PS-00232-2024

1/31  Expediente N.º: EXP202308085 (PS/00232/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 05/05/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ENDESA ENERGIA, S.A.U. con NIF A81948077 (en adelante, ENDESA ENERGÍA/la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en marzo de 2022, la parte reclamada realizó el cambio de titularidad de su contrato con Naturgy, así como del número de cuenta sin su consentimiento; señala que un tercero solicitó el cambio de compañía y la parte reclamada lo realizó en su domicilio. Afirma haber presentado reclamación ante la Consejería de Industria de la Xunta de Galicia que finalizo mediante resolución declarando el error por la parte reclamada. Junto con la reclamación se aporta: - Contrato de Endesa a nombre del tercero, B.B.B., con domicilio en la calle ***DIRECCIÓN.1. - Mensaje de texto de la baja del contrato sin consentimiento de la parte reclamante. - Resolución de la Xunta de Galicia por suspensión indebida del suministro eléctrico. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), el 14/06/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/06/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 28/07/2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/31 notificada a la parte recurrente, en fecha 29/07/2023, según consta acreditado en el expediente. CUARTO: Con fecha 09/08/2023 la parte reclamante interpuso recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída, mostrando su disconformidad con la resolución impugnada, solicitando la admisión a trámite de la reclamación inicial presentada. Con fecha 27/10/2023 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la LPACAP a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que llevó a cabo mediante escrito de respuesta de fecha 23/11/2023. QUINTO: Con fecha 18/12/2023 la Directora de la AEPD dicto resolución estimando el recurso de reposición interpuesto por la parte reclamante contra la resolución dictada en fecha 28/07/2023, y, se admitía a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 15/01/2024 se solicitó a la parte reclamada para que informase sobre las causas del error en el proceso de contratación que motivó la incidencia producida; actuaciones realizadas y medidas adoptadas. En respuesta al requerimiento la parte reclamada ha informado que en relación con las causas del error en el proceso de contratación que motivó la baja del punto de suministro ubicado en la dirección ***DIRECCIÓN.2. CUP GAS: ***GAS.1, CUP LUZ: ***LUZ.1, los representantes de la parte reclamada manifiestan que, según figura en sus sistemas internos, con fecha 08/03/2022, fueron registradas sendas solicitudes de contratación relativas al suministro de electricidad y de gas para el punto de suministro sito en la calle ***DIRECCIÓN.1, a nombre de B.B.B., a través de un punto de venta presencial de la compañía. Dichas solicitudes fueron gestionadas por un agente del proveedor de la compañía “Salesland, S.L.” que se encarga de, entre otros, prestar servicios de venta y tramitación de contrataciones de sus productos y servicios. El error que cometió el agente que atendió la solicitud de B.B.B. y procedió a la gestión de la contratación, fue insertar en el sistema la dirección del punto de suministro de la interesada tal y como aparecía en su D.N.I., es decir, indicando la vía, número, piso, letra y municipio. Al no especificarse en el sistema el portal de la dirección del punto de suministro, se produjo un error de asociación de la solicitud de alta de B.B.B., con el punto de suministro del que era titular la parte reclamante – cuya dirección coincidía en cuanto a la vía, número, piso, letra y municipio, salvo el portal. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 3/31 Este error de asociación provocó que, cuando B.B.B. procedió a la firma del contrato de suministro de gas y electricidad el día 05/03/2022 – contrato en el que se reflejaba tanto la dirección del punto de suministro, como los CUPS, concretamente el CUPS de electricidad ***LUZ.1 y el CUPS de gas ***GAS.1 – se iniciara el proceso de cambio de titularidad y de compañía comercializadora, de acuerdo con lo dispuesto en la normativa aplicable sectorial. Con fecha 29/03/2022, B.B.B., titular de los contratos de suministro de electricidad y de gas asociados al CUPS de electricidad ***LUZ.1 y al CUPS de gas ***GAS.1, solicitó la cancelación de dichos contratos y la baja de los suministros, a través del canal de Atención al Cliente telefónico. Como consecuencia de esa petición de baja, la vivienda del reclamante quedó temporalmente sin suministro. En el momento en que B.B.B. solicitó la cancelación de los contratos y la baja de los suministros, la parte reclamada no había recibido ninguna reclamación acerca del error en la identificación del punto de suministro, por lo que se limitó a atender la solicitud de baja de quien figuraba como titular de los contratos de suministro del punto de suministro con CUPS de electricidad ***LUZ.1 y CUPS de gas ***GAS.1. En relación con las actuaciones realizadas por la parte reclamada para solucionar el incidente los representantes de la entidad manifiestan que la entidad no fue conocedora del incidente que provocó el cambio de titularidad y de compañía comercializadora de los contratos de suministro de luz y gas de la vivienda de la parte reclamante, hasta después de que la que era la titular de dichos contratos, B.B.B., solicitara la cancelación de estos y la baja de los suministros, con fecha 29/03/2022, sin que B.B.B. hiciera mención alguna del error en el proceso de contratación – lo cual hubiera permitido proceder a la reposición de los suministros con la anterior compañía comercializadora, evitando así el fin del suministro. Desde el 11/05/2022, cuando la entidad tuvo conocimiento del incidente a través del escrito remitido por la Consejería de Industria de la Xunta de Galicia en el que trasladaba la reclamación interpuesta por la parte reclamante, hasta el 05/07/2023, en que la entidad envió una última comunicación a la parte reclamante (que no obtuvo respuesta) detallando las cantidades y conceptos sobre los que estaría en disposición de llegar a un acuerdo compensatorio, la Unidad Territorial de Reclamaciones de Endesa Energía (en adelante “UTR”) ha intentado en repetidas ocasiones contactar (tanto telefónicamente, como por carta) con la parte reclamante, con el fin de ofrecer una compensación económica por los perjuicios ocasionados como consecuencia de la incidencia que tuvo lugar, puesto que, dado que los suministros ya habían sido repuestos, no era necesaria ninguna actuación adicional en ese sentido. En relación con las medidas adoptadas para evitar la repetición de este tipo de errores en el futuro, los representantes de la entidad manifiestan que con el objeto de prevenir que puedan producirse incidencias similares y con motivo de la Decisión Jurídica Vinculante DJV/DE/005/22 de la Comisión Nacional de los Mercados y la Competencia, se ha introducido una medida de refuerzo en la identificación del punto de suministro en el proceso de contratación, consistente en que, antes de proceder a la firma del contrato, se muestre en el dispositivo de firma, específicamente y con claridad, el trinomio “titular del punto de suministro, dirección del punto de suministro y C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/31 CUPS” para que el solicitante del alta del contrato de suministro pueda confirmar esos datos antes de validar la contratación, con el objeto de que se pueda identificar de manera evidente si hay discrepancias