1/37 Expediente N.º: EXP202311333 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 28 de junio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. A raíz de la reclamación se ha tenido conocimiento de ciertos hechos que podrían ser constitutivos de una infracción imputable a BONTECU DISTRIBUCIONES, S.L.U. con NIF B06974141 (en adelante, BONTECU). Los hechos que se ponen en conocimiento de esta autoridad son: La parte reclamante manifiesta que ha recibido en su teléfono un contrato de la empresa FACTOR ENERGIA, S.A (en adelante, FACTOR ENERGÍA) que opera en el sector eléctrico, para realizar un cambio de comercializador de electricidad. Afirma que dicho contrato contiene, además de sus datos personales los datos de su suministro eléctrico. Sostiene asimismo que no ha formalizado ninguna relación contractual con dicha compañía y exige conocer cómo obtuvieron dichos datos. Como documentación relevante aportada por la parte reclamante destaca: - Contrato de suministro (sin firmar) con fecha 27 de junio de 2023, enviado por Factor Energía al reclamante, en el que constan los siguientes datos: - Datos de la empresa de suministro Factor Energía. Sello del agente autorizado Enciende Energía. Datos del reclamante que figura como cliente (nombre, DNI, domicilio, teléfono, correo electrónico). Datos del punto de suministro. Código universal del punto de suministro (CUPS) de electricidad. Firma de Factor Energía de fecha 27 de junio de 2023. Orden de domiciliación a cargo del reclamante y a favor de FACTOR ENERGIA. Datos bancarios del reclamante, incluido el número de cuenta. Servicios de mantenimiento y asesoría comercial. Solicitud de cambio de titularidad. Formulario de desistimiento. - SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Factor Energía, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/37 Públicas (en adelante, LPACAP), fue recogido en fecha 31 de agosto de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 29 de septiembre de 2023 se recibe en esta Agencia escrito de respuesta de Factor Energía, manifestando lo siguiente: 1.- Que el contrato aportado por la parte reclamante tiene el sello identificativo de Enciende Energía (nombre comercial de Bontecu Distribuciones, S.L.U.), agente de ventas de la parte reclamada, contrato que no fue remitido a Factor Energía para su validación y posterior activación, por lo que no se llegaron a tratar sus datos personales, comprobándose que en su base de datos no hay ningún contrato ni servicio asociado a los datos personales de la parte reclamante. 2.- Que realizó una revisión de sus registros telefónicos utilizando el número de teléfono proporcionado por el reclamante (***TELÉFONO.1) y no encontraron llamadas realizadas por FACTOR ENERGÍA. Tras analizar la documentación aportada por el reclamante, se identificó que el contrato presentado contiene en la esquina superior derecha el sello de ENCIENDE ENERGÍA, una empresa que actuaba como agente comercial para FACTOR ENERGÍA en la fecha de los hechos denunciados. 3.- Que Enciende Energía (nombre comercial de Bontecu) operaba como canal de ventas para FACTOR ENERGÍA bajo una relación mercantil de agencia, no como prestadora de servicios. Aclaran que esta empresa agente no remitió el contrato a FACTOR ENERGÍA para su validación y activación, lo que pudo deberse a que la contratación no se confirmó o no cumplió con los requisitos de calidad exigidos para su activación. 4.- Informan además que el contrato de agencia con BONTECU DISTRIBUCIONES, S.L.U. (empresa que opera bajo el nombre comercial ENCIENDE ENERGÍA) ya no está vigente. Rescindió el contrato de agencia que mantenía con Enciende Energía (Bontecu) por su incapacidad para poder cumplir con las medidas y mejoras implementadas tras la aprobación de un protocolo para prevenir el fraude y mala praxis en la contratación efectuada por canales externos de televenta. 5.- Aclaran que ENCIENDE ENERGÍA realizaba su actividad comercial con sus propios medios y base de datos, siendo la empresa agente la responsable del tratamiento de datos personales en el momento de efectuar la llamada. Para validar y activar una contratación, FACTOR ENERGÍA requiere que las empresas agentes remitan el contrato de suministro, el archivo de audio de la llamada de contratación y un certificado emitido por un tercero de confianza que confirme que la contratación fue validada por medios electrónicos (SMS). En el caso del reclamante, no se llegó a realizar este tratamiento ya que la empresa agente no remitió la contratación para su activación. 6.- Finalmente, FACTOR ENERGÍA subraya que las empresas agentes solo deben remitir para validación y activación aquellas contrataciones correctamente realizadas y confirmadas, cumpliendo estrictamente con la normativa de protección de datos. Si no se completa el proceso de contratación o no se cumplen los requisitos, la empresa agente no envía el contrato a FACTOR ENERGÍA. TERCERO: Con fecha 28 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/37 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 29 de enero de 2024, Bontecu, al requerimiento de esta Agencia realiza las siguientes manifestaciones: - Con relación a la documentación que permita acreditar el origen de los datos que figuran en el contrato aportado por el reclamante manifiestan lo siguiente: -Los datos obtenidos del reclamante han sido recogidos a través de un colaborador subcontratado por Bontecu, empresa poseedora de la marca “Enciende Energía”. - Las relaciones entre las partes son las siguientes: Bontecu, sociedad ajena a Factor Energía, especializada en comercialización de servicios promociona los suministros comercializados por Factor Energía, conforme figura en el contrato entre ambas partes. Bontecu subcontrató un colaborador o agente externo, B.B.B., para la televenta de los servicios relacionados con Factor Energía. Este agente externo fue contratado para dar cobertura comercial a Bontecu. - El proceso de ejecución de la contratación del servicio de suministro que los clientes firman y de la obtención y tratamiento de datos personales de estos, es el siguiente: El contrato de suministro anexado por el reclamante es cumplimentado en llamada telefónica por el agente externo; B.B.B., este incorpora directamente los datos del cliente, facilitados por él, en los sistemas de Factor Energía, para que el responsable mande el contrato del suministro al cliente y este proceda a su firma. - En el caso presente, el contrato no está firmado porque no se llegó a formalizar y el servicio no se activó. - La llamada al reclamante no obra en poder en Botencu, tanto las llamadas como los contratos de suministro se introducen en el sistema de Factor Energía para tu tramitación. Al mes dejan de ser accesibles por Bontecu. - En relación con la grabación de la llamada, los representantes de Bontecu manifiestan que, al ser los datos recogidos por el agente externo, se le ha solicitado al mismo a través de correo electrónico la grabación de la llamada y se ha solicitado por Burofax a día 24 del que todavía no han obtenido respuesta. En respuesta al requerimiento de esta autoridad, el 29 de enero de 2024 Bontecu anexa un documento con título Contrato de Agencia (Televenta) entre BONTECU y FACTOR ENERGÍA. En el mencionado contrato, firmado por ambas partes, se identifica a Bontecu como EL AGENTE y a Factor Energía como LA EMPRESA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/37 En el mismo se señala, entre otros aspectos: “(…) la actividad principal de LA EMPRESA consiste en la comercialización de energía eléctrica y gas natural en el ámbito del libre mercado (…), así como la prestación de servicios energéticos o de mejora de la eficiencia energética, que desea establecer unos acuerdos con empresas para la comercialización de los productos y servicios ofrecidos por LA EMPRESA. (…) EL AGENTE es una compañía totalmente ajena a LA EMPRESA e independiente de esta última, que se dedica a la actividad de promoción de la comercialización de productos diversos y como consecuencia de ello ha adquirido una experiencia profesional en este sector a través de la modalidad de televenta. (…) EL AGENTE colaborará con la empresa para llevar a cabo su estrategia comercial, dar cobertura comercial y realizar determinadas campañas. Con estos objetivos, EL AGENTE ha sido seleccionado para prestar los servicios antes indicados. (…) LA EMPRESA Y EL AGENTE desean formalizar su compromiso de colaboración, y lo hacen suscribiendo el presente CONTRATO DE AGENCIA, que se sujeta a los términos y condiciones establecidos en las siguientes cláusulas”. En la cláusula primera se indica: “(…) EL AGENTE se obliga ante LA EMPRESA, a cambio de una remuneración, como intermediario independiente por cuenta de LA EMPRESA, a realizar y prestar los siguientes trabajos y servicios necesarios para la realización de campañas de venta telefónica para la contratación de suministros energéticos y servicios de valor añadido a potenciales clientes de LA EMPRESA: 1. Prospección comercial (…) 2. Presentación de ofertas a través de emisión de llamadas (…) 3. Captura de información (conseguir del cliente los datos y documentación y/o archivos necesarios, según instrucciones de LA EMPRESA para la realización de la oferta por parte de LA EMPRESA y el posterior contrato (…) 4. Grabación de voz del proceso de contratación de conformidad con los argumentarios proporcionados por LA EMPRESA y que se adjuntan como Anexo 8. Deberá asegurarse que el cliente está debidamente informado de que la suscripción del contrato implica un cambio de compañía comercializadora. 5. Cierre de venta: cumplimentación y aceptación por parte del titular del punto de suministro de electricidad y/o gas, así como cualquier otro producto o servicio que sea objeto de la acción. 6. Validación telefónica y validación del consentimiento con medios electrónicos (SMS): la personalidad del cliente y su consentimiento a los términos y condiciones del contrato se evidenciarán a través del siguiente procedimiento: 1º Remisión al cliente de un mensaje SMS con un enlace al número de teléfono móvil indicada por el Cliente. Dicho mensaje SMS deberá ser certificado por un tercero de confianza, certificando la puesta a disposición al Cliente del contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/37 2º Para prestar su consentimiento al contrato, el Cliente deberá clicar dentro del enlace y visualizar el contrato íntegro (esto es, condiciones particulares, condiciones generales y anexos) e introducir el código facilitado en prueba de consentimiento o bien clicando en el botón de ACEPTAR, FIRMAR o análogo. Deberá certificarse por un tercero de confianza que el Cliente ha abierto el enlace, visualizado el contrato y aceptado el mismo. 