte de ninguna de las actividades que componen el tipo infractor. Subsidiariamente, la desestimación de la sanción propuesta por la AEPD en relación con la supuesta infracción del art. 5.1.
  29. a)RGPD, por aplicación de la doctrina del concurso medial. Asimismo, la parte reclamada solicita la reducción sustancial del importe de las sanciones propuestas por la AEPD a una cantidad a determinar por la Agencia, que, en su opinión, no debería superar los 1.500.000€ por infracción. Finalmente, solicita que se tenga por realizada la alegación relativa a la inconstitucionalidad del régimen sancionador de la LOPDGDD en relación con el RGPD, a los efectos de que la AEPD pueda interpretar o intentar encajar el régimen sancionador del RGPD y la LOPDGDD en los principios de seguridad jurídica, tipicidad y taxatividad de la CE, así como a cualquier otro efecto que proceda, entre otros, con posibilidad de hacer uso de esta alegación a la hora de interponer recursos. UNDÉCIMO: INFORME DE AXESOR De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ENERGYA VM GESTIÓN DE ENERGÍA S.L. es una gran empresa constituida en el año 2002, y con un volumen de negocios de (...) euros en el año 2021. En el año 2022 se ha producido un incremento de dicho volumen de negocio, que en la referida fecha, según datos de AXESOR asciende a (...) euros. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/227 HECHOS PROBADOS A los efectos de facilitar la lectura de los hechos probados consignados en la resolución indicaremos que:  Del hecho probado primero al hecho probado noveno se consignan los hechos probados referidos a cómo (...) comunica a Enérgya-VM que sus clientes están recibiendo llamadas telefónicas para contratar la electricidad con Enérgya-VM con argumentos confusos, inexactos y/o irreales.  Del hecho probado décimo al hecho probado decimocuarto se consignan los hechos probados relativos a la investigación realizada por la Policía (…), cuyos resultados se reflejan en los informes de la Dirección General de la Policía (CGPJ) de 12 de mayo de 2022, 25 de octubre de 2022 y 6 de febrero de 2023.  Del hecho probado decimoquinto al hecho probado vigésimo sexto se consignan los hechos probados relativos a la relación contractual entre Enérgya-VM y Nivalco: Enérgya-VM era responsable del tratamiento y Nivalco el encargado del tratamiento.  Del hecho probado vigésimo séptimo al hecho probado quincuagésimo primero se consignan los hechos probados relativos a la auditoría y el (…) encomendados a (...).  Del hecho probado quincuagésimo segundo al hecho probado quincuagésimo tercero se consignan los hechos probados relativos al (…) elaborado por Enérgya-VM.  Del hecho probado quincuagésimo cuarto al hecho probado quincuagésimo quinto se consignan los hechos probados que acreditan que Enérgya-VM no realizó un análisis de riesgos relativo a Nivalco.  Del hecho probado quincuagésimo sexto al hecho probado quincuagésimo noveno se consignan los hechos probados relativos a la ausencia de un control continuado y exhaustivo de las grabaciones de voz del proceso de contratación aportadas por Nivalco a Enérgya-VM.  El hecho probado sexagésimo sobre la documentación relativa a la contratación de 30 puntos de suministro relacionadas con el Canal Nivalco, aportada por la CNMC.  Los hechos probados sexagésimo primero y segundo consignan los hechos probados relativos a las (…) reclamaciones relacionadas con el Canal Nivalco aportadas por Enérgya-VM en contestación a un requerimiento del Inspector. PRIMERO: El 9 de septiembre de 2019 (...) informó a Enérgya-VM de que se había contactado telefónicamente con un cliente de (...) y se le había ofrecido un contrato con EnérgyaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/227 VM, dándose a entender en la conversación, que se trataba de una empresa del Grupo (...). Así se refleja en el burofax enviado el 18 de septiembre de 2019 por Enérgya-VM a (...): (…) SEGUNDO: El 10 de septiembre de 2019 (...) remitió a Enérgya-VM un burofax por el que le comunicaba que clientes de (...) habían recibido llamadas telefónicas para contratar los servicios de electricidad con Enérgya-VM con argumentos confusos, inexactos o irreales. En dicho burofax:    Se indicaba que las personas que contactaban con dichos clientes decían hacerlo en nombre de (...), generando confianza en el cliente, al transmitir la plena disponibilidad