en los datos. En relación con las instrucciones se facilitaron en la fecha de la contratación al agente comercial para verificar que la persona que contrata tiene relación con el punto de suministro, los representantes de la entidad manifiestan:  Que la solicitud de contratación objeto de análisis fue gestionada desde un punto de venta (“stand”) de la entidad en una gran superficie (en adelante, “Canal Stand”). Este canal de venta cuenta con un procedimiento específico para aquellas contrataciones que impliquen un cambio de titularidad en el contrato de acceso. Dicho procedimiento contempla las distintas casuísticas que pueden darse en caso de cambio de titular, así como los documentos admitidos como “justo título” que deberá aportar el solicitante a cuyo nombre pasará el contrato de suministro y que serán imprescindibles para poder tramitar la contratación. Aportan copia del Procedimiento de Cambio de titular para el Canal Stand. Además de lo anterior, los cambios de titularidad propuestos conllevan un control de calidad adicional que supone la realización de una llamada de verificación con el fin de detectar posibles irregularidades en la contratación.  El motivo de la incidencia que provocó el cambio de titularidad y de comercializadora de los contratos de suministro de gas y de electricidad de los que era titular la parte reclamante, tiene su origen en la actuación de un agente del Canal Stand que, al atender la solicitud de contratación de un tercero que, aparentemente no implicaba un cambio de titularidad en los contratos de acceso, no especificó en el sistema de contratación la letra del portal de la dirección del punto de suministro – puesto que así, sin el aclarador del portal, figuraba en el D.N.I. del solicitante – dando lugar a un error de asociación de dicha solicitud con el punto de suministro correspondiente a la vivienda de la parte reclamante, cuya dirección coincidía en cuanto a la vía, número, piso, letra y municipio, salvo el portal. Por tanto, no se aplicó correctamente el Procedimiento de Cambio de titular para el Canal Stand. A requerimiento de la Agencia aportan copia del DNI de B.B.B. que se facilitó en el momento de la contratación, dicho documento refleja la misma dirección que se incluyó en el contrato y no incluye el aclarador del portal Aportan copia del contrato firmado por B.B.B.. Con relación a si consta en la entidad que hubiera habido una cesión de los datos personales del reclamante a B.B.B.. los representantes de la entidad indican que no se ha producido cesión alguna de los datos personales de la parte reclamante a B.B.B.. Además, según aparece reflejado en los sistemas de la parte reclamada cuando se registraron las reclamaciones de la parte reclamante, se envió un acuse de recibo a la dirección de correo electrónico de B.B.B., quien figuraba como titular del punto de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/31 suministro. Concretamente, con fecha 25/04 y 29/05/2023 respectivamente, se envió un acuse de recibo de las reclamaciones interpuestas y, con fecha 05/06/2023, se envió un aviso de llamada, a la dirección de correo electrónico de B.B.B.. Ahora bien, dichas comunicaciones no recogían información relativa a la reclamación interpuesta, ni datos identificativos o de contacto de la parte reclamante. En las plantillas aportadas para el correo electrónico que se envía en los casos de acuse de recibo y de aviso de llamada no recoge datos relativos a la reclamación, ni identificativos o de contacto del reclamante. Finalmente, según comunica la Unidad Territorial de Reclamaciones de la parte reclamada todas las comunicaciones relacionadas con la reclamación interpuesta por la parte reclamante se dirigieron a la dirección de correo electrónico indicada por este último: ***EMAIL.1. Con relación a si se puede contratar sin ser el titular del servicio y motivo por el que no se detectó el error en la distribuidora, los representantes de la entidad indican la Ley 24/2013, de 26 de diciembre, del sector eléctrico (en adelante, “Ley del Sector Eléctrico”) promueve “[…] la mejora de la posición del consumidor en cuanto a información disponible y facilitación de los procesos de cambio de suministrador entre otros”. Esta ley establece pues el derecho del consumidor a cambiar de empresa comercializadora conforme a lo establecido en las directivas europeas del mercado interior de electricidad. Y para ello, la normativa establece el proceso general de comunicación que debe llevarse a cabo entre la nueva comercializadora o comercializadora entrante, la distribuidora y la comercializadora existente o comercializadora saliente, cuando se produce una contratación con cambio de comercializadora. Dicho cambio implica el intercambio de cierta información para ejecutar el alta de un nuevo contrato de suministro energético con la comercializadora entrante y la baja del contrato existente con la comercializadora saliente, a través de un agente que centraliza la información intercambiada y ejecuta el cambio, que es la distribuidora. El procedimiento que se sigue en este tipo de contrataciones es el siguiente: 1) Una vez el nuevo cliente contrata con la entidad el suministro energético en un punto de suministro en el que estaba siendo prestado el servicio por otra comercializadora (es decir, no se trata de un alta nueva), la entidad (en este caso la comercializadora entrante) remite una solicitud de cambio de comercializadora a la empresa distribuidora de la zona a cuya red está conectado el punto de suministro de que se trate. 2) La distribuidora recibe la comunicación de la entidad (la comercializadora entrante) y analiza y acepta o rechaza la petición de contratación. Los criterios para aceptar o rechazar la contratación están tasados por la Resolución de la CNMC de 17/12/2019 – se trata de comprobaciones formales de determinada información. 3) En caso de que la distribuidora rechace la solicitud, por no cumplirse alguna de las especificaciones definidas en la Resolución de la CNMC de 17 de diciembre de 2019, se comunica tal hecho y su motivo a Endesa Energía (esto es, a la comercializadora entrante de quien la distribuidora ha recibido la solicitud de cambio) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/31 para que subsane el error en su solicitud, puesto que, tal como señalamos, se trata de defectos formales. 4) En caso de aceptar la solicitud, la distribuidora remite una comunicación a la comercializadora saliente, indicándole que se ha producido un cambio de comercializadora, para que la comercializadora saliente proceda a la baja del servicio en ese punto de suministro. 5) En caso de aceptar la solicitud, la distribuidora informa igualmente a la entidad (la comercializadora entrante) de la aceptación para que ésta proceda con la activación efectiva del contrato. La normativa aplicable busca facilitar la contratación por parte de los interesados, sin obstaculizar el cambio de titularidad, sobre todo en aquellos supuestos cotidianos, tales como cambio de residencia o vivienda, o fallecimientos de anteriores titulares, entre otros. De este modo nada impide que se lleve a cabo el alta de un suministro con una nueva compañía comercializadora, por una persona diferente al titular original del contrato. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ENDESA ENERGIA, S.A.U. es una filial del grupo ENDESA, constituida en el año 1998, y con un volumen de negocios de 20.003.408.000 € en el año 2022. OCTAVO: Con fecha 17/07/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción por la presunta infracción del artículo 5.1.