3º Envío del contrato firmado al cliente confirmando la contratación mediante correo electrónico o mediante SMS con el siguiente mensaje: “adjuntamos copia de su contrato suscrito. 1. Registro del contrato en la plataforma informática de LA EMPRESA: adjuntar los datos, documentación y/o archivos requeridos para que la contratación despliegue plenos efectos vinculantes entre el cliente y la empresa. Deberá adjuntarse el archivo de audio que contiene la grabación del proceso de contratación a la que se ha hecho referencia anteriormente (…)”. En la cláusula vigesimosegunda, Protección de datos de carácter personal, se anuncia: “Dado que la prestación del servicio objeto del presente contrato por parte de EL AGENTE implicará la recogida, el acceso y/o tratamiento a los datos de carácter personal de los clientes de LA EMPRESA, EL AGENTE se compromete a asumir las responsabilidades que puedan corresponderle y actuar de conformidad con lo previsto en el RGPD y la LOPDGDD, especialmente en relación con los párrafos siguientes y en el ANEXO 7(…). (…) EL AGENTE debe cumplir con las medidas de seguridad establecidas en el artículo 32. (…) para cumplir con la actividad de agencia objeto del presente Contrato, el AGENTE declara que es titular de un fichero con datos de contacto de potenciales clientes en el mercado que ha sido obtenido de forma lícita, estando legitimado par realizar el tratamiento de los datos en los términos de la prestación de servicios de captación de cliente que le ha sido encomendada por la empresa. Para ello, EL AGENTE deberá especificar en el Anexo 7 relativo a la protección de datos el origen del cual ha obtenido dichos datos. El AGENTE actuará como encargado del tratamiento para le recogida y registro de los datos personales del interesado en suscribir un contrato de suministro de energía, siendo LA EMPRESA la responsable del tratamiento, quien manifiesta y garantiza que todo tratamiento de datos de carácter personal se realizará cumpliendo con lo previsto en el RGPD y la LOPDGDD. Respecto a los datos de carácter personal obtenidos como resultado de la ejecución de este contrato, EL AGENTE se obliga a utilizar o aplicar los datos de carácter personal obtenidos en ejecución del contrato de acuerdo con las instrucciones impartidas por LA EMPRESA y únicamente con la finalidad de cumplimiento del objeto del presente contrato, asegurándose de que los datos objeto de tratamiento sean manejados únicamente por aquellos empleados cuya intervención sea precisa para la finalidad contractual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/37 EL AGENTE dejará indemne a LA EMPRESA ante cualquier responsabilidad de carácter económico que para ésta pudiera derivarse de reclamación de tercero por incumplimiento de alguna de sus obligaciones referidas en la presente cláusula, en el anexo 7 o en general (…) legislación aplicable (…). LA EMPRESA podrá efectuar, en cualquier momento y siempre que ello no suponga distorsiones graves en el desarrollo de la actividad de EL AGENTE las auditorias de seguridad que considere oportunas, a fin de comprobar el cumplimiento, por parte de EL AGENTE de las obligaciones y compromisos asumidos en el presente documento (…)”. En este Anexo 7 se incluye: “Objeto del encargo del tratamiento: (…) los datos de carácter personal necesarios para realizar la actividad de agencia en modalidad de televenta (…). Identificación de la información afectada: (…) EL AGENTE realizará captación de clientes para FACTOR y en ningún caso EL AGENTE los usará para fines propios ni distintas a los especificados por FACTOR o establecidos en los fines del cumplimiento de las obligaciones del presente contrato. El tipo de datos del tratamiento son los consignados en l contrato de suministro o de que se trate de los ofertados por FACTOR, aunque el AGENTE únicamente tratará los datos que sean estrictamente necesarios para cumplir con las obligaciones del presente CONTRATO. (…) Duración: El presente acuerdo tiene la duración especificada en el presente contrato. Una vez finalice el presente contrato, el encargado debe devolver al responsable los datos personales y suprimir cualquier copia que mantenga en su poder. No obstante, podrá mantener bloqueados los datos para atender posibles responsabilidades administrativas o jurisdiccionales. (…) Obligaciones del encargado del tratamiento: (…) - con carácter general, cumplir con la normativa vigente en materia de protección de datos, concretamente el RGPD y normativa nacional vigente. Utilizar los datos personales a los que tenga acceso solo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios. Tratar las instrucciones de acuerdo con las instrucciones del responsable del tratamiento (…). No comunicar datos a terceros (…) Garantizar que las personas autorizadas para tratar datos personales se comprometan de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes (…). Mantener a disposición del responsable la documentación acreditativa del cumplimiento (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/37 Implementar medidas de seguridad (…) Garantizar la formación necesaria (…) de las personas autorizadas. Notificación de violaciones de seguridad de los datos (…) al responsable del tratamiento. Poner a disposición del responsable del tratamiento toda la documentación necesaria para demostrar el cumplimiento de sus obligaciones. Auxiliar al responsable del tratamiento a implantar medidas de seguridad necesarias para: Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemas y servicios de tratamiento. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico. Verificar, evaluar, y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. Destino de los datos: EL AGENTE, encargado de tratamiento, no conservará datos de carácter personal objeto de tratamiento del presente CONTRATO salvo que sea estrictamente necesario para ejercer su actividad de agente en modalidad televenta y solo durante el tiempo estrictamente necesario para ejercer dicha actividad. (…) Obligaciones del responsable del tratamiento: Velar (…) por el cumplimiento del RGPD (…) por parte del encargado. Supervisar el tratamiento. (…) Responsabilidad: EL AGENTE dejará indemne a FACTOR de cualquier responsabilidad de carácter económico que para este pudiera derivarse de la reclamación de un tercero (…). también se comunica que “A partir del momento en que el potencial cliente acepte la finalidad comercial de la llamada, en caso de que el mismo otorgue su consentimiento a la contratación del producto de LA EMPRESA mediante la suscripción del correspondiente contrato, EL AGENTE actuará como Encargado del tratamiento para la recogida y registro de los datos personales del interesado, siendo LA EMPRESA el Responsable del Tratamiento” y se prosigue con la especificación del contrato de encargo del tratamiento. En la cláusula vigesimosegunda, Protección de datos de carácter personal, se anuncia: “Para cumplir con la actividad de agencia objeto del presente Contrato, el AGENTE declara que es titular de un fichero con datos de contacto de potenciales clientes […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/37 Para ello, EL AGENTE deberá especificar en el Anexo 7 relativo a la protección de datos el origen del cual ha obtenido dichos datos.” En este Anexo 7 también se comunica que “A partir del momento en que el potencial cliente acepte la finalidad comercial de la llamada, en caso de que el mismo otorgue su consentimiento a la contratación del producto de LA EMPRESA mediante la suscripción del correspondiente contrato, EL AGENTE actuará como Encargado del tratamiento para la recogida y registro de los datos personales del interesado, siendo LA EMPRESA el Responsable del Tratamiento.” y se prosigue con la especificación del contrato de encargo del tratamiento. Revisado el contrato, se evidencia que la comercializadora entrante es la entidad Factor Energía, S.A., siendo Enciende Energía el agente autorizado de ventas. Este último también actúa como proveedor de servicios de mantenimiento, tal como se especifica en el Anexo III. Servicio De Asesoría Comercial y Energética: “Adicionalmente a los contratos de servicios de suministro y mantenimiento contratados por EL Cliente a Factor Energía, El Cliente contrata con BONTECU, S.L. con CIF B069741451 en adelante “ENCIENDE ENERGÍA” alguno de los servicios descritos en la tabla anterior.” Por otra parte, aporta un contrato suscrito entre Bontecu y el agente externo B.B.B., firmado por ambas partes, que señala: “(…) de una parte la mercantil, B.B.B., (en adelante EL AGENTE) con NIF (…) y domicilio en (…) y de otra parte, la mercantil BONTECU DISTRIBUCIONES, S,L, EMPRESA POSEEDORA DE LA MARCA ENCIENDEENERGÍA (en adelante LA EMPRESA o FACTOR), con CIF B06974141 (….)”. El contenido del contrato es idéntico (incluidos los Anexos) al suscrito entre FACTOR ENERGÍA y BONTECU, sin perjuicio de que en aquellos lugares en los que figura FACTOR ENERGÍA (salvo el subrayado en el párrafo anterior) se sustituye por ENCIENDEENERGIA/BONTECU. Asimismo, en el Anexo 7, expresado en los mismos términos, que el Anexo 7 anteriormente reproducido, consagra que: “A partir del momento en que el potencial cliente acepte la finalidad comercial de la llamada, en caso de que el mismo otorgue su consentimiento a la contratación del producto de LA EMPRESA mediante la suscripción del correspondiente contrato, EL AGENTE actuará como Encargado del tratamiento para la recogida y registro de los datos personales del interesado, siendo LA EMPRESA el Responsable del Tratamiento.” y se prosigue con la especificación del contrato de encargo del tratamiento”. Como se ha indicado, EL AGENTE hace referencia a B.B.B., mientras que LA EMPRESA hace referencia a Bontecu. QUINTO: Con fecha 29 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD y artículo 28.3 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/37 del RGPD, tipificadas respectivamente en el Artículo 83.4.