de sus datos de carácter personal (nombre, puntos de suministro, DNI, teléfono e incluso cuenta bancaria). Se requería a Enérgya-VM el cese inmediato de cualquier actividad comercial de dicho tipo, así como el envío de un informe detallado sobre los medios y manera en la que habían obtenido los datos de carácter personal. Se amenazaba a Enérgya-VM con ejercitar acciones para defender los derechos de (...) y los de sus clientes ante autoridades judiciales, de competencia y/o protección de datos. Se reproduce el contenido del Burofax de (...) de 10 de septiembre de 2019: “En Madrid, a 10 de septiembre de 2019 Re: Acciones sobre clientes de (...) (…): (...) (…). (…). (…). (…), (…)” TERCERO: El 10 de septiembre de 2019 se celebró una reunión entre (...) y Enérgya-VM relacionada con las llamadas telefónicas recibidas por clientes de (...) a las que hacía referencia el burofax de (...) de esa misma fecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/227 Así se refleja en un correo electrónico enviado el 10 de septiembre de 2019 a las 18:29 por D. B.B.B. a un empleado de (...). El nombre del asunto es “RE: Burofax (...)EVM” “(…), (…). CUARTO: (…). (..): (…). QUINTO: El 2 de octubre de 2019 (...) envió a Enérgya-VM un burofax, con copia a la Comisión Nacional de los Mercados y la Competencia (CNMC), en el que comunicaba que:      Clientes de (...), que habían denunciado haber sido captados irregularmente por Enérga-VM y que querían volver a ser contratados por (...), habían recibido una comunicación de Enérgya-VM advirtiéndoles de la aplicación de penalizaciones si cambiaban de compañía comercializadora. Reiteraban el cese inmediato de cualquier actividad comercial constitutiva de competencia desleal, directamente o a través de terceros, con argumentos falsos, induciendo a confusión y aprovechando la imagen y marca de (...). Asimismo, instaban a Enérgya-VM a cesar inmediatamente en la remisión de las comunicaciones advirtiendo la aplicación de penalizaciones, al considerar que podrían ser constitutivas de infracciones sobre el derecho de la competencia. Recordaban que estaban a la espera de un informe detallado sobre los medios y la manera en la que se habían realizado las acciones comerciales que habían permitido las captaciones irregulares de clientes de (...). Volvían a amenazar con iniciar acciones ante las autoridades judiciales, de competencia y/o de protección de datos. Se reproduce el contenido de dicho burofax: “En Madrid, a 2 de octubre de 2019 Re: Acciones sobre clientes de (...)/ Penalizaciones (…): (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/227 (…). (…), (…). SEXTO: El 10 de octubre de 2019 Enérgya-VM presentó una denuncia por los presuntos delitos (...) en el Juzgado de (...) contra (...) de Nivalco. En este sentido, en el escrito de alegaciones al acuerdo de inicio de 7 de junio de 2020, Enérgya-VM indica: “34. Durante la fase de auditoría, Enérgya interpuso una denuncia por los presuntosdelitos (...) frente al Juzgado de (...), el día 10 de octubre de 2019, contra (...).” (el subrayado es nuestro). SÉPTIMO: A fecha 10 de octubre de 2019, Enérgya-VM tenía conocimiento de:   Que al menos (...) habían contactado con clientes potenciales de Enérgya-VM a través de llamadas telefónicas (…). El modus operandi que utilizaban los (...) denunciados. En esa misma fecha, Enérgya-VM reconoce ignorar si los (...) denunciados habían actuado auspiciados por Nivalco o no. En el fundamento de derecho tercero del escrito de denuncia (…), presentado por Enérgya-VM en el Juzgado (…) el 10 de octubre de 2019 se indica: “Tercero.- (…). (…):  (…);  (…);  (…). (…). OCTAVO: Enérgya-VM sabía que Nivalco no había despedido a los (...). En este sentido, en un burofax de 21 de octubre de 2019 enviado por Nivalco a Enérgya-VM (documento 10, aportado por Enérgya-VM en fase de práctica de prueba) se comunican una serie de medidas adoptadas por Nivalco: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/227 “4. Baja de la campaña VM de aquellos operadores que han cometido malas prácticas.” Asimismo, en el burofax de 31 de octubre de 2019, enviado por Enérgya-VM a Nivalco, se indica: “(…).” NOVENO: El 18 de octubre de 2019 (...) remitió a Enérgya-VM un nuevo burofax, titulado “Acciones sobre clientes de (...)”, en el que se indica lo siguiente:     (…). (…). (…). (…). (…): (…) (…): 1.- (…). 2.