1. d)del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD. NOVENO: Notificado el acuerdo de inicio el reclamado solicito el 23/07/2024 ampliación del plazo para contestar y copia del expediente; ampliación que fue concedida y copia que le fue trasladada el 24/07/2024. La parte reclamada presentó escrito de alegaciones el 06/08/2024 en las que señala, además de hacer un resumen de lo acontecido hasta la fecha lo siguiente: referencia a los antecedentes sobre el procedimiento de referencia; información relevante a los efectos del procedimiento; falta de antijuridicidad de la conducta de mi representada como consecuencia de las anomalías detectadas en la numeración de las fincas afectadas. - A este respecto insiste la parte reclamada en que el agente que realizó el contrato con la Sra. B.B.B. lo hizo tomando como correcta la dirección que figura en el DNI. Además, asegura que en este caso se da la circunstancia especial de que existen dos edificios con un mismo número de policía que se diferencia solamente por una letra, esto es: “B.B.B. vive en el inmueble señala la parte reclamada, (…) y el Sr. A.A.A. vive en el edificio de (…). Por tanto, ambos ocupan el piso (...) de sus respectivas comunidades”. Esta particularidad puede llevar a la comisión de errores en diferentes ámbitos. Manifiesta que “el error que dio lugar a la asociación de los contratos de suministro de electricidad y gas de la vivienda del Sr. A.A.A. a una tercera persona, parece resultado de diversas inexactitudes y confusiones respecto a los números de policía asignados a dos edificios contiguos en una vía pública en la que se ha realizado un C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/31 cambio de numeración” y que “existe confusión y falta de alineamiento entre documentos y registros oficiales, como se aprecia en el DNI de B.B.B., que, seguramente, dispone de escrituras de propiedad, recibos de IBI y facturas con la numeración antigua de su vivienda ((…))” - Ausencia de proporcionalidad de la cantidad relativa a infracción imputada. Subsidiariamente, y para el supuesto de que no se atienda la petición principal, sobre la procedencia de que se aplique una reducción de la sanción inicialmente propuesta”. DÉCIMO: Con fecha 02/09/2024, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados durante las actuaciones previas de investigación anteriormente mencionadas, que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. UNDÉCIMO: Con fecha 14 de marzo de 2025, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Presidencia de la AEPD se sancione a ENDESA ENERGÍA, S.A., con NIF A81948077, por la infracción del artículo 5.1.
3. d)del RGPD, tipificada en el artículo 83.5.
4. a)del RGPD, con una multa de 200.000 € (doscientos mil euros). Esta propuesta de resolución, que se notificó a la parte reclamada conforme a las normas establecidas en la LPACAP, fue recogida en fecha 17 de marzo de 2025, como consta en el acuse de recibo que obra en el expediente. DUODÉCIMO: Con fecha 3 de abril de 2025, se recibe en esta Agencia, en tiempo y forma, escrito de la parte reclamada en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, se viene a ratificar los argumentos de las alegaciones al acuerdo de inicio y se formulan las siguientes alegaciones: - La responsabilidad es atribuible a la contratante del suministro, que no advirtió del error de la dirección que constaba en su DNI, y que ENDESA ENERGÍA actuó con diligencia al actuar según la dirección en el DNI. La parte reclamante no evitó el tratamiento de sus datos pese al aviso por SMS del cambio de compañía. El error tiene como origen el domicilio existente en registros públicos (Catastro, Padrón…), siendo la dirección de ambos inmuebles, el de la contratante y el de la parte reclamante, especialmente confusa. Se invoca la figura del “error invencible”. Los datos fueron facilitados por la contratante del suministro y confirmados por ella antes de la firma del contrato. El importe de la sanción es desproporcionado, y solicita la aplicación de circunstancias atenuantes. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 8/31 De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS 1. D. A.A.A. (parte reclamante) contaba con un contrato de suministro de servicios energéticos desde el ***FECHA.1, siendo titular de los códigos universales del punto de suministro (CUPS) ***LUZ.1 (electricidad) y ***GAS.1 (gas) correspondientes a la dirección de suministro Rúa ***DIRECCIÓN.2. . 2. El 05/03/2022 Dña. B.B.B. con domicilio en la Rúa ***DIRECCIÓN.1 suscribe un contrato de energía (gas y electricidad) con ENDESA ENERGIA, S.A.U (la parte reclamada) a través de un punto de venta presencial de la compañía. 3. Durante el proceso de contratación de Dña. B.B.B., la parte reclamada vinculó erróneamente los CUPS ***LUZ.1 y ***GAS.1 de los que era titular la parte reclamante a Dña. B.B.B. y solicitó la modificación de la entidad comercializadora a la empresa distribuidora de los servicios. 4. Los CUPS ***LUZ.1 (electricidad) y ***GAS.1 (gas), titularidad de la parte reclamante, estuvieron contratados por Dña. B.B.B. entre el 10/03/2022 hasta el 30/03/2022 (electricidad) y entre el 10/03/2022 hasta el 01/04/2022 (gas). 5. El 29/03/2022 Dña. B.B.B. solicita la baja de los suministros y cancelación de los contratos de electricidad y gas por ella suscritos con la parte reclamada asociados erróneamente a los CUPS ***LUZ.1 y ***GAS.1. 6. En tanto que titular de los CUPS ***LUZ.1 y ***GAS.1, a consecuencia de la rescisión del contrato entre Dña. B.B.B. y la parte reclamada, la parte reclamante sufrió un corte de suministro de gas y electricidad durante los días 30 y 31 de marzo de 2022 en su vivienda ubicada en ***DIRECCIÓN.2. 