- a)del RGPD y Artículo 83.5.
- a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: 1º. Por el incumplimiento de lo dispuesto en el artículo 28.3 del RGPD. La parte reclamada señala que a continuación hace referencia a cada una de las especificaciones que esta Agencia considera no conformes y motivo de incumplimiento y que, por lo contrario, Bontecu entiende que están reguladas en este acto jurídico que se adjunta de nuevo ANEXO 1- Contrato de Agencia. Bontecu hace el siguiente desglose respecto a los términos del contrato: “La duración”: (ANEXO 7, Pág. 42 del contrato de agencia) “III. Duración: El presente acuerdo tiene la duración especificada en el presente Contrato. Una vez finalice el presente Contrato, el encargado del tratamiento debe devolver al responsable los datos personales, y suprimir cualquier copia que mantenga en su poder. No obstante, podrá mantener bloqueados los datos para atender posibles responsabilidades administrativas y jurisdiccionales”. Esta remisión a la duración contenida en el acto jurídico que vincula al Responsable y Encargado de tratamiento, viene en el punto TERCERO. – DURACIÓN del contrato de Agencia (Pág. 3 del contrato de agencia). “El presente Contrato tendrá una duración indefinida mientras dure la prestación de servicio y no sea revocada de forma unilateral.” “La naturaleza específica del tratamiento y la finalidad concreta del uso de los datos personales”: Se especifica al inicio del ANEXO 7 al indicar que se refiere a los datos de contacto de los potenciales clientes que serán los destinatarios de su actividad de captación. También especifica que “los tipos de datos” objeto del tratamiento son los consignados en el contrato de suministro y si se comprueba dicho contrato que obra en poder de esta Agencia, son los datos básicos de contacto y necesarios para llevar a cabo la prestación, por lo que este contenido se extrae la naturaleza de los datos tratados y lo que se refiere “a las categorías de interesados involucrados” se deja claro que dichas categorías son Potenciales Clientes. Hay remisión a ello en dicho Anexo 7 Pág. 41 y 42 del contrato de agencia. Aunque el acto jurídico carece de un apartado como tal, dicha información si está regulada e informada este anexo y acto jurídico al Encargado, haciendo mención a los datos necesarios para llevar a cabo la prestación del servicio encomendado. Por otro lado, también contiene instrucciones documentadas del responsable “sobre cómo debe tratar los datos el encargado”: (IV. Obligaciones del encargado del tratamiento. Pág. 43 y 44 del contrato de agencia.): El encargado del tratamiento y todo su personal se obliga a: -Con carácter general, cumplir con la normativa vigente en materia de protección de datos, concretamente el RGPD y la normativa nacional vigente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/37 -Utilizar los datos personales a los que tenga acceso sólo para la finalidad objeto de este encargado. -Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento. Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos, el encargado informará inmediatamente al responsable. - No comunicar los datos a terceros, salvo en los supuestos legamente admisibles. - Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargado, incluso después de que finalice el contrato. - Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que se le informarán. - Mantener a disposición del responsable la documentación acreditativa del cumplimiento normativo. - Implementar las medidas de seguridad previstas en relación con los datos personales que trate, asegurándose de que únicamente tengan acceso a dichos datos aquellos empleados cuya intervención sea precisa para la finalidad contractual. - Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas. - Notificación de violaciones de la seguridad de los datos. El encargado del tratamiento notificará al responsable del tratamiento, sin dilación indebida y a través de la dirección de correo electrónico, con toda la información relevante para la incidencia. - Poner a disposición del responsable toda la información necesaria para demostrar le cumplimiento de sus obligaciones. - Auxiliar al responsable del tratamiento a implantar las medidas de seguridad necesarias para: I. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los 4 sistemas y servicios de tratamiento. II. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico. III. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. Cabe señalar que se especifica e indica como una deficiencia, la falta de una “descripción detallada de las medidas de seguridad a implementar”, cuando esta no se hace necesaria, dicha descripción, según el contenido mínimo de un contrato. Aún así en dicho párrafo anterior se indica al responsable que debe implantar las medidas de seguridad necesarias para garantizar los aspectos mencionados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/37 Además, en la cláusula Vigesimosegunda – Protección de Datos de Carácter Personal (Pág. 19 del contrato de agencia) se indica que el nombramiento debe cumplir con las medidas de seguridad establecidas en el artículo 32 del RGPD. - Además, “no se incluyen procedimientos para obtener el consentimiento expreso del responsable en caso de subcontratación”, porque no está permitido, como se indica en las obligaciones del encargado, punto IV. Del Anexo 7 “No comunicar los datos a terceros, salvo en los supuestos legamente admisibles. Por último, se indica como deficiencia del contrato, “que no existe una cláusula que regule la devolución o eliminación de los datos personales al finalizar el contrato.” Esta información es errónea ya que, si consultamos el Anexo 7, (Pág. 43) si existe dicha cláusula, se informa al Encargado, no conservará los datos de carácter personal objeto del tratamiento del contrato salvo que sea estrictamente necesario para ejercer su actividad y solo durante el tiempo estrictamente necesario. Además, existe otra remisión a dicha obligación de regulación en la duración”: (ANEXO 7, Pág. 42) “III. Duración: “Una vez finalice el presente Contrato, el encargado del tratamiento debe devolver al responsable los datos personales, y suprimir cualquier copia que mantenga en su poder. No obstante, podrá mantener bloqueados los datos para atender posibles responsabilidades administrativas y jurisdiccionales. En consecuencia, consideramos que el contrato se ajusta a los requisitos del RGPD para considerarse un contrato de encargo de tratamiento válido, con un contenido mínimo necesario”. 2º. Por el incumplimiento de lo dispuesto en el artículo 6.1 del RGPD: 15.000 € (quince mil euros). La cláusula vigesimosegunda de dicho contrato de agencia, relativa a la protección de datos personales establece que “para cumplir con la actividad de agencia objeto del contrato, el Agente, declara ser titular de un fichero con los datos de contacto de potenciales clientes en el mercado que ha sido obtenida de forma lícita, estando legitimado para realizar el tratamiento de los datos en los términos de la prestación de servicios de captación de clientes que la ha sido encomendaba por la Empresa”. “El agente actuará como Encargado del tratamiento, para la recogida y registro de los datos personales necesarios, una vez suscrito el contrato de suministro de energía” que estos serán solicitados a posteriori, una vez hecha la llamada de televenta sobre la BBDD inicial. Esto no debe confundirse con la propiedad de la BBDD inicial utilizada por el Agente, responsable del tratamiento y propietario de dichos consentimientos. Se hace constar que dicha información sobre el consentimiento informado y la grabación de la llamada no ha sido proporcionada por el Agente para demostrar dicho consentimiento expreso, En aras de colaborar con este Autoridad, Bontecu solicita a B.B.B., en escrito de 5 ampliación en febrero de 2024, la información requerida por esta Agencia. Es importante que se tenga en cuenta que no corresponde en este sentido actuar como Responsable de dicha BBDD a Bontecu. La empresa se limita a contratar a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/37 proveedor de BBDD en base a normativa vigente, pero esta no determina de ningún modo, ni toma ninguna decisión sobre «por qué» y «cómo» tratar dichos datos, ya que no se tiene control sobre la misma. En base a dichos argumentos, consideramos que Bontencu no incumple los dispuesto en el art. 6.1 del RGPD en base a la obtención del consentimiento informado para el tratamiento sus datos personales para llevar a cabo las llamadas comerciales al reclamante”. Bontecu solicita que se le exonere de toda responsabilidad derivada del acuerdo de inicio de procedimiento sancionador, tomando como válidas las actuaciones expresadas y se tome como prueba toda la documentación aportada en los distintos procesos de reclamación. SÉPTIMO: Con fecha 14 de marzo de 2025, se formuló propuesta de resolución en el sentido siguiente: “- Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a BONTECU DISTRIBUCIONES S.L., con NIF B06974141: - o Por el incumplimiento de lo dispuesto en el artículo 6.1 del RGPD tipificado en el artículo 83.5
- a)del RGPD con una multa administrativa de 15.000 € (quince mil euros). o Por el incumplimiento de lo dispuesto en el artículo 28.2 del RGPD tipificado en el artículo 83.4
- a)del RGPD con una multa administrativa de 5.000 € (cinco mil euros). o Por el incumplimiento de lo dispuesto en el artículo 28.4 del RGPD tipificado en el artículo 83.4