- (…). (…). (…) DÉCIMO: En septiembre de 2019 la Policía inició una investigación que puso de manifiesto (…). En relación con esta cuestión, en el informe de la Dirección General de la Policía (CGPJ) de 12 de mayo de 2022 (en el que se refiere a Enérgya-VM como la comercializadora VILLAR MIR ENERGIA) se indica: “(…). (…)”. Asimismo, en el informe de la Dirección General de la Policía (CGPJ) de 25 de octubre de 2022 se indica: “(…)”. (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/227 (…). UNDÉCIMO: La Policía expone el modus operandi empleado por las “fuerzas de venta” (también denominadas “task forces”, entre las que se encontraba Nivalco). Conforme a dicho modus operandi descubierto por la Policía:       (…). (…). (…). (…). (…). (…). (…): “1º- (…). 2º-(…). 3º-(…). 4º-(…). 4º-(…). 5º-(…). 6º-(…) DUODÉCIMO: El entramado empresarial investigado por la policía estaba integrado por varias empresas, entre las que se encontraba Nivalco, que recibió de Enérgya-VM al menos (…) de Enérgya-VM en concepto de comisiones por la captación de nuevos clientes para dicha empresa comercializadora de energía. En el informe de la Dirección General de la Policía (CGPJ) de 12 de mayo de 2022 se destaca: “(…)”: 1- (…) 2- (...) 3- (…) 4- (…) 5- (…) 6- (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/227 7- (…) 8- (…) 9- (…) 10- (…) 11- (…) 12- (…) 13- (…) 14- (…) 15- (…) 16- (…) 17- (…) 18- (…) (…) DECIMOTERCERO: En la investigación realizada por la Policía se obtienen evidencias de la utilización de números de teléfono titularidad de Nivalco para llamar a clientes y captarlos de forma engañosa (…): (…) 1.PROVEEDORES DE SERVICIOS DE TELECOMUNICACIONES: (…) (…): A) (…):  (…). DESTINATA IP´S LLAMADA RIO TITULAR ASOCIA TITULAR IP S LLAMADAS DAS (…) (…) (…) (…) (…) (…) (…) (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/227 (…) (…)  (…). DESTINATARI TITULAR O LLAMADAS LLAMADA IP´S S ASOCIADAS TITULAR IP (…) (…) (…) (…) (…)  (…) (…) (…) (…) (…) (…) (…) DESTINATARI O LLAMADAS TITULAR Nº LLAMADA S (…) (…) (…) (…) (…) (…) (…). (…) (…) (…) (…) (…) (…) (…) (…). (…)  C/ Jorge Juan, 6 28001 – Madrid (…). www.aepd.es sedeagpd.gob.es 39/227 DESTINATAR IO LLAMADAS TITULAR Nº LLAMADAS (…) (...) (…) (…) (…) (…) (…) (…) (…) (…) (…). DECIMOCUARTO: La Policía considera que la operativa fraudulenta investigada (de la que formaba parte Nivalco), habría cometido presuntamente los siguientes ilícitos penales:     (…). (…). (…). (…). (…): “(…): 1- (…) (…) 2- (…) (…). (…) 3- (…) (…) 4- (…) (…) DECIMOQUINTO: El 1 de julio de 2019 Enérgya-VM celebró con Nivalco un Acuerdo de Promoción de contratos a Comisión. Si bien en dicho acuerdo se prevé que el mismo producía efectos desde el 3 de mayo de 2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/227 Así, en el apartado 3.3 de las condiciones particulares, denominado “Entrada en vigor” figura la siguiente previsión: “(…)” (el subrayado es nuestro). DECIMOSEXTO: El apartado 1 de las condiciones generales del Acuerdo de Promoción de contratos a Comisión de 1 de julio de 2019 preveía la obligación del Promotor (Nivalco) de:  (…).  (…)  (…). En dicho apartado 1 “(…)” se prevé: “(…)(…):  (…).  (…).  (…).  (…). DECIMOSÉPTIMO: El Acuerdo de Promoción de contratos a Comisión celebrado entre Enérgya-VM y Nivalco el 1 de julio de 2019 contenía el contrato de encargo del tratamiento. En relación con esta cuestión, Enérgya-VM en su escrito de alegaciones al acuerdo de inicio de Enérgya-VM de fecha 7 de junio de 2023, destaca: “11. Precisamente, a efectos de regular esta relación entre responsable y encargado, Enérgya y Nivalco suscribieron un acuerdo de encargo del tratamiento, el cual se encuentra en la Cláusula 7 de las Condiciones Generales del Contrato con Nivalco.”(el subrayado es nuestro) DECIMOCTAVO: El Acuerdo de Promoción de contratos a Comisión de 1 de julio de 2019 regula en su apartado 6 de las condiciones generales el tratamiento de datos personales y en el 7 de las condiciones generales el encargo del tratamiento. Se reproduce el contenido de dichos apartados: El apartado 6, denominado “Tratamiento de datos personales” dispone lo siguiente: “(…) (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/227 (…): (…) (…). (…): (…) El apartado 7(Objeto del encargo del tratamiento), dispone lo siguiente: (…) (…). (…). (…). (…): (…). (…) (…) (…) (…): (…): (…): (…). (…) (…)
  30. a)(…).
  31. b)(…).
  32. c)(…).