7. Respecto al mencionado corte de suministro de gas y electricidad sufrido por la parte reclamante, el 3 de junio de 2022 la Jefatura Territorial de Pontevedra en el marco de las competencias atribuidas en virtud del Real Decreto 1955/2000, de 1 de diciembre, dicta resolución por la que determina que se produjo una ejecución indebida de corte de suministro que “obedece sustancialmente a los errores” cometidos por la parte reclamada. 8. El 29/03/2023 la parte reclamada dirigió una carta a la parte reclamante en la que reconocía que “debido a un error en el proceso de contratación, un tercero contrató los cups ***LUZ.1 y ***GAS.1 cuya titularidad le correspondía a usted”. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 9/31 De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones Previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Se debe partir de la base de que el CUPS es un identificador único asignado a cada punto de suministro de electricidad y gas, que permite identificar de manera precisa el suministro asociado a una vivienda o negocio. En consecuencia, es un dato personal en los términos definidos por el artículo 4.1 del RGPD. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 10/31 En el presente caso, consta un tratamiento de datos personales en los términos previstos en el artículo 4.2 del RGPD por parte de la parte reclamada en las diferentes actividades de contratación del suministro de gas y electricidad asociados a un domicilio. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Contestación a las alegaciones al Acuerdo de Inicio y a la Propuesta de Resolución - Contestación a las alegaciones formuladas a la Propuesta de resolución. “PREVIA.- Antecedentes sobre el procedimiento de referencia. “ En esta alegación, ENDESA ENERGÍA hace su propio resumen de los antecedentes del caso, y de los diversos trámites de este procedimiento. Sobre esta alegación cabe realizar las siguientes precisiones: 1. Si bien esta Agencia inicialmente no admitió a trámite la reclamación, considerando que no había indicios de infracción en los hechos objeto de reclamación, ante la interposición de un recurso de reposición por la parte reclamante, y previo trámite de audiencia a ENDESA ENERGÍA, esta Agencia resolvió admitir a trámite la reclamación inicialmente inadmitida, al evidenciarse indicios de inexactitud en el tratamiento de datos personales, manifestado en un cambio erróneo de titularidad de los CUPS correspondientes a la parte reclamante, lo que, posteriormente, dio lugar a la apertura del presente procedimiento ante una presunta infracción del principio de exactitud de datos (art. 5.1.d RGPD). 2. La notificación remitida a ENDESA ENERGÍA el 15 de junio de 2023 por esta Agencia, se corresponde con el traslado de la reclamación previsto en el artículo 65.4 de la LOPDGDD, a efectos de valorar la posible inadmisión de la reclamación en el caso de que el responsable haya adoptado medidas para el cumplimiento de la normativa aplicable. Sin embargo, el requerimiento de información de 15 de enero de 2024 tiene lugar en el marco de las actuaciones previas de investigación, previstas en el artículo 67 de la LOPDGDD, a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento toda vez que la resolución del recurso de reposición de fecha 18 de diciembre de 2023, admitió a trámite la reclamación contra ENDESA ENERGÍA. Por tanto, resulta adecuado que se haya incoado el procedimiento sancionador y que continúe su tramitación para determinar la existencia de una eventual infracción del artículo 5.1.
5. d)del RGPD. Por todo lo expuesto, la presente alegación debe ser desestimada. “PRIMERO.- Información relevante a los efectos del procedimiento que aquí nos ocupa.” C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 11/31 ENDESA ENERGÍA intenta eludir su responsabilidad en el error de contratación que supuso el cambio de titularidad de los CUPS de la parte reclamante y de comercializadora del suministro de gas y electricidad de la parte reclamante alegando que el origen del error se encuentra en (…) de la parte reclamante quien, en el proceso de contratación, aportó una dirección incorrecta, la de la parte reclamante. ENDESA ENERGÍA asegura que el agente simplemente trasladó esa dirección del DNI al contrato sin advertir error alguno. En este sentido, ENDESA ENERGÍA argumenta que (...) de la parte reclamante incurrió en una omisión, al no advertir que la dirección de su DNI no coincidía con la de su residencia real. Y que ella revisó y firmó el contrato sin hacer observación alguna. ENDESA ENERGÍA invoca la Ley de Seguridad Ciudadana para argumentar que el DNI es un documento suficiente para acreditar identidad y los datos de su titular, por lo que actuó diligentemente al basarse en él. Por otra parte, la parte reclamante fue informado por SMS del cambio de compañía y esperó varios días sin actuar, lo cual, según ENDESA ENERGÍA contribuyó a que el error no se corrigiera antes. De este modo, ENDESA ENERGÍA sostiene que solo tuvo conocimiento de lo ocurrido al recibir la reclamación del afectado. Por último, ENDESA ENERGÍA atribuye la responsabilidad al sistema público (DNI, Padrón, Catastro) y de (...) de la parte reclamante (la contratante), que no actualizó su documentación, por lo que considera que no se le puede imputar el incumplimiento del principio de exactitud del artículo 5.1.d del RGPD. En respuesta a estas alegaciones, en primer lugar, debe señalarse que el uso exclusivo del DNI por parte de la contratante no exime a ENDESA ENERGÍA del deber de diligencia. Aunque el artículo 8.1 de la Ley Orgánica 4/2015 reconoce valor probatorio al DNI, eso no exime a una empresa de comprobar que los datos del contrato coinciden con el punto de suministro que se pretende contratar. En los contratos de suministros energéticos la dirección postal no es suficiente para identificar el punto de suministro; siendo determinante el CUPS, que debe validarse frente a los sistemas de la distribuidora. No hay constancia de que ENDESA ENERGÍA validara esta información antes de cursar la orden de cambio del suministro. Además, el principio de exactitud del artículo 5.1.