- a)del RGPD con una multa administrativa de 5.000 € (cinco mil euros). Que por la Presidencia de la Agencia Española de Protección de Datos se archive el procedimiento sancionador dirigido a BONTECU DISTRIBUCIONES S.L., con NIF B06974141 por el incumplimiento del artículo 28.3 del RGPD”. Así, el importe total de las sanciones recogidas en la propuesta de resolución supone 25.000 € (VEINTICINCO MIL EUROS). La notificación de esta propuesta de resolución fue debidamente entregada a BONTECU en fecha 24 de marzo de 2025 a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular alegaciones. OCTAVO: Con fecha 7 de abril de 2025, se recibió escrito de alegaciones a la propuesta de resolución en el que BONTECU, básicamente, reitera sus alegaciones anteriores y solicita que se le exonere de toda responsabilidad. De lo expuesto en este escrito cabe destacar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/37 1) - Por el incumplimiento de lo dispuesto en el artículo 6.1 del RGPD; base de licitud del tratamiento “Se hace constar que dicha prueba sobre el consentimiento informado respecto a la grabación de la llamada no ha sido proporcionada por el Agente por lo que pese a solicitarse en varias ocasiones, no se ha podido demostrar dicho consentimiento expreso. Que pese a no existir dicha colaboración por parte del colaborador B.B.B., sobre la grabación de la llamada que podría servir para demostrar la prueba de dicha cesión de datos personales de forma expresa (artículo 7 RGPD), sí nos gustaría recalcar, que el reclamante confirma en su ejercicio de derechos, que este cedió sus datos al Agente”. Además, asegura que, como los datos personales fueron proporcionados para la formalización de un contrato, la base de legitimación sería el contrato. 2) - Por el incumplimiento de lo dispuesto en el artículo 28.2 del RGPD. BONTECU, indica que el responsable del tratamiento es conocedor sobre la existencia de dicha subcontratación, y que está aprobada en el contrato de Encargado de tratamiento por el responsable de forma generalista, que el responsable pueda contratar con terceros con motivo de la prestación del servicio llevado a cabo, por lo tanto, el RESPONSABLE DEL TRATAMIENTO autoriza al ENCARGADO DEL TRATAMIENTO sobre dicha subcontratación, no incurriendo en dicho incumplimiento del artículo 28.2 RGPD. Asegura que dicha aprobación siempre es recogida en los contratos de encargado de tratamiento que FACTOR ENERGIA, S.A como responsable de tratamiento facilita a sus proveedores con acceso a datos. Además, señala que el encargado del tratamiento puede adoptar todas las decisiones organizativas y operacionales necesarias para la prestación del servicio que tenga contratado como de buena fe se han realizado a través de la contratación de B.B.B.. Señala que, en todo caso, las decisiones adoptadas han respetado las instrucciones dadas por el responsable del tratamiento en el contrato de encargo. 3) - Por el incumplimiento de lo dispuesto en el artículo 28.4 del RGPD. La parte reclamada señala que a continuación hace referencia a cada una de las especificaciones que esta Agencia considera no conformes y motivo de incumplimiento y que, por lo contrario, BONTECU entiende que están -reguladas en este acto jurídico que se adjunta de nuevo ANEXO 1-Contrato de Agencia. BONTECU hace el siguiente desglose respecto a los términos del contrato: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/37 “La duración”: (ANEXO 7, Pág. 42 del contrato de agencia). “III. Duración: El presente acuerdo tiene la duración especificada en el presente Contrato. Una vez finalice el presente Contrato, el encargado del tratamiento debe devolver al responsable los datos personales, y suprimir cualquier copia que mantenga en su poder. No obstante, podrá mantener bloqueados los datos para atender posibles responsabilidades administrativas y jurisdiccionales”. Esta remisión a la duración contenida en el acto jurídico que vincula al Responsable y Encargado de tratamiento, viene en el punto TERCERO. – DURACIÓN del contrato de Agencia (Pág. 3 del contrato de agencia). “El presente Contrato tendrá una duración indefinida mientras dure la prestación de servicio y no sea revocada de forma unilateral.” “La naturaleza específica del tratamiento y la finalidad concreta del uso de los datos personales”: Se especifica al inicio del ANEXO 7 al indicar que se refiere a los datos de contacto de los potenciales clientes que serán los destinatarios de su actividad de captación. También especifica que “los tipos de datos” objeto del tratamiento son los consignados en el contrato de suministro y si se comprueba dicho contrato que obra en poder de esta Agencia, son los datos básicos de contacto y necesarios para llevar a cabo la prestación, por lo que este contenido se extrae la naturaleza de los datos tratados y lo que se refiere “a las categorías de interesados involucrados” se deja claro que dichas categorías son Potenciales Clientes. Hay remisión a ello en dicho Anexo 7 Pág. 41 y 42 del contrato de agencia. Aunque el acto jurídico carece de un apartado como tal, dicha información si está regulada e informada este anexo y acto jurídico al Encargado, haciendo mención a los datos necesarios para llevar a cabo la prestación del servicio encomendado. Por otro lado, también contiene instrucciones documentadas del responsable “sobre cómo debe tratar los datos el encargado”: (IV. Obligaciones del encargado del tratamiento. Pág. 43 y 44 del contrato de agencia.): El encargado del tratamiento y todo su personal se obliga a: - Con carácter general, cumplir con la normativa vigente en materia de protección de datos, concretamente el RGPD y la normativa nacional vigente. - Utilizar los datos personales a los que tenga acceso sólo para la finalidad objeto de este encargado. - Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento. Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos, el encargado informará inmediatamente al responsable. - No comunicar los datos a terceros, salvo en los supuestos legamente admisibles. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargado, incluso después de que finalice el contrato. - Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que se le informarán. - Mantener a disposición del responsable la documentación acreditativa del cumplimiento normativo. - Implementar las medidas de seguridad previstas en relación con los datos personales que trate, asegurándose de que únicamente tengan acceso a dichos datos aquellos empleados cuya intervención sea precisa para la finalidad contractual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/37 - Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas. - Notificación de violaciones de la seguridad de los datos. El encargado del tratamiento notificará al responsable del tratamiento, sin dilación indebida y a través de la dirección de correo electrónico, con toda la información relevante para la incidencia. - Poner a disposición del responsable toda la información necesaria para demostrar le cumplimiento de sus obligaciones. - Auxiliar al responsable del tratamiento a implantar las medidas de seguridad necesarias para: I. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. II. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico. III. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. Cabe señalar que se especifica e indica como una deficiencia, la falta de una “descripción detallada de las medidas de seguridad a implementar”, cuando esta no se hace necesaria, dicha descripción, según el contenido mínimo de un contrato. Aún así en dicho párrafo anterior se indica al responsable que debe implantar las medidas de seguridad necesarias para garantizar los aspectos mencionados. Además, en la cláusula Vigésimosegunda – Protección de Datos de Carácter Personal (Pág. 19 del contrato de agencia) se indica que el nombramiento debe cumplir con las medidas de seguridad establecidas en el artículo 32 del RGPD. - Además, “no se incluyen procedimientos para obtener el consentimiento expreso del responsable en caso de subcontratación”, porque no está permitido, como se indica en las obligaciones del encargado, punto IV. Del Anexo 7 “No comunicar los datos a terceros, salvo en los supuestos legamente admisibles. Por último, se indica como deficiencia del contrato, “que no existe una cláusula que regule la devolución o eliminación de los datos personales al finalizar el contrato.” Esta información es errónea ya que, si consultamos el Anexo 7, (Pág. 43) si existe dicha cláusula, se informa al Encargado, no conservará los datos de carácter personal objeto del tratamiento del contrato salvo que sea estrictamente necesario para ejercer su actividad y solo durante el tiempo estrictamente necesario. Además, existe otra remisión a dicha obligación de regulación en la duración”: (ANEXO 7, Pág. 42) “III. Duración: “Una vez finalice el presente Contrato, el encargado del tratamiento debe devolver al responsable los datos personales, y suprimir cualquier copia que mantenga en su poder. No obstante, podrá mantener bloqueados los datos para atender posibles responsabilidades administrativas y jurisdiccionales”. En consecuencia, consideramos que el contrato se ajusta a los requisitos del RGPD para considerarse un contrato de encargo de tratamiento válido, con un contenido mínimo necesario”. BONTECU, manifiesta que una vez evidenciado que el contrato sí que contenía los aspectos mínimos necesarias para regular un contrato de subencargado correctamente, llama la atención que se señale ahora como un aspecto negativo y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/37 contrario en la propuesta de resolución del procedimiento, la consideración de que el contenido del contrato en materia de procesamiento de datos “sea idéntico (incluidos los Anexos) al suscrito entre FACTOR ENERGÍA y BONTECU, sin perjuicio de que en aquellos lugares en los que figura FACTOR ENERGÍA (salvo el subrayado en el párrafo anterior) se sustituye por ENCIENDEENERGIA/BONTECU.” La parte reclamada señala que para establecer el contenido de los contratos que deben suscribirse entre ENCARGADOS Y SUB-ENCARGADOS, ni el RGPD ni la LOPDGDD citan, ni regulan un contenido específico y diferenciado respecto al clausulado que ya debe establecerse en los contratos de encargado de tratamiento y responsables y su contenido del art. 28RGPD, que debe replicarse respecto al subencargado. Por lo tanto, considera que no se ha producido un incumplimiento del contenido del contrato que este pueda aludir a unas cláusulas legales “idénticas”, sino más bien similares, teniendo en cuenta las salvedades del contrato que lo diferencian y que sí reconoce esta Agencia como válidas y particularizadas. Por último, indica que se consideró por esta Autoridad unos factores como agravantes de la infracción y por lo tanto de la sanción, en vinculación de la actividad del infractor con la realización de tratamientos de datos personales como consecuencia de su actividad empresarial, en base a la realización de forma habitual y continua de un elevado número de interesados, ya sea en su relación con FACTOR ENERGÍA como en otras relaciones con otros clientes Señala que actualmente, sólo existe y se mantiene un contrato de prestación de servicio respecto a esta sociedad y actividad empresarial, por lo que no se podría considerar dichas causas o factores como agravantes en vinculación