  33. d)(…)” (el subrayado es nuestro). DECIMONOVENO: En el Acuerdo de Promoción de contratos a Comisión de 1 de julio de 2019 se regulan en el apartado 5 de las condiciones generales las causas de resolución anticipada y entre ellas se prevé: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/227 “(…)” (el subrayado es nuestro En dicho apartado, también se dispone: “(…)” (el subrayado es nuestro) VIGÉSIMO: Enérgya-VM daba instrucciones a su encargado del tratamiento Nivalco: En el expediente figuran varios ejemplos de cómo Enérgya-VM daba instrucciones a Nivalco (encargado del tratamiento). 1. Correo electrónico enviado por D. A.A.A., empleado de Enérgya-VM, a dos empleados de Nivalco el 16 de octubre de 2019 a las 17:55 (Documento 7, aportado por Enérgya-VM en fase de prueba). “Estimadas (…) y (…), En espera de que nos respondan formalmente al burofax que les remitimos hace escasos días, les queremos transmitir nuevamente la importancia de no usar datos personales para la captación distintos a los que:  (…).  (…)  (…) Queremos trasmitirles nuestra preocupación porque tras nuestros avisos de mediados de septiembre, pueden seguir estando usando de forma particular los números de cuenta bancaria de los clientes, (…). Lo que resulta imperativo es que CESEN INMEDIATAMENTE en el uso de dicho dato, cualquier que sea el origen del mismo, y que nos den la información requerida en nuestro citado burofax al efecto. Esperamos igualmente que den respuesta al resto de las cuestiones del citado burofax. Sin otro particular” 2. Correo electrónico enviado por D. A.A.A. a dos empleados de Nivalco de fecha 13 de septiembre de 2019 a las 13:20 (Documento 4, aportado por Enérgya-VM junto con su escrito de alegaciones el acuerdo de inicio). “En este sentido tras consultarlo con nuestra Asesoría Jurídica, os reiteramos la necesidad de: (…)  (…)  C/ Jorge Juan, 6 28001 – Madrid Os abstengáis de utilizar datos que habéis podido obtener en anteriores servicios para otras comercializadores como (...) para nuestras contrataciones. www.aepd.es sedeagpd.gob.es 43/227 (…)” VIGÉSIMO PRIMERO: Enérgya-VM enviaba comunicados relativos a la protección de datos a sus encargados del tratamiento (entre ellos, Nivalco) con instrucciones relativas:   Al tratamiento de datos de carácter personal en la fase de captación de clientes potenciales A la atención de solicitudes de ejercicio de derechos en materia de protección de datos por parte de clientes potenciales o clientes. Se reproduce el contenido del comunicado de 15 de julio de 2019 titulado “(…)”: “(…), (…). (…) (…) (…). (…)” Asimismo, se reproduce el contenido del comunicado titulado “(…)” enviado el 27 de enero de 2020 y el 24 de julio de 2020: “(…), (…). (…). (…):      (…). (…). (…). (…). (…). (…)” VIGÉSIMO SEGUNDO: Enérgya-VM remitía a sus encargados del tratamiento (entre ellos, Nivalco) datos personales de potenciales clientes (nombre y apellidos/razón social, y número de teléfono de contacto) con carácter previo a las labores de captación por parte de dichos encargados del tratamiento. En relación con esta cuestión, en el escrito (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/227 “(…).” Asimismo, en el correo electrónico enviado por D. A.A.A., empleado de Enérgya-VM, a dos empleados de Nivalco el 16 de octubre de 2019 a las 17:55 (Documento 7, aportado por Enérgya-VM en fase de prueba). “Estimadas (…) y (…), En espera de que nos respondan formalmente al burofax que les remitimos hace escasos días, les queremos transmitir nuevamente la importancia de no usar datos personales para la captación distintos a los que:  (…).  (…).  (…). Queremos trasmitirles nuestra preocupación porque tras nuestros avisos de mediados de septiembre, pueden seguir estando usando de forma particular los números de cuenta bancaria de los clientes,(…). Lo que resulta imperativo es que CESEN INMEDIATAMENTE en el uso de dicho dato, cualquier que sea el origen del mismo, y que nos den la información requerida en nuestro citado burofax al efecto. Esperamos igualmente que den respuesta al resto de las cuestiones del citado burofax. Sin otro particular” VIGÉSIMO TERCERO: Los clientes de Enérgya-VM captados a través del Canal Nivalco procedían de (...) y de otras empresas comercializadoras de energía. En relación con esta cuestión, en el escrito de (…): “(…)”. Asimismo, tal y como refleja el informe de actuaciones previas de investigación de fecha 5 de mayo de 2023 y el hecho probado sexagésimo de esta resolución, en el expediente relativo a la contratación del CUPS (...), cuyo titular es C.C.C. (remitido por la CNMC a esta Agencia) figura una grabación relativa a una: “Conversación mantenida entre un operador en nombre de Enérgya-VM y el contratante al objeto de agradecer la contratación y verificar la calidad del proceso de venta comercial. Se consulta al contratante sobre su satisfacción con el proceso y su consciencia del cambio a Enérgya-VM. Ante esta última pregunta el contratante manifiesta “¿sigo con (...) no?”