6. d)del RGPD impone al responsable evitar errores. ENDESA ENERGÍA, como responsable del tratamiento, debe adoptar medidas razonables para garantizar que los datos tratados son exactos y están actualizados. En este caso, se produjo un tratamiento erróneo de los datos de la parte reclamante, produciendo el cambio de compañía eléctrica que no había sido solicitado, lo cual demuestra una deficiente verificación por parte de ENDESA ENERGÍA de los datos personales de quien realmente contrató con ella el suministro de electricidad, sin que el error en el DNI justifique que se activara un contrato con CUPS ajeno al contratante, especialmente sin validar con la distribuidora que el solicitante era el titular legítimo del punto de suministro. El RGPD establece que la responsabilidad del tratamiento es del responsable, y ENDESA ENERGÍA no puede escudarse en que los errores provienen del documento oficial, de la administración pública o del comportamiento de terceros como la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 12/31 contratante. Tampoco el hecho de que la parte reclamante no actuara con mayor rapidez no afecta a la ilicitud del tratamiento. ENDESA ENERGÍA no puede condicionar su cumplimiento normativo a que el afectado descubra y corrija sus errores, debió verificar que el CUPS correspondía realmente al del contratante. De haberse implementado procedimientos adecuados de comprobación, como exigir facturas previas o comprobación del titular, el error podría haberse evitado. Invocar el artículo 4.4 de la LOPDGDD es improcedente: este precepto establece una exclusión de responsabilidad en caso de inexactitud por causa de los interesados, pero solo cuando el tratamiento se limita a recoger sus datos sin vinculación con terceros. En este caso, el error ha afectado directamente a los datos la parte reclamante, una tercera persona ajena a la relación contractual, lo que supone la plena responsabilidad de ENDESA ENERGÍA. En resumen, ENDESA ENERGÍA, al activar un contrato en nombre de una persona que no lo solicitó, en un punto de suministro ajeno al del verdadero contratante, sin verificación previa del titular ni validación del CUPS, incurrió en un tratamiento erróneo de los datos de la parte reclamante, por lo que la responsabilidad le corresponde directamente. La conducta de terceros o la existencia posibles errores administrativos en el DNI, no le exime de responsabilidad ni diluye el incumplimiento de sus obligaciones como responsable del tratamiento. En todo caso, debe destacarse que no existe tal error sobre la dirección en el DNI de la persona que realizó la contratación. En este documento se indica que dicha persona tiene su residencia en la vivienda sita en la planta 4, letra C, del número “1” de la calle ***CALLE.1, de Vigo, mientras que ENDESA ENERGÍA asoció el contrato a la vivienda del reclamante, sita en sita en (…) de la calle ***CALLE.1, de Vigo. Por todo lo expuesto, la presente alegación debe ser desestimada. “SEGUNDO.- Sobre la falta de antijuridicidad de la conducta de mi representada como consecuencia de las anomalías detectadas en la numeración de las fincas afectadas.” En este segundo bloque de alegaciones, ENDESA ENERGÍA sostiene que su actuación no puede ser calificada como antijurídica, y que el error que derivó en la contratación por la parte reclamante a nombre de un tercero debe calificarse como "invencible", exonerándola de toda responsabilidad. Los principales argumentos en los ENDESA ENERGÍA sostiene su alegación son los siguientes:  El error en la dirección fue inducido por el DNI de la contratante, documento oficial que contenía la dirección de la parte reclamante.  La dirección de ambos inmuebles es especialmente confusa, por existir dos edificios contiguos ((…)) en la misma calle, con el mismo piso y letra ((...)), algo poco habitual y origen de errores anteriores en documentos como el Catastro, empadronamiento o escrituras.  ENDESA ENERGÍA actuó de buena fe, confiando en la validez del DNI y en la revisión del contrato por parte de la contratante, sin que hubiera razones para sospechar error. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 13/31  La responsabilidad sería del sistema público (Catastro, Policía, Ayuntamiento), que genera documentos oficiales contradictorios, no de la empresa.  Se invoca la figura del “error invencible”, aludiendo a sentencias de la Audiencia Nacional y el Tribunal Supremo que permite excluir la responsabilidad administrativa si el error era inevitable incluso actuando con la diligencia exigible. Contrariamente a lo afirmado por ENDESA ENERGÍA, el uso del DNI por el contratante no le exime del deber de diligencia. La existencia de datos incompletos en un DNI no justifica que se hayan utilizado por parte de ENDESA ENERGÍA datos erróneos para completarlo. Es más, ENDESA ENERGÍA tuvo que tramitar un cambio de titularidad de los CUPS para dar de alta un contrato en un domicilio del que no tenía certeza de que perteneciera a Dña. B.B.B. al no constar esta dirección en su DNI. La contratación de servicios energéticos exige:   Verificación del CUPS y del titular actual del contrato de suministro en cuestión, en coordinación con la distribuidora; Comprobación de que quien solicita el cambio es el verdadero titular del contrato. El propio RGPD (art. 5.1.