de la realización de tratamiento de forma habitual y continuada conforme a un elevado número de interesados. Afirma que puede corroborarse dicha información a través de la herramienta de la que esta Autoridad dispone “AXESOR” Terminando, indicarle a esta Autoridad que los datos económicos actuales de BOTENCU, no son los que se han tomado como referencia para la propuesta de sanción, respecto a los del año 2022 como consta, siendo el volumen de negocio de 1.903.027 euros en el año 2022. Señala que el volumen de facturación que debe tomarse en cuenta en todo caso será el de año 2024 y no el del año 2022. Por todo lo anterior, pide que se evalúen todas las alegaciones presentadas y por ende se exonere a BONTECU de toda responsabilidad derivado de dicha propuesta de resolución sancionadora. NOVENO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad BONTECU DISTRIBUCIONES S.L. es una microempresa constituida en el año 2021, y con un volumen de negocios de 1.143.073 euros en el año 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/37 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 27 de junio de 2023 FACTOR ENERGÍA remitió a la parte reclamante un contrato en el que figuran: -Datos de la empresa de suministro Factor Energía. -Sello del agente autorizado Enciende Energía. -Datos del reclamante que figura como cliente (nombre, DNI, domicilio, teléfono, correo electrónico). -Datos del punto de suministro. -Código universal del punto de suministro (CUPS) de electricidad. -Firma de Factor Energía de fecha 27 de junio de 2023. -Orden de domiciliación a cargo del reclamante y a favor de FACTOR ENERGIA. -Datos bancarios del reclamante, incluido el número de cuenta. -Servicios de mantenimiento y asesoría comercial. -Solicitud de cambio de titularidad; -Formulario de desistimiento. SEGUNDO: El contrato de 27 de junio de 2023 cuenta en la esquina superior derecha con el sello identificativo de Enciende Energía (nombre comercial de Bontecu Distribuciones, S.L.U.), agente de ventas de Factor Energía. TERCERO: Bontecu subcontrató un colaborador externo (B.B.B.) para la televenta de los servicios relacionados con Factor Energía, sin que en el contrato suscrito con Factor Enegía se haga referencia a la posibilidad de realizar contratos de encargo por parte del encargado. CUARTO: El contrato de fecha 27 de junio de 2023 fue cumplimentado en llamada telefónica por el agente externo subcontratado por Bontecu (B.B.B.), si bien el contrato no está firmado porque no se llegó a formalizar y el servicio no se activó. QUINTO: El Contrato de Agencia (Televenta), celebrado entre Botencu y Factor Energía, firmado el 10 de agosto de 2021, en su cláusula primera incluye la obligación de “grabación de voz del proceso de contratación de conformidad con los argumentarios proporcionados”. No obstante, Bontecu no cuenta con la grabación de la llamada referente a la supuesta contratación efectuada por la parte reclamante y por la que habría expresado su consentimiento para la recogida de sus datos. SEXTO: El Contrato de Agencia (Televenta), celebrado entre Botencu y B.B.B. para la comercialización de productos de FACTOR ENERGÍA cuenta con un contenido idéntico al suscrito entre Botencu y Factor Energía, incluyendo lo referente a la protección de datos personales. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/37 I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1.- Sobre la infracción del artículo 28.3 del RGPD. Sostiene Bontecu que el contrato aportado se ajusta a los requisitos del RGPD para considerarse un contrato de encargo de tratamiento válido, con un contenido mínimo necesario. Esta afirmación no puede entenderse cierta, puesto que, tal y como ha quedado de manifiesto en los antecedentes de hecho, el contrato entre Bontecu y B.B.B., cuyo contenido es idéntico al celebrado entre Factor Energía y Bontecu en tanto que responsable y encargado del tratamiento, respectivamente, no contiene todos los elementos exigidos por el artículo 28.3 del RGPD. Los elementos contenidos en la cláusula vigesimosegunda y el anexo 7 expuestos en los antecedentes de hecho no especifican la finalidad del tratamiento, su naturaleza, el tipo de datos personales, ni las categorías de los interesados, de manera que no queda claro si son solo potenciales clientes o clientes del responsable. Asimismo, el objeto de encargo se especifica de manera genérica (“tratar por cuenta de BONTECU/ENCIENDEENERGÍA (…) los datos de carácter personal necesarios para realizar la actividad de agencia en modalidad de televenta que se especifica en el presente contrato (promoción y distribución comercial de las distintas modalidades de suministro de energía eléctrica y/o gas y otros productos accesorios ofertados por BONTECU/ENCIENDEENERGÍA)”. A este respecto conviene apuntar que, aun cuando no se indique, esos productos son los de Factor Energía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/37 Así, la obligación de contenido estipulada en el artículo 28.3
- c)no puede entenderse por cumplida. De acuerdo con las Directrices 07/2020: “el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGDP: debe incluir o hacer referencia a información sobre las medidas de seguridad que se adoptarán, la obligación del encargado de obtener la aprobación del responsable antes de realizar cualquier cambio y una revisión periódica de las medidas de seguridad a fin de garantizar su adecuación a los riesgos, que pueden variar con el tiempo”. En el presente caso, únicamente se hace referencia en el contrato a que el encargado “debe cumplir con las medidas de seguridad establecidas en el artículo 32 del RGPD”, mientras que el Anexo 7 se indica “implementar las medidas de seguridad previstas en su propio documento de seguridad en relación a los datos personales, asegurándose de que únicamente tengan acceso a dichos datos aquellos empleados cuya intervención sea precisa para la finalidad contractual”. Por otra parte, no hace mención alguna a lo establecido en el artículo 28.3
- d)referente a la posibilidad de recurrir a un subencargado previa autorización por escrito del responsable del tratamiento, que podrá ser genérica o específica. Aun cuando Bontecu en sus alegaciones al acuerdo de inicio asevere: “no se incluyen procedimientos para obtener el consentimiento expreso del responsable en caso de subcontratación, porque no está permitido, como se indica en las obligaciones del encargado, punto IV. Del Anexo 7 No comunicar los datos a terceros, salvo en los supuestos legamente admisibles”. Esta afirmación resulta llamativa, puesto que, como se ha señalado el contrato celebrado entre Bontecu y B.B.B. es una reproducción literal (con modificación del nombre de las entidades participantes en el mismo) del establecido entre Bontecu y su responsable. Por lo que, conforme a la interpretación de Bontecu, aun cuando esa previsión no puede entenderse que atiende lo exigido por el artículo 28.3 d), implicaría que no cabe subcontratación por parte de Bontecu. En cuanto a las previsiones establecidas en el artículo 28.3 f), no se precisan en el contrato ni en el Anexo 7 el detalle del modo en que el encargado deberá ayudar al responsable a cumplir con sus obligaciones, únicamente se indica que “pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones”. Lo que supone una mera reproducción del RGPD. En relación con las obligaciones previstas en el artículo 28.3 h), no se precisa de manera detallada la frecuencia o cómo debe intercambiarse información entre el encargado y el responsable. De lo anterior, se deriva, en consecuencia, que el contrato no cumple con las exigencias definidas en el artículo 28.3 del RGPD. No obstante, conviene apuntar que, tal y como se ha señalado en el epígrafe de cuestiones previas, la relación entre Bontecu y B.B.B., se encuadra en el seno de la relación que Bontecu mantiene con Factor Energía para la comercialización de los productos de esta, como ha ocurrido en este caso concreto. En consecuencia, como ya se ha explicado, B.B.B. actúa como subencargado de Factor Energía, o encargado del encargado de Factor Energía (que es Bontecu). Por tanto, el incumplimiento de los elementos estipulados en el artículo 28.3 del RGPD debe enmarcarse en este caso en las obligaciones específicas que el RGPD impone al encargado del tratamiento cuando realiza la contratación de un subencargado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/37 Así, el artículo 28 en su apartado 4 impone al encargado cuando este recurra a un subencargado, la adopción de un contrato con las mismas obligaciones de protección que las previstas en el artículo 28.3 anteriormente analizado (el subrayado es de la AEPD): “4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado”. En consecuencia, atendiendo a las circunstancias concretas de este supuesto, procedería el archivo de la presunta infracción del artículo 28.3 del RGPD, sin perjuicio de la imputación del mencionado artículo 28.4 que el RGPD prevé expresamente para casos como el presente. 2.- Sobre la infracción del artículo 6 del RGPD. Bontencu sostiene que no incumple con lo dispuesto en el art. 6.1 del RGPD en base a la obtención del consentimiento informado para el tratamiento sus datos personales para la recogida de los datos de la parte reclamante para la suscripción de un contrato con Factor Energía, tal y como exigían las instrucciones establecidas por esta última. Al respecto, Bontecu hace constar: “que dicha información sobre el consentimiento informado y la grabación de la llamada no ha sido proporcionada por el Agente para demostrar dicho consentimiento expreso, En aras de colaborar con este Autoridad, Bontecu solicita a B.B.B., en escrito de 5 ampliación en febrero de 2024, la información requerida por esta Agencia. Es importante que se tenga en cuenta que no corresponde en este sentido actuar como Responsable de dicha BBDD a Bontecu. La empresa se limita a contratar a un proveedor de BBDD en base a normativa vigente, pero esta no determina de ningún modo, ni toma ninguna decisión sobre «por qué» y «cómo» tratar dichos datos, ya que no se tiene control sobre la misma”. En definitiva, alega Bontecu que no puede tener la consideración del responsable del tratamiento conforme a lo señalado en el contrato celebrado con el agente externo arriba mencionado. Al respecto, debe recordarse el concepto funcional de la condición de encargado y responsable del tratamiento, que, de acuerdo con las Directrices del CEPD 07/2020, implica que la determinación de cada figura en un caso concreto se basa en un análisis de los hechos y no en un análisis formal. Es decir, su objetivo es, en palabras del CEPD: “(…) asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/37 tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato). Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable”. Además, el artículo 28.10 del RGPD establece: “10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. En definitiva, esto supone que el encargado del tratamiento responde como responsable del tratamiento en las situaciones en las que el encargado haya tratado datos personales o bien para fines que le sean propios o bien en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del tratamiento sobre los fines y los medios del tratamiento, o en aquellos casos en los que que realice actuaciones que el responsable no hubiera autorizado. Estas circunstancias se encuentran presentes en el caso actual, en el que el encargado del tratamiento (Bontecu) subcontrató con un tercero no autorizado, que, en nombre de Bontecu, recogió los datos de la parte reclamante sin seguir las instrucciones establecidas por el responsable. Estas instrucciones exigían: “Grabación de voz del proceso de contratación de conformidad con los argumentarios proporcionados por LA EMPRESA y que se adjuntan como Anexo 8. Deberá asegurarse que el cliente está debidamente informado de que la suscripción del contrato implica un cambio de compañía comercializadora”. Además, conviene remarcar que el RGPD consagra el principio de responsabilidad proactiva del responsable del tratamiento, que implica, de acuerdo con el artículo 5.2 RGPD que: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”. Este principio se reitera en el artículo 24 del RGPD que señala: “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. En consecuencia, corresponde al responsable del tratamiento demostrar que el tratamiento se ha realizado conforme al RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/37 En el presente supuesto, a pesar del requerimiento expreso de la AEPD, Bontecu, no ha aportado a esta Agencia la grabación de la llamada del proceso de contratación en la que se mostrara el consentimiento de la parte reclamante para la recogida de sus datos y potencial suscripción de un contrato. Tampoco ha quedado acreditada ninguna otra base de legitimación de las previstas en el artículo 6 del RGPD. Por tanto, se desestima la presente alegación. III Contestación a las alegaciones presentadas a la propuesta de resolución Las alegaciones formuladas no desvirtúan los fundamentos que justifican el acuerdo adoptado en la presente resolución. BONTECU plantea en su escrito de alegaciones a la propuesta de resolución, básicamente, las mismas alegaciones que formuló con ocasión de la apertura del procedimiento, sin considerar los hechos constatados y los fundamentos que sirvieron de base a la mencionada propuesta, que esta resolución hace suyos, en los que se analizan ampliamente las circunstancias puestas de manifiesto por dicha entidad y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en su nuevo escrito de alegaciones quedan sobradamente rebatidos con los argumentos transcritos en el Fundamento de Derecho anterior y en los que siguen, que se consideran válidos y suficientes para rechazar los planteamientos de BONTECU. Sin perjuicio de lo anterior, se estima oportuno ampliar esa respuesta como sigue: 1) - Por el incumplimiento de lo dispuesto en el artículo 6.1 del RGPD; base de licitud del tratamiento BONTECU en sus alegaciones a la propuesta de resolución, en las que reitera lo alegado en su anterior escrito, expone nuevamente el contenido de los documentos ya aportados de los que resulta que Bontecu no ha acreditado que la parte reclamante facilitara su consentimiento o que existiera ninguna otra base de legitimación, aun cuando su responsable le exigiera la grabación de la llamada a la parte reclamante. En sus alegaciones a la propuesta de resolución señala, sin embargo, que, sin perjuicio de lo señalado previamente sobre que la base de legitimación para el tratamiento era el consentimiento, considera que, en cualquier caso, existiría base de legitimación puesto que los datos se recabaron en el marco de una relación precontractual. Por tanto, asegura que la base legitimadora sería, en su caso, lo previsto en el artículo 6.1
- b)del RGPD. Al respecto, debe señalarse que la determinación de la una base de legitimación válida corresponde al responsable del tratamiento y que, aun en el supuesto de que existieran varias bases de legitimación posibles, es el responsable del tratamiento quien debe seleccionar, con carácter previo al inicio de este, la más adecuada. En este sentido se pronuncian las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 del CEPD cuando señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/37 “(…)121. El artículo 6 establece las condiciones para un tratamiento lícito de los datos personales y describe seis bases jurídicas a las que puede recurrir el responsable del tratamiento. La aplicación de una de estas seis bases jurídicas debe establecerse antes de comenzar la actividad de tratamiento y en relación con un fin específico. 122. Es importante señalar en este punto que, si un responsable del tratamiento elige basarse en el consentimiento para cualquier parte del tratamiento, deberá estar preparado para respetar dicha opción y detener esa parte del tratamiento si una persona retira su consentimiento. Enviar el mensaje de que los datos se tratarán sobre la base del consentimiento, mientras en realidad, se está utilizando otra base jurídica, sería realmente desleal para con los interesados. 123. Con otras palabras, el responsable no puede pasar del consentimiento a otras bases jurídicas. Por ejemplo, no le está permitido utilizar retrospectivamente la base del interés legítimo con el fin de justificar el tratamiento, cuando se encuentre con problemas con la validez del consentimiento. Debido al requisito de divulgar la base jurídica utilizada por el responsable del tratamiento en el momento de la recogida de los datos personales, los responsables deben decidir cuál es la base jurídica aplicable antes de recoger los datos (…)”. En definitiva, el responsable del tratamiento no puede, como pretende hacer ahora BONTECU, cambiar a su libre albedrío la base legitimadora del tratamiento. Por otra parte, conviene también subrayar, la importancia de no confundir el consentimiento como base de legitimación prevista por el artículo 6.1
- a)del RGPD con el consentimiento que se presta como condición previa para que un contrato sea válido conforme a la normativa contractual aplicable, entendido como una manifestación de voluntad destinada a la aceptación de los términos y condiciones de la prestación objeto del contrato. En este sentido se pronuncian las Directrices 2/2019 sobre el tratamiento de datos personales en virtud del artículo 6, apartado 1, letra b), del RGPD en el contexto de la prestación de servicios en línea a los interesados: “20. En consonancia con las obligaciones de transparencia, los responsables del tratamiento deben velar por evitar toda confusión en relación con el fundamento jurídico aplicable. Esto es especialmente relevante cuando el fundamento jurídico adecuado es el artículo 6, apartado 1, letra b), y los interesados celebren un contrato de servicios en línea. Dependiendo de las circunstancias, los interesados pueden creer erróneamente que prestan su consentimiento en consonancia con lo dispuesto en el artículo 6, apartado 1, letra a), al firmar el contrato o aceptar las condiciones del servicio. Al mismo tiempo, el responsable del tratamiento puede asumir erróneamente que la firma del contrato equivale a un consentimiento en el sentido del artículo 6, apartado 1, letra a). Sin embargo, se trata de conceptos totalmente diferentes. Es importante distinguir entre aceptar las condiciones del servicio al celebrar un contrato y prestar el consentimiento en el sentido del artículo 6, apartado 1, letra a), puesto que estos conceptos se encuentran sujetos a requisitos distintos y tienen consecuencias jurídicas diferentes”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/37 En cualquiera de los casos, se subraya que, en el presente caso, BONTECU no ha acreditado ni que el tratamiento se realizara en virtud de lo previsto en el artículo 6.1
- a)ni tampoco en virtud de lo previsto en el artículo 6.1
- b)del RGPD. Así, la aplicación del principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD, y desarrollado en el artículo 24 del RGPD a los que se hizo ya referencia en la contestación a las alegaciones al acuerdo de inicio, requieren que el responsable del tratamiento sea capaz de demostrar y acreditar su cumplimiento al RGPD. En consecuencia, aun cuando fuera posible cambiar la base de legitimación a consideración del responsable según le resulte conveniente, no se ha acreditado por BONTECU que la base legitimadora fuera la prevista en el artículo 6.1