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/227 VIGÉSIMO CUARTO: El Acuerdo de Promoción de contratos a Comisión entre Enérgya-VM y Nivalco se celebró el 1 de julio de 2019 (si bien, el apartado 3.3 de las condiciones particulares del mismo, prevé que dicho Acuerdo produce efectos retroactivos desde el 03/05/2018) y sus efectos se prolongaron hasta el 30 de junio de 2020. Así se refleja, en el referido apartado 3.3 de las condiciones particulares del Acuerdo, así como en el escrito de 28 de mayo de 2020 por el que Enérgya-VM comunicó a Nivalco la resolución del contrato con efectos a 30 de junio de 2020. VIGÉSIMO QUINTO: El 28 de mayo de 2020 Energya-VM dirigió un escrito a su encargado del tratamiento Nivalco titulado “Resolución Acuerdo de promoción de contratos a comisión”.  (…).  (…). (…): “(…), (…). • (…) • (…) • (…). (…). (…). (…),” VIGÉSIMO SEXTO: Enérgya-VM reconoce que la recepción del segundo bloque de requerimientos de la CNMC fue determinante para concluir su relación contractual con Nivalco: En el escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023 se hace referencia a esta cuestión en varias ocasiones: “62 Tal y como se desprende del certificado de prestación de servicios emitido por (...) en fecha 22 de mayo de 2023 y que se adjunta como documento número 12, estas labores de verificación y control que fueron exclusivamente realizadas sobre las captaciones de Nivalco se prolongaron hasta el 31 de mayo de 2020, momento en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 46/227 que Enérgya, tras la desconfianza que le transmitía Nivalco y la notificación el 22 de abril de 2020 de un nuevo requerimiento por parte 21 de la CNMC, decidió resolver la relación contractual que les unía, la cual en ningún momento se ha vuelto a retomar. (…)” (el subrayado es nuestro) “63.1 En primer lugar, la AEPD afirma que a pesar de obtener la confirmación de casos de mala praxis que afectaban a dicho canal, Enérgya-VM decidió mantener el acuerdo con Nivalco. Como bien es sabido por parte de la AEPD, Enérgya tenía una relación contractual con Nivalco, de la que se derivan no sólo prerrogativas, sino también obligaciones. La aseveración de la AEPD resulta precipitada y reduccionista puesto que Enérgya estuvo de manera continuada investigando los hechos acontecidos para tener certeza sobre ellos, tal y como se evidencia en los párrafos precedentes. Precisamente, en el momento en el que Enérgya recibió el segundo bloque de requerimientos de la CNMC resolvió el Contrato con Nivalco.” (el subrayado es nuestro) “64 Finalmente, la AEPD, de manera completamente arbitraria, afirma que Enérgya rescindió el contrato con Nivalco, pero lo hizo como consecuencia del impacto que tuvo la crisis provocada por la COVID-19, por lo que esta decisión no puede ser tenida en cuenta como media adoptada por el responsable a consecuencia de la pérdida de confianza. Sorprende a Enérgya que sea la AEPD la que decida sobre un hecho subjetivo como la intención o causa que motivó la resolución del Contrato con Nivalco. De nuevo, la AEPD interpreta la carta de resolución contractual remitida por Enérgya a Nivalco como una comunicación aislada sin tener en cuenta que, a pesar de que en dicha carta se mencione la crisis sanitaria (ya que eran meses de inactividad generalizada por todos conocida), Enérgya adoptó la decisión de rescisión del contrato de forma prudente al recibir el segundo bloque de requerimientos de la CNMC a partir del 22 de abril de 2020.” (el subrayado es nuestro) VIGÉSIMO SÉPTIMO: En septiembre de 2019 Enérgya-VM encargó a (...). que auditara la calidad de venta del Canal Nivalco. A estos efectos, Enérgya-VM remitió un correo electrónico a (...) el 12 de septiembre de 2019. En el referido correo, Enérgya-VM indicaba que:  (…).  (…).  (…).  (…). En el informe de auditoría de (...) 28 de noviembre de 2019 se reproduce el contenido del correo electrónico de 12 de septiembre de 2019: (…) (…), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 47/227 (…) (…). (…) (…):  (…)  (…) (…). (…). VIGÉSIMO OCTAVO: La auditoría realizada por (...) pretendía conocer cuál había sido la percepción del cliente en relación con el proceso de venta realizado por Nivalco, detectando posibles anomalías en la praxis de los comerciales. Así se refleja en el informe de auditoría de 28 de noviembre de 2019: “(…) La finalidad principal es conocer cuál ha sido la percepción del Cliente sobre el proceso de venta del Promotor de Enérgya-VM, detectando posibles anomalías en la praxis de los comerciales. (…)” VIGÉSIMO NOVENO: Durante la auditoría (...):  (…).  (…). En este sentido, en el informe de auditoría de 28 de noviembre de 2019 se indica: “(…): 1.-(…) 2.