7. d)impone al responsable adoptar “todas las medidas razonables para que los datos tratados sean exactos y estén actualizados.” Esa razonabilidad no puede depender solo de lo que figure en un documento de identidad. Por otro lado, no puede hablarse de error invencible cuando fue la propia ENDESA ENERGÍA la que atribuyó a su cliente un número de portal erróneo sin comprobar antes cual era el correcto. ENDESA ENERGÍA antes de solicitar el cambio de titularidad de los CUPS asignados a un domicilio del que no tenía certeza que fuera el de su cliente, pudo utilizar medios técnicos y contractuales para evitarlo. Para ello, ENDESA ENERGÍA tenía medios a su alcance para evitar la confusión:    Confirmar con su cliente la dirección física; Solicitar una factura anterior o el contrato de la distribuidora; Confirmar con su cliente la necesidad de realizar el cambio de titularidad del punto de suministro. La supuesta existencia de datos incompletos en el Catastro o en el DNI no convierte en invencible el error padecido por ENDESA ENERGÍA, cuando no ha desplegado una diligencia adecuada en la tramitación del procedimiento de contratación Aunque el error lo cometiera un agente o comercial externo, la responsabilidad recae sobre ENDESA ENERGÍA como responsable del tratamiento (art. 24 RGPD). No puede escudarse en sus encargados o colaboradores sin demostrar que les impuso instrucciones y medidas eficaces. La existencia de un “error invencible”, alegado por ENDESA ENERGÍA, no resulta aplicable. La sentencia citada por ENDESA ENERGÍA establece que la carga de la prueba del error invencible recae en quien lo alega, y que no se da cuando existe la posibilidad de haber evitado el error con medidas diligentes. En este caso: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 14/31    Existían medios razonables para verificar el CUPS, el titular del suministro y la correspondencia de los datos; No consta que ENDESA ENERGÍA haya implementado ningún procedimiento efectivo de control en este sentido; Tampoco ha justificado por qué omitió verificaciones adicionales ante una dirección ambigua. En todo caso, debe tenerse en cuenta que no existía error en el DNI de la persona que realizó la contratación de los suministros de gas y electricidad. En resumen, las alegaciones de ENDESA ENERGÍA no desvirtúan su responsabilidad en la comisión de la infracción. La contratación errónea, basada en una dirección inexacta y sin validación efectiva del punto de suministro, constituye una infracción del principio de exactitud (art. 5.1.d RGPD). No puede aceptarse que el error sea invencible ni que la conducta esté exenta de reproche cuando el sistema de contratación falla en garantizar la identidad y el derecho del contratante sobre el bien afectado, sino un déficit de diligencia que activa plenamente la antijuridicidad de la conducta. Por todo lo expuesto, la presente alegación debe ser desestimada. “TERCERO.- Sobre la proporcionalidad de la cantidad relativa a infracción imputada.” Según ENDESA ENERGÍA, no hubo infracción del artículo 5.1.
8. d)del RGPD, ya que los datos tratados fueron los facilitados directamente por la contratante, verificados con su DNI, y confirmados por ella antes de la firma del contrato. La responsabilidad sería de terceros (Dirección General de la Policía, Ayuntamiento de Vigo y otras entidades) por emitir documentos con datos incorrectos. La sanción de 200.000 euros es desproporcionada, ENDESA ENERGÍA actuó diligentemente dentro de sus capacidades, sin incurrir en error propio. Por último, reclama una reducción de la sanción, en caso de que se considere que hubo infracción, por existir circunstancias atenuantes. En respuesta a esta alegación, cabe señalar que el principio de exactitud obliga a tomar “todas las medidas razonables” para garantizar su cumplimiento, por lo que no basta sustentar el error sufrido por la parte reclamada en los datos existentes en el DNI cuando ENDESA ENERGÍA disponía de medios técnicos y jurídicos para comprobar el domicilio real de la persona contratante y su correspondencia con el punto de suministro para el cual solicitaba el cambio de titularidad (por ejemplo, cotejar el CUPS, exigir una factura previa, u otro documento de vinculación con el inmueble). El error lo comete ENDESA ENERGÍA al asociar al contrato suscrito por un tercero los puntos de suministro correspondientes a la parte reclamante. El principio de exactitud implica un deber de verificación, por el cual, el responsable deberá contactar con el interesado para verificar si los datos personales son correctos antes del tratamiento y en sus diferentes fases, especialmente en casos como este, en los que se produce un cambio de titularidad y de comercializadora de suministro de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 15/31 electricidad y gas, ante los posibles efectos negativos sobre derechos de terceros (como la parte reclamante). Es ENDESA ENERGÍA quien inicia un tratamiento que afecta a datos de un tercero (la parte reclamante). Esta actuación es antijurídica, porque no se verificó adecuadamente la titularidad de la línea de suministro para la cual se solicitó el cambio, lo que causó un perjuicio material (pérdida temporal del suministro) y personal (uso indebido de sus datos). En consecuencia, no puede considerarse que el error cometido por ENDESA ENERGÍA fue inevitable, sino consecuencia de una verificación insuficiente y de la ausencia de medidas para asegurar la exactitud del tratamiento, especialmente cuando este afecta a derechos de un tercero ajeno a la contratación. Por todo lo expuesto, la presente alegación debe ser desestimada. “CUARTO.- Subsidiariamente, y para el supuesto de que no se atienda la petición principal, sobre la procedencia de que se aplique una reducción de la sanción inicialmente propuesta.” ENDESA ENERGÍA sostiene que no existió intencionalidad ni negligencia, ya que actuaron con diligencia al verificar la dirección de la contratante mediante su DNI, confirmar la información con ella y reflejar esos datos en el contrato. Vuelve a atribuir la responsabilidad a terceros, por errores en el DNI (Dirección General de la Policía), el padrón (Ayuntamiento), e incluso de la parte reclamante, quien supo del cambio antes del corte de suministro y no reaccionó de inmediato. Considera que no se vulneró el principio de exactitud del artículo 5.1.