- b)del RGPD. Así, esta base permite el tratamiento de los datos que se enmarque en el seno de una relación contractual con el interesado o que el tratamiento se realizara para la aplicación de medidas precontractuales que fueran solicitadas por este. No obstante, en el presente caso, no consta ni al existencia de un contrato suscrito con el afectado, ni, tampoco, que el tratamiento se realizara como consecuencia de la aplicación de medidas contractuales que fueran peticionadas por el afectado. 2) - Por el incumplimiento de lo dispuesto en el artículo 28.2 del RGPD. Se indica por BONTECU que el responsable del tratamiento es conocedor de la existencia de dicha subcontratación que está aprobada en el contrato de Encargado de tratamiento por el responsable de forma generalista, que el responsable pueda contratar con terceros con motivo de la prestación del servicio llevado a cabo. No obstante, BONTECU no acredita tal afirmación. Así, tal y como se recogía ya en la contestación a las alegaciones al acuerdo de inicio, el contrato entre BONTECU y B.B.B. no hace mención alguna a la posibilidad de recurrir a un subencargado previa autorización por escrito del responsable del tratamiento, que podrá ser genérica o específica. No debe olvidarse, por otra parte, que contrariamente a lo ahora señalado por BONTECU, en sus alegaciones al acuerdo de inicio se señaló “no se incluyen procedimientos para obtener el consentimiento expreso del responsable en caso de subcontratación, porque no está permitido, como se indica en las obligaciones del encargado, punto IV. Del Anexo 7 No comunicar los datos a terceros, salvo en los supuestos legamente admisibles”. Es decir, BONTECU reconocía que no estaba permitido. Además, tal y como se recoge en el fundamento jurídico correspondiente a la infracción del artículo 28.2, al que se remite, la propia Factor Energía reconocía en escrito a esta Agencia de 29 de septiembre de 2023 que BONTECU operaba con “mala praxis” en la contratación de canales externos de televenta. Debe subrayarse que la contratación de encargados adicionales por parte del encargado inicial, requiere, en cualquier caso, la autorización escrita previa del responsable del tratamiento sea esta específica o general. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/37 Las directrices 07/2020 del CEPD aclaran que las obligaciones previstas en el artículo 28, apartado 2, se ponen en marcha «cuando un (sub)encargado del tratamiento desea recurrir a otro participante al encomendarle actividades que requieren el tratamiento de datos personales, añadiendo así otro eslabón a la cadena». Cuando el responsable del tratamiento decida aceptar determinados subencargados en el momento de la firma del contrato, deberá incluirse en el contrato o en un anexo al mismo una lista de los subencargados autorizados. La lista deberá mantenerse actualizada, de conformidad con la autorización general o específica del responsable del tratamiento. En cuanto a la contratación de subencargados del tratamiento, el RGPD prevé la posibilidad de una autorización general o específica. En caso de autorización específica, el responsable del tratamiento debe precisar por escrito qué subencargado está autorizado y para qué actividad y tiempo de tratamiento específicos. Si en el plazo establecido no se da respuesta a la solicitud de autorización específica formulada por el encargado del tratamiento, esta debe interpretarse que ha sido denegada. En caso de autorización general, el encargado del tratamiento debe dar al responsable del tratamiento la oportunidad de aprobar una lista de subencargados del tratamiento en el momento de la firma de la autorización general y la oportunidad -incluido un plazo suficiente- de oponerse a cualquier cambio posterior en los subencargados del tratamiento. El Comité recuerda que debería corresponder al encargado inicial proporcionar proactivamente cierta información al responsable y «la obligación del encargado de informar al responsable de cualquier cambio de subencargados implica que el encargado indique o señale activamente tales cambios al responsable». Esto significa que la información relativa a la identificación de todos los subencargados del encargado del tratamiento debe ser fácilmente accesible para el responsable del tratamiento. La identificación de estos agentes es especialmente pertinente para que el responsable del tratamiento pueda tener control sobre las actividades de tratamiento de las que es responsable y pueda garantizar una adecuada protección de los datos personales objeto de tratamiento. 3) - Por el incumplimiento de lo dispuesto en el artículo 28.4 del RGPD. La parte reclamada hace referencia a cada una de las especificaciones que esta Agencia considera no conformes y motivo de incumplimiento y que, por lo contrario, BONTECU entiende que están -reguladas en este acto jurídico que se adjunta de nuevo ANEXO 1-Contrato de Agencia. No obstante, suponen una reiteración de manifestaciones realizadas como alegación al acuerdo de inicio, en relación con la imputación inicial del artículo 28.3 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/37 Por tanto, en la medida en que esta cuestión ha sido debidamente analizada en la contestación a las alegaciones al acuerdo de inicio, así como en el fundamento jurídico referente a la infracción del artículo 28.4 del RGPD incluido en esta resolución, se dan por reproducidos los mismos y se remite a estos. 4) En cuanto a la apreciación de las circunstancias del artículo 83.2
- k)del RGPD en relación con lo previsto en el artículo 76.2
- b)de la LOPDGG Por otra parte, la parte reclamada discrepa de la valoración del agravante previsto en el artículo 76.2
- b)de la LOPDGG, esto es, la “la vinculación de la actividad del infractor con la realización de tratamientos de datos personales” puesto que, asegura, que “solo mantiene contratos de prestación de servicios con esta sociedad (sin especificar cual) y actividad empresarial”. Se señala que, resulta inapelable que la actividad principal de BONTECU, en tanto que intermediaria de comercio de productos diversos, implica de manera habitual el tratamiento de datos personales, resultando de aplicación, por tanto, el agravante citado. 5) Sobre el volumen de negocios y la cuantificación de la multa. En cuanto a la solicitud efectuada por BONTECU sobre la actualización del volumen de negocios para que, en lugar del volumen de negocios de 2022 se utilice la del año 2024, se señala que se ha actualizado en la presente resolución el volumen de negocios al obtenido por BONTECU en el año 2023, último ejercicio disponible. Así, se observa que frente a los de 1.903.027 euros de volumen de negocio de Bontecu en el año 2022 que fue tomado como referencia inicial a la hora de fijar la multa -junto con el resto de elementos aplicables- el volumen de negocio correspondiente a 2023 es inferior (1.143.073 euros). En consecuencia, procede la estimación parcial de la alegación realizada y la consecuente minoración de la cuantía de las multas en atención a esta circunstancia. Ahora bien, se subraya que, sin perjuicio de lo anterior, que el resto de elementos tenidos en cuenta a la hora de determinar la cuantía de la multa, se mantienen. De esta manera, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
- b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Posteriormente se habrán de valorar las circunstancias agravantes o atenuantes existentes. La infracción del artículo 6 del RGPD se encuentra tipificada por el artículo 83.5 del RGPD. En virtud del mismo, la sanción que se imponga podrá ser de 20.000.000 de euros, como máximo, o, tratándose de una empresa, una cuantía equivalente al 4% C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/37 como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de la parte reclamada es de 45.722 euros. Conforme a lo anterior, la sanción a imponer para la infracción del artículo 6 del RGPD tipificada en el artículo 83.5 del RGPD (habrá de estar forzosamente entre 0 y 20.000.000 de euros. Por otra parte, las infracciones de los artículos 28.2 y 28.4 del RGPD se encuentra tipificadas en el artículo 83.4 del RGPD. De acuerdo con este, la sanción que se imponga por cada una de estas infracciones podrá ser de 10.000.000 de euros como máximo o, tratándose de una empresa, una cuantía equivalente al 2% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 2% del volumen de negocio de la parte reclamada es de 22.861,46 euros. Conforme a lo anterior, la sanción que se imponga por la infracción tipificada en el artículo 83.4 del RGPD habrá situarse entre 0 y 10.000.000 de euros. IV Primera obligación incumplida: artículo 6. Ausencia de licitud El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. «1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/37 aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En relación con lo anterior, se considera que no existen evidencias de que el tratamiento de datos de la parte reclamante objeto de esta reclamación se haya efectuado con base de legitimación de las previstas en el artículo 6 del RGPD. Tal y como se ha señalado, BONTECU no ha acreditado que la parte reclamante facilitara su consentimiento para recabar sus datos aun cuando las instrucciones de su responsable exigían expresamente la grabación de la llamada: “Grabación de voz del proceso de contratación de conformidad con los argumentarios proporcionados por LA EMPRESA y que se adjuntan como Anexo 8. Deberá asegurarse que el cliente está debidamente informado de que la suscripción del contrato implica un cambio de compañía comercializadora”. Tampoco ha acreditado que existiera ninguna otra base de legitimación, correspondiéndole a BONTECU, en cualquier caso, demostrar la misma de acuerdo con el principio de responsabilidad proactiva anteriormente explicado. Por tanto, de conformidad con las evidencias de las que se dispone se considera que los hechos conocidos son constitutivos de una infracción imputable a BONTECU por vulneración del artículo 6 del RGPD. V Tipificación de la infracción del artículo 6 y calificación a efectos de prescripción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocios total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9”. Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 establece lo siguiente: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/37