-(…)” TRIGÉSIMO: La encuesta realizada por (...) era telefónica y en función del perfil de los clientes (…) (...) aplicaría una tipología de argumentarios (scripts) diferente. En relación con esta cuestión, en el informe de auditoría se destaca: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 48/227 “(…)” TRIGÉSIMO PRIMERO: En la encuesta telefónica que (...) realizaba a los clientes finalizados con origen en el Canal Nivalco se utilizaba el siguiente argumentario (script), reflejado en el informe de auditoría de 28 de noviembre de 2019. Se reproduce el contenido del script que figura en el informe de auditoría: “(…). (…). (…). (…) (…).” TRIGÉSIMO SEGUNDO: (...) realizó la encuesta a los clientes de Enérgya-VM finalizados procedentes del Canal Nivalco entre el 17 de septiembre de 2019 y el 3 de octubre de 2019. En este sentido, en el informe de auditoría de 28 de noviembre de 2019 se indica: “(…)” TRIGÉSIMO TERCERO: El informe de auditoría de (...) de 28 de noviembre de 2019 refleja que la auditoría se realizó a (…). De los cuales, tal y como refleja el informe de auditoría de (...) de 28 de noviembre de 2019: (…). (…). (…):     (…) (…) (…) (…) (…). Con las cifras reflejadas en la siguiente tabla: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 49/227 (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) TRIGÉSIMO CUARTO: De acuerdo con el informe de auditoría de (...) de 28 de noviembre de 2019:  (…).  (…).  (…). Así se refleja en el referido informe de auditoría: “(…).” TRIGÉSIMO QUINTO: En la encuesta telefónica que (...) realizaba a los clientes activos con origen en el Canal Nivalco se utilizaba el siguiente argumentario (script), reflejado en el informe de auditoría de 28 de noviembre de 2019. Se reproduce el contenido del script que figura en el informe de auditoría: “(…) (…). (…). (…) (…) (…). (…)” TRIGÉSIMO SEXTO: (...) realizó la encuesta a los (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 50/227 En este sentido, en el informe de auditoría de 28 de noviembre de 2019 se indica: “(…) (…)  (…)” TRIGÉSIMO SÉPTIMO: El informe de auditoría de (...) de 28 de noviembre de 2019 refleja que la auditoría se realizó a (…). En ocasiones, los clientes que respondieron a la encuesta telefónica conforme a los siguientes motivos (…):      (…) (…) (…) (…) (…) De los (…), tal y como refleja el informe de auditoría de (...) de 28 de noviembre de 2019: (…):        (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) de acuerdo con las cifras reflejadas en la siguiente tabla: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 51/227 (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) TRIGÉSIMO OCTAVO: El informe de auditoría de (...) de 28 de noviembre de 2019, al reflejar los resultados obtenidos en relación con los clientes activos origen del Canal Nivalco, destaca que (…). En este sentido, en dicho informe se indica lo siguiente: “(…) (…)”. TRIGÉSIMO NOVENO: En las conclusiones el informe de auditoría de (...) de 28 de noviembre de 2019 se indica que las incidencias más notables son (…) que se corresponden a unas tipologías relacionadas con información confusa, insuficiente y engañosa por parte del comercial de Nivalco. Se reproducen las conclusiones de dicho informe de auditoría: “(…):  (…)  (…)  (…)  (…) (…). (…)”. CUADRAGÉSIMO: En el informe de la Dirección General de la Policía (CGPJ) de 6 de febrero de 2023 se analiza el resultado de la auditoría realizada por (...) para Enérgya-VM (informe de (...) de 28 de noviembre de 2019) concluyendo que el engaño a clientes respondía a una práctica relevante en las contrataciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 52/227 En el mencionado informe se indica: “(…) (…) (…)” En dicho informe se concluye: “(…) (…) (…) (…) (…). CUADRAGÉSIMO PRIMERO: El 23 de septiembre de 2019 Enérgya-VM adoptó un (...). En el escrito de Enérgya-VM, elaborado en contestación a la práctica de prueba I se indica: “(…) con fecha 23 de septiembre se inicia la campaña de (...), la cual fue encargada de forma verbal por parte de Enérgya (…)” Destaca que el objetivo de dicho servicio era (…). En este sentido, en su escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023, indica: “59 Pero es más, precisamente, en el marco de dichas labores de valoración, además de la auditoría encargada a (...) y a causa de los resultados de la misma, Enérgya adoptó una medida esencial de refuerzo en el procedimiento de contratación de Nivalco, solicitando a (...). Medida que la AEPD ignora totalmente en su Propuesta. CUADRAGÉSIMO SEGUNDO: Enérgya-VM detalla en el escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023 en qué consistía el (…) encomendado a (...):  (…).  (…). En relación con esta cuestión, en el informe de alegaciones al acuerdo de inicio, Enérgya-VM indica: “60 Esta medida consistía en que (...). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 53/227 61 (…). Esta actuación por parte de Enérgya sirve, de nuevo, para demostrar su diligencia en el procedimiento de contratación y alta de nuevos clientes. 62 Tal y como se desprende del certificado de prestación de servicios emitido (...) en fecha 22 de mayo de 2023 y que se adjunta como documento número 12, (…), momento en el que Enérgya, tras la desconfianza que le transmitía Nivalco y la notificación el 22 de abril de 2020 de un nuevo requerimiento por parte de la CNMC, decidió resolver la relación contractual que les unía, la cual en ningún momento se ha vuelto a retomar.” CUADRAGÉSIMO TERCERO: Enérgya-VM ha aportado junto con su escrito de alegaciones al acuerdo de inicio un certificado elaborado por (...) de fecha 23 de mayo de 2023, relativo al (…) que le encomendó Enérgya-VM, en el que dicha empresa, entre otras cuestiones, declara que:  El (…), suscribiendo el correspondiente contrato de servicios al efecto.  Dicho servicio se extendió desde el (…). (...) afirma que el referido servicio era independiente de la auditoría realizada en relación con las contrataciones del Canal Nivalco correspondientes a los meses de julio, agosto y septiembre de 2019.  El objeto del servicio era (…).   (...). Se realizaron (…) llamadas de las cuales (…). Se reproduce el contenido del certificado de (...) de 23 de mayo de 2023: “(…) (…) (…) 1. (…). 2. (…). 3. (…). 4. (…). 5. (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 54/227 (…)” CUADRAGÉSIMO CUARTO: Enérgya-VM contrató verbalmente con (...) el (…) de los clientes potenciales captados a través del Canal Nivalco. Enérgya-VM ha aportado varias facturas relativas a dicho servicio realizado por (...). En este sentido, en el escrito de la parte reclamada de fecha 31 de octubre de 2023 en el que daba respuesta a la solicitud de práctica de prueba I, Enérgya-VM indica: “SÉPTIMO. APARTADO 3.F DEL REQUERIMIENTO: CONTRATO DE SERVICIOS CELEBRADO ENTRE ENÉRGYA-VM Y (...) AL OBJETO DE QUE ESTA ÚLTIMA REALIZASE UNA (…) REALIZADAS POR EL CANAL DE VENTA EXTERNA NIVALCO SOLUCIONES COMERCIALES S.L. 47. Enérgya tenía (…). (…) se aportan, respectivamente, como documento número 11 y documento número 12 al presente escrito y es en el contexto de los mismos en el que, con fecha 23 de septiembre se inicia (...), la cual fue encargada de forma verbal por parte de Enérgya, si bien totalmente acreditada mediante las facturas de los servicios que diligentemente aportamos junto al presente escrito. 48. Puesto que en la página 2 del contrato de 3 de mayo de 2017 se especifica lo siguiente: “(…). (…) (…). […] “(…).” (el subrayado es nuestro). CUADRAGÉSIMO QUINTO: En los certificados de (...) de fechas 25 de octubre y 8 de noviembre de 2023 (...) declara:  (…).  (…). Así, en el primer párrafo de dichos certificados, se indica: “(…)1. Que (...) prestó un (…) a la mercantil ENERGYA VM GESTION DE ENERGIA SLU con CIF 883393066 (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 55/227 CUADRAGÉSIMO SEXTO: En el certificado de (...) de fecha 25 de octubre de 2023, elaborado en contestación a la práctica de prueba II, la referida empresa aporta una tabla con el desglose mensual de las llamadas (…) a las que hacía referencia en su certificado de 23 de mayo de 2023. A continuación, se refleja el contenido de dicha tabla: (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) CUADRAGÉSIMO SÉPTIMO: (...). (…) Así se refleja en el certificado de dicha empresa de 8 de noviembre de 2023, elaborado en contestación a la práctica de prueba III. una explicación de las subclasificaciones empleadas al calificar las llamadas (…): (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 56/227 CUADRAGÉSIMO OCTAVO: (...) aporta en su certificado de fecha 8 de noviembre de 2023, elaborado en contestación a la práctica de prueba III, en el que (…): “(…):  (…).  (…).  (…).  (…).  (…). CUADRAGÉSIMO NOVENO: De acuerdo con el certificado de (...) de fecha 8 de noviembre de 2023, elaborado en contestación a la práctica de prueba III, (…)”. Dicha subclasificación refleja que (…). En la siguiente tabla se incluyen las cifras relativas a estos (…) casos calificados como no consciente cambio de compañía reflejados en el certificado de (...) de 8 de noviembre de 2023 (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) QUINCUAGÉSIMO: De acuerdo con el certificado de (...) de fecha 8 de noviembre de 2023, elaborado en contestación a la práctica de prueba III, (…). Dicha subclasificación refleja que (…). En la siguiente tabla se incluyen las cifras relativas a estos (…) casos calificados como no consiente cambio reflejados en el certificado de (...) de 8 de noviembre de 2023 (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) C/ Jorge Juan, 6 28001 – Madrid (…) (…) www.aepd.es sedeagpd.gob.es 57/227 (…) QUINCUAGÉSIMO PRIMERO: Tras haber examinado el contenido de las grabaciones de varias contrataciones aportadas por la CNMC, que contenían la llamada de verificación realizada por (...), se aprecia que las mismas tienen un contenido muy similar.  Se trata de una llamada de calidad que pretende verificar la actuación del comercial de Nivalco.  En dichas llamadas se confirma que el nuevo cliente es consciente de que realiza un cambio de compañía y consiente dicho cambio.  Las preguntas que se realizan no están vinculadas con la protección de datos personales, el tratamiento de datos realizado por el personal de Nivalco durante la captación comercial.  Tampoco se pretende comprobar si el nuevo cliente de Enérgya-VM es consciente de que sus datos de carácter personal están siendo tratados por Enérgya-VM en calidad de responsable del tratamiento. A continuación, se reproduce, de forma sintética, el contenido de dichas llamadas: 1.