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” VI Segunda obligación incumplida: artículo 28.2 del RGPD. Condiciones del subencargo. El apartado segundo del artículo 28 del RGPD determina: “2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios”. En este sentido, el contrato suscrito entre FACTOR ENERGÍA y BONTECU no habilitaba la subcontratación de terceros. Tampoco consta otra autorización previa por escrito, ya sea general o específica, por la que Factor Energía permitiera la subcontratación de B.B.B. en tanto que subencargado. No obstante, en su respuesta a esta Agencia el 29 de enero de 2024 reconoce que B.B.B. fue subcontratada por Bontecu para dar cobertura comercial a Bontecu en el marco de su relación con Factor Energía. “Los datos obtenidos de A.A.A., han sido recogidos a través de un colaborador subcontratado por BONTECU DISTRIBUCIONES SL, en adelante “BONTECU”, empresa poseedora de la marca “EnciendeEnergía”. Los datos del contrato de prestación de servicio con FACTOR ENERGÍA SA., en adelante FACTOR ENERGÍA” se le hace llegar por parte del colaborador u Agente Externo; B.B.B., subcontratada por BONTECU para la televenta de los servicios relacionados. Las relaciones entre las partes son las siguientes: BONTECU promociona los suministros comercializados por FACTOR ENERGÍA, conforme a las instrucciones y programas de actuación determinados por FACTOR ENERGÍA, contenidos en el contrato entre ambas partes. BONTECU es una sociedad ajena a FACTOR ENERGÍA, especializada en comercialización de servicios. El Agente externo es contratado para dar cobertura comercial a BONTECU”. Esta subcontratación se realizó sin la autorización previa y expresa de Factor Energía que, entre sus manifestaciones realizadas el 29 de septiembre de 2023 a esta Agencia señala: “A fecha del presente escrito, el mencionado contrato de agencia entre BONTECU DISTRIBUCIONES, S.L.U (ENCIENDE ENERGÍA) Y FACTOR ENERGÍA no está vigente, pues recientemente por parte de nuestra compañía se le comunicó la resolución del contrato de agencia por su incapacidad manifestada de poder cumplir con las medidas y mejoras implementadas en nuestra empresa a raíz de la aprobación de nuestro protocolo interno para prevenir fraude y mala praxis en la contratación de los canales externos de televenta”. (El subrayado es de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/37 Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución del procedimiento sancionador se considera que los hechos conocidos son constitutivos de infracción del artículo 28.2 del RGPD por parte de BONTECU por contar como subencargado con B.B.B. sin contar con autorización previa y por escrito del responsable del tratamiento durante la vigencia del contrato entre BONTECU y FACTOR ENERGÍA. VII Tipificación de la infracción del artículo 28.2 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles." VIII Tercera obligación incumplida: artículo 28.4 del RGPD. Ausencia de contrato con el subencargado. El artículo 28.4 del RGPD señala: “4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/37 protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado”. En el presente caso, el contrato entre BONTECU (encargado) y B.B.B. (subencargado), aun cuando su contenido sea idéntico al suscrito entre Factor Energía y BONTECU no puede entenderse que cumple lo previsto en el artículo 28.4 del RGPD, en la medida en que no contiene los elementos exigidos por el artículo 28.3 del RGPD. Los elementos contenidos en la cláusula vigesimosegunda y el anexo 7 expuestos en los antecedentes de hecho no especifican la finalidad del tratamiento, su naturaleza, el tipo de datos personales, ni las categorías de los interesados, de manera que no queda claro si son solo potenciales clientes o clientes del responsable. Asimismo, el objeto de encargo se especifica de manera genérica (“tratar por cuenta de BONTECU/ENCIENDEENERGÍA (…) los datos de carácter personal necesarios para realizar la actividad de agencia en modalidad de televenta que se especifica en el presente contrato (promoción y distribución comercial de las distintas modalidades de suministro de energía eléctrica y/o gas y otros productos accesorios ofertados por BONTECU/ENCIENDEENERGÍA)”. A este respecto conviene apuntar que, aun cuando no se indique, esos productos son los de Factor Energía. Así, la obligación de contenido estipulada en el artículo 28.3
- c)no puede entenderse por cumplida. De acuerdo con las Directrices 07/2020: “el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGDP: debe incluir o hacer referencia a información sobre las medidas de seguridad que se adoptarán, la obligación del encargado de obtener la aprobación del responsable antes de realizar cualquier cambio y una revisión periódica de las medidas de seguridad a fin de garantizar su adecuación a los riesgos, que pueden variar con el tiempo”. En el presente caso, únicamente se hace referencia en el contrato a que el encargado “debe cumplir con las medidas de seguridad establecidas en el artículo 32 del RGPD”, mientras que el Anexo 7 se indica “implementar las medidas de seguridad previstas en su propio documento de seguridad en relación a los datos personales, asegurándose de que únicamente tengan acceso a dichos datos aquellos empleados cuya intervención sea precisa para la finalidad contractual”. Por otra parte, no hace mención alguna a lo establecido en el artículo 28.3
- d)referente a la posibilidad de recurrir a un subencargado previa autorización por escrito del responsable del tratamiento, que podrá ser genérica o específica. En cuanto a las previsiones establecidas en el artículo 28.3 f), no se precisan en el contrato ni en el Anexo 7 el detalle del modo en que el encargado deberá ayudar al responsable a cumplir con sus obligaciones, únicamente se indica que “pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones”. Lo que supone una mera reproducción del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/37 En relación con las obligaciones previstas en el artículo 28.3 h), no se precisa de manera detallada la frecuencia o cómo debe intercambiarse información entre el encargado y el responsable. De lo anterior, se deriva, en consecuencia, que el contrato no cumple con las exigencias definidas en el artículo 28.3 del RGPD que son exigidas por el artículo 28.4 del RGPD cuando el encargado recurra a un subencargado, como ocurre en el presente caso. Por tanto, de conformidad con las evidencias de las que se dispone se considera que los hechos conocidos son constitutivos de una infracción imputable a BONTECU por vulneración del artículo 28.4 del RGPD, al haber contado con B.B.B. como subencargado del tratamiento sin un contrato de subencargo en los términos especificados en el precepto anterior. IX Tipificación de la infracción del artículo 28.4 del RGPD y calificación a efectos de prescripción Como se ha señalado previamente, el artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Asimismo, ha de darse por reproducido aquí el artículo 71 LOPDGDD en los términos previamente señalados. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679." X Sanciones A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/37 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/37 2. De acuerdo con lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de las posibles infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en el afectado correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de 1.143.073 euros en el año 2023. Con carácter previo, a efectos de determinar el nivel de gravedad, se estima que concurren las circunstancias siguientes: Respecto al artículo 6 del RGPD: - La gravedad de la infracción (artículo 83.2 letra a), del RGPD): tal y como se ha señalado, todo tratamiento de datos personales debe ampararse en una base de legitimación, sin la que no puede llevarse a cabo. Pero, además, uno de los principios vertebradores del RGPD es el concepto de responsabilidad proactiva por el que todo responsable del tratamiento debe ser capaz de demostrar que este se realiza conforme al RGPD, para lo que es importante tanto la documentación de los procesos como la adecuada implementación y uso de los mismos. En el presente caso, el incumplimiento del artículo 6 pone de manifiesto deficiencias de las medidas de responsabilidad proactiva de Bontecu. Respecto a los artículos 28.2 y 28.4 del RGPD: - La gravedad de la infracción (artículo 83.2 letra a), del RGPD): en el presente caso la no formalización de las relaciones con el agente externo conforme a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/37 normativa del RGPD impide conocer con certeza las obligaciones correspondientes a cada uno de los participantes en la cadena de tratamientos. Esta incertidumbre genera inseguridades desde el punto de vista material como, por ejemplo, respecto a las medidas de seguridad que habrán de ser adoptadas específicamente por el subencargado o cómo se configura la asistencia al responsable con las obligaciones relacionadas con las brechas de datos personales. Asimismo, y en lo que respecta al artículo 28.4 del RGPD, si bien el presente procedimiento sancionador nace de una reclamación, el alcance de los posibles afectados por esta misma circunstancia afectaría a todos los clientes o potenciales clientes de Factor Energía recabados por el subencargado, lo que impacta, asimismo, en el control sobre sus datos personales de estos clientes o potenciales clientes. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes en relación con las infracciones de los artículos 6, 28.2 y 28.4 del RGPD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
- k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): BONTECU, como consecuencia de su actividad empresarial (servicio de comercialización de energía), realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, ya sea en el marco de su relación con Factor Energía como en otras relaciones. La realización de operaciones correspondientes su actividad principal, implica necesariamente operaciones de tratamiento de datos personales. Así, las acciones infractoras se producen en el marco de un tratamiento de datos personales que habitualmente realiza BONTECU en su negocio y ligado a este. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a las infracciones cometidas al vulnerar lo establecido en el RGPD, permite fijar: - Una sanción de multa administrativa de 6.000 euros, por vulneración del artículo 6 del RGPD. - Una sanción de multa administrativa de 2.000 euros, por vulneración del artículo 28.2 del RGPD. - Una sanción de multa administrativa de 2.000 euros, por vulneración del artículo 28.4 del RGPD. Lo que supone un total de 10.000 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a BONTECU DISTRIBUCIONES S.L., con NIF B06974141: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/37 - Por el incumplimiento de lo dispuesto en el artículo 6.1 del RGPD tipificado en el artículo 83.5
- a)del RGPD con una multa administrativa de 6.000 € (seis mil euros). - Por el incumplimiento de lo dispuesto en el artículo 28.2 del RGPD tipificado en el artículo 83.4
- a)del RGPD con una multa administrativa de 2.000 € (dos mil euros). - Por el incumplimiento de lo dispuesto en el artículo 28.4 del RGPD tipificado en el artículo 83.4
- a)del RGPD con una multa administrativa de 2.000 € (dos mil euros). - Que por la Presidencia de la Agencia Española de Protección de Datos se archive el procedimiento sancionador dirigido a BONTECU DISTRIBUCIONES S.L., con NIF B06974141 por el incumplimiento del artículo 28.3 del RGPD. Así, el importe total de las sanciones recogidas en la presente resolución sería de 10.000 € (DIEZ MIL EUROS). SEGUNDO: NOTIFICAR la presente resolución a BONTECU DISTRIBUCIONES S.L., con NIF B06974141: TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/37 interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es