(…). 2.(…). 3. (…). (…). 4. (…):  (…).  (…).  (…)  (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 58/227 QUINCUAGÉSIMO SEGUNDO: Enérgya-VM había elaborado un argumentario de venta (...).  El (...) incluye instrucciones precisas sobre el momento y el modo de solicitar al cliente datos de carácter cuyo tratamiento era necesario para la celebración del contrato entre el cliente potencial y Enérgya-VM (…). Así como para verificar otros datos de carácter personal.  En la parte inicial del argumentario, se obtienen datos personales de los interesados sin informarles previamente sobre el tratamiento de sus datos de carácter personal que se realiza. Aspecto del que no se informa hasta el punto 5 de la última parte del argumentario denominada “(…)” A continuación, se reproduce el contenido (…): “(…) (…)  (…).  (…)  (…)  (…)  (…)  (…)  (…)  (…)  (…).  (…).  (…). (…) (…) (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 59/227 1. (…). 2. (…). 3. (…). 4. (…). 5. (…). 6. (…). (…).” QUINCUAGÉSIMO TERCERO: El argumentario (…) reproducido en el hecho probado anterior debía ser utilizado por el encargado del tratamiento de Enérgya-VM (Nivalco). Así lo refleja el burofax de fecha 23 de octubre de 2019 enviado por Enérgya-VM a (...) (Documento 5, aportado por Enérgya-VM en fase de prueba) se refleja el carácter obligatorio del Script de Venta VM para los encargados del tratamiento como Nivalco: (…). Asimismo, lo muestra el correo electrónico enviado por D. A.A.A. a dos empleados de Nivalco de fecha 13 de septiembre de 2019 a las 13:20 (Documento 4 aportado por Enérgya-VM junto con su escrito de alegaciones el acuerdo de inicio), Enérgya-VM exige a Nivalco respetar el Script de Venta VM: “En este sentido tras consultarlo con nuestra Asesoría Jurídica, os reiteramos la necesidad de: (…)  (…). QUINCUAGÉSIMO CUARTO: Enérgya-VM reconoce no haber realizado un análisis de riesgos en relación con Nivalco. En el escrito de alegaciones al acuerdo de inicio, Enérgya-VM destaca: “63.2 En segundo lugar, la AEPD indica que no consta un análisis de riesgos tras los resultados obtenidos en la auditoría interna. Esta afirmación es incongruente con las múltiples acciones implementadas por Enérgya y puestas a disposición de la AEPD por parte de Enérgya. A este respecto, la AEPD menciona en su Guía de Gestión del riesgo y evaluación de impacto en tratamientos de datos personales lo siguiente: “La gestión del riesgo implica actividades como contextualizar, identificar, analizar, evaluar, actuar y revisar.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 60/227 63.3 En este sentido, Enérgya dedicó sendos esfuerzos a contextualizar, identificar, analizar y evaluar las conductas de Nivalco. El motivo por el que Enérgya, tras la fase de identificación y análisis no llevó a cabo una evaluación de riesgos más exhaustiva es simple: optó por la resolución del Contrato con Nivalco.” (el subrayado es nuestro). Asimismo, en el escrito de 31 de octubre de 2023, elaborado en contestación a la práctica de prueba I, Enérgya-VM indica: “DÉCIMO. APARTADO 3.J DEL REQUERIMIENTO: ANÁLISIS DE RIESGOS PARA LOS DERECHOS Y LIBERTADES DE LOS INTERESADOS, FECHADO Y FIRMADO, QUE, EN SU CASO, HUBIERE REALIZADO ENÉRGYA-VM EN RELACIÓN CON LA PARTICIPACIÓN DE ENCARGADOS DEL TRATAMIENTO EN EL PROCESO DE CONTRATACIÓN. 68. En primer lugar, la elaboración de un análisis de riesgos para evaluar el impacto de la contratación de encargados del tratamiento no constituye una obligación de conformidad con lo establecido en el RGPD y la LOPDGDD. 69. Por otro lado, como ya se indicó en el escrito de Alegaciones, en el momento en que fueron identificadas las presuntas irregularidades, era Nivalco y no Enérgya el responsable del tratamiento de la Base de Datos. Por lo tanto, incluso si Enérgya hubiese realizado dicho análisis de riesgos, Nivalco no habría sido evaluado respecto a los tratamientos efectuados en el proceso de captación.” (el subrayado es nuestro). QUINCUAGÉSIMO QUINTO: Nivalco reconoció ante Enérgya-VM su inexperiencia en el sector de la venta telefónica y la falta de mecanismos de control interno adecuados. En un burofax remitido por Nivalco a Enérgya-VM de fecha 21 de octubre de 2019 (Documento 10, aportado por Enérgya-VM en contestación a la práctica de prueba I): “(…) Dicho esto, hemos de reconocer que en el inicio de la colaboración y debido básicamente a nuestra inexperiencia en el sector de la venta telefónica y la coincidencia del arranque de la campaña con la época estival en la que no estábamos bien dimensionados a nivel administrativo, los mecanismos de control que instauramos no fueron adecuados tal y como hemos visto con posterioridad.” (el subrayado es nuestro). QUINCUAGÉSIMO SEXTO: El acuerdo de promoción de contratos a Comisión de fecha 1 de julio de 2019 celebrado por Enérgya-VM con Nivalco contiene varias previsiones relativas a la obligación del promotor (Nivalco) de efectuar

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.