9. d)RGPD, ya que los datos fueron recabados directamente de la interesada y se ha colaborado con la AEPD, se contactó con la parte reclamante y el tratamiento se interrumpió rápidamente. Finalmente, el porcentaje de errores similares es ínfimo (0,16 %), y se solicita que se reduzca la sanción de 200.000 €, o que no se aplique por ausencia de responsabilidad, invocando jurisprudencia de la Audiencia Nacional sobre el error invencible como causa de atenuación. No obstante, sí existió negligencia en el tratamiento de datos de la parte reclamante, desde el momento en el que ENDESA ENERGÍA no verificó que el CUPS correspondía al domicilio de la persona firmante ni que esta tenía relación con el punto de suministro afectado, generando un daño directo: corte de suministro eléctrico y de gas a una persona ajena a la contratación. Además en el contrato que firmó el cliente de ENDESA ENERGÍA no consta el domicilio de la parte reclamante, por lo que no puede aceptarse la tesis de que fuera su cliente el que confirmó el domicilio erróneo. No se exigió, por ejemplo, una factura anterior, contrato de alquiler, o título que vinculara a la contratante con el inmueble. La tesis del "error invencible" recogida en la sentencia a la que alude ENDESA ENERGÍA no es aplicable, ya que la nomenclatura y numeración similar (1 y 1A) no es excepcional, sino una realidad urbanística habitual. El control sobre la dirección y el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 16/31 CUPS correspondía exclusivamente a ENDESA ENERGÍA, como comercializadora entrante y responsable del tratamiento. Existen procedimientos sectoriales para verificar el CUPS y la correspondencia del contratante con el punto de suministro antes de cursar una solicitud de cambio. En consecuencia, la actuación de ENDESA ENERGÍA revela una falta de diligencia mínima exigible en una operativa de riesgo que involucra datos personales y derechos fundamentales de terceros. La negligencia radica en omitir las comprobaciones adicionales imprescindibles por el tipo de operación realizada. En cuanto a la alegación relativa a que sólo se han visto afectado los datos de dos personas físicas, debe contestarse que el error de ENDESA ENERGÍA afectó al contratante y a la parte reclamante, por lo que la gravedad del incidente no debe minimizarse:     Se utilizó sin base legal el nombre, domicilio y CUPS de la parte reclamante. Se produjo un corte real de suministros esenciales (luz y gas). La parte reclamante tuvo que reclamar a la AEPD para revertir el problema. Se asignaron los CUPS erróneos al contratante al que no se le prestó el servicio solicitado, el cual tuvo que solicitar la baja del servicio prestado para esos CUPS. Por último, el importe de la sanción es proporcionado y adecuado conforme a las circunstancias del artículo 83.2 del RGPD que concurren en el presente caso, teniendo en cuenta que el daño causado a la parte reclamante está acreditado, así como la negligencia de ENDESA ENERGÍA. Además, esta empresa reconoció el error, pero intenta eludir su responsabilidad atribuyendo el error a terceros. Que el error se corrija pronto no elimina la infracción, toda vez que el tratamiento ilícito se produjo y causó consecuencias. La vinculación estructural de ENDESA ENERGÍA con el tratamiento masivo de datos personales, el riesgo inherente a su actividad y la necesidad de que la sanción cumpla fines preventivos y disuasorios, dada la magnitud del negocio y la afectación de derechos han sido tenidos en cuenta para determinar el importe de la sanción. En conclusión, esta alegación no desvirtúa los fundamentos de la sanción. ENDESA ENERGÍA omitió controles básicos, como verificar la relación del contratante con el punto de suministro. Esta negligencia facilitó el tratamiento indebido de los datos del reclamante, provocando una vulneración grave del principio de exactitud (art. 5.1.d RGPD). La multa de 200.000 € se considera proporcionada, dadas las circunstancias, y no procede su reducción. La invocación del “error invencible” no es sostenible, ni jurídicamente ni a la luz de los hechos. Por todo lo expuesto, la presente alegación debe ser desestimada. - Contestación a las alegaciones formuladas al Acuerdo de Inicio. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 17/31 En su escrito de alegaciones la parte reclamada ha invocado la ausencia de antijuridicidad de la conducta como consecuencia de las anomalías detectadas en la numeración de las fincas afectadas. Hay que señalar que los tratamientos efectuados por la parte reclamada de los datos personales del reclamante -conducta materializada en la contratación del suministro de gas y electricidad para los CUPS asociados a su domicilio, vinculándolos al domicilio de un tercero, provocó la baja en los citados suministros sin contar con su autorización- lo que supone la infracción del principio de exactitud de los datos, subsumible en el artículo 72 de la LOPDGDD, que establece que son consideradas como infracciones muy graves:
10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” De la documentación aportada y manifestaciones de las partes, se evidencia que la parte reclamada ha vulnerado el artículo 5.1.d), principio de exactitud, como consecuencia de la baja de los contratos de suministros de gas y electricidad que la parte reclamante mantenía con la mercantil NATURGY desde el ***FECHA.1, para el domicilio de su titularidad situado en ***DIRECCIÓN.2 y CUPS Gas: ***GAS.1 y Luz: ***LUZ.1, vinculando los citados CUPS, asociados a la vivienda de la parte reclamante, a la vivienda de un tercero ubicado en ***DIRECCIÓN.1, siendo utilizado por la parte reclamada para dar de alta los suministros en esta última dirección, quedando el domicilio de la parte reclamante sin suministros. El número de CUPS es un dato que se vincula a la vivienda, por lo que el comercial en el momento en el que se estaban verificando los datos para proceder a la contratación del suministro eléctrico con el contratante debió ser diligente adoptando las cautelas y garantías necesarias y pertinentes para evitar que el CUPS de la vivienda de la reclamante se asociara a la vivienda del contratante pues debía estar informada que al modificar la dirección del suministro, el número del CUPS asignado a la misma debía ser distinto. En este sentido, la Audiencia Nacional señalaba en su sentencia de 27/02/2008, Recurso 210/2007, “… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento no sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En relación con el citado artículo y su actualización (que sería la manifestación del principio de exactitud que podría entenderse incumplido), exige que se adopten “las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 18/31 La parte reclamada ha manifestado que fue la tercera contratante quien aporto los datos incorrectos. Sin embargo, tal manifestación debe decaer y no ser admitida; se desprende de lo señalado la ausencia no solo de buenas prácticas a la hora de la contratación sino la ausencia de la debida diligencia, puesto que, en lugar de analizar y verificar la exactitud de los datos recabados, procedió sin más a articular la modalidad de cambio de comercializadora, con cambio de titular con objeto de que la contratación surtiera efectos. La parte reclamada, por la actividad que desarrolla debe conocer la normativa del sector eléctrico y conoce la importancia de asociar correctamente el CUPS a los contratos de suministro que formaliza, así como los efectos que pueden derivarse de la inexactitud de este dato, por lo que le es exigible un cuidado especial al respecto. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El número de CUPS es un dato que no se vincula a una persona sino a una determinada vivienda y, además, obra en poder de la distribuidora de zona (junto con el nombre, apellidos, NIF y domicilio habitual del usuario de la vivienda) tal y como lo prevé el Real Decreto 1435/2002, en su artículo 7. La AEPD se ha pronunciado sobre el carácter de los datos del SIPS (artículo 7. Sistema de información de puntos de suministro), señalando que “el Sistema de información de Puntos de Suministro incorpora datos de carácter personal, dado que a partir del Código de punto de suministro es posible identificar al consumidor al que se refiere la información, pudiéndose así vincular todo el contenido del sistema con dicho consumidor”. Por otra parte, por lo que se refiere a la circunstancia de la existencia de dos edificios con un mismo número que se diferencia únicamente por una letra: el tercero que vive en inmueble situado en calle ***DIRECCIÓN.1, y el reclamante que vive en el edificio de ***DIRECCIÓN.2, no resultando muy habitual este tipo de numeraciones. Hay que señalar que el comercializador, en este caso el entrante, es el único interlocutor del consumidor durante el proceso de cambio. La CNE ha señalado que: “Así, la Orden ITG/1659/2009 hace descansar sobre el comercializador la obligación de disponer en todo momento de la documentación que acredite la voluntad del cliente a cambiar de suministrador a su favor. En esta línea, el Real Decreto 1011/2009 en su apartado
11. q)introduce entre las funciones de OCSUM la verificación del efectivo consentimiento de los consumidores al cambio de comercializador, mientras que en el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 19/31 apartado
12. p)y la Orden ITC/1659/2009 confiere a OCSUM la facultad de poder exigir toda la documentación que precise para verificar la adecuada aplicación del proceso y su autenticidad.” Y, finalmente, el informe de la CNE concluye lo siguiente: “Por tanto, el nuevo titular debe acreditar el justo título para proceder a un traspaso de contrato de acceso a red, y el comercializador deberá custodiar y comprobar la documentación en particular para aquellos casos en los que se solicita un cambio de comercializador con cambio de titular simultáneo siendo OCSUM quien tiene la facultad de poder exigir toda la documentación para verificar el proceso de cambio”. Además, no debe olvidarse que la parte reclamada, en sus respuestas a esta Agencia ha reconocido que la causa de la incidencia producida se debe a un error cometido por ella misma. Así, en el Informe Resolución Extrajudicial aportado por la parte reclamada se señala: “(…) El motivo de la incidencia que provocó el cambio de titularidad de los contratos de suministro de luz y gas del Sr. A.A.A. fue un error puntual e involuntario cometido por un agente de un canal de venta de Endesa Energía que, con fecha 5 de marzo de 2022, asoció el Código Universal de Punto de Suministro (“CUPS”) ***LUZ.1, y el CUPS ***GAS.1, correspondientes a su vivienda, a la solicitud de contratación de un tercero, Dña. B.B.B.. El cambio de titularidad solicitado fue efectivo con fecha 10 de marzo de 2022, una vez B.B.B. procedió a la aceptación y firma del contrato de los suministros de luz y gas– contrato que reflejaba los CUPS ***LUZ.1 y ***GAS.1, los cuales fueron confirmados por B.B.B. al proceder a la firma del contrato. (…)” Por otra parte, también consta este reconocimiento a la parte reclamante en una comunicación postal de 29/03/2023: “(…) Según lo anterior, les informamos que, debido a un error en el proceso de contratación, un tercero contrato los cups ***LUZ.1 y ***GAS.1 cuya titularidad le correspondía a usted. (…) En cuanto este tercero se dio cuenta del error, solicitó la baja de los contratos, dejándole sin suministros”. Lo que la parte reclamada reconoce en sus comunicaciones como un error se materializa en el ámbito de la protección de datos personales en una infracción descrita por el artículo 5.1
13. d)que se encuentra tipificada por el artículo 83.5 del RGPD. Por todo ello, el tratamiento efectuado por el reclamado de los datos personales del reclamante -conducta materializada en la vinculación de los CUPS titularidad de la parte reclamante a un tercero que había contratado los suministros de gas y electricidad con la parte reclamada- supone la infracción del principio de exactitud de los datos contemplado en el artículo 5.1.
14. d)del RGPD. Por tanto, la alegación formulada por la parte reclamada no puede ser admitida. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 20/31 - Alega igualmente la reclamada la ausencia de proporcionalidad de la cantidad relativa a la infracción imputada. El artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasoria”. Las multas por tanto según se deduce del precepto que antecede han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso la presente resolución no vulnera el principio de proporcionalidad en la determinación de las sanción impuesta resultando ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen aún más la minoración efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del artículo 5.1.
15. d)del RGDP, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 21/31 al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Pues bien, la parte reclamada se trata de sociedad filial del grupo ENDESA, con un volumen de negocio de 20.003.408.000 € en el año 2022, según Axexor. Asimismo, se señala por la parte reclamada que los errores cometidos durante el año 2022 apenas representaron un 0,16 % del total de contrataciones efectuadas en ese año. Se considera que esa alegación no puede ser acogida por su intranscendencia a la hora de determinar si se produjo una infracción concreta o no. Por otra parte, en relación con la ausencia de intencionalidad en la medida en que no existe voluntad de incumplimiento de la normativa y, por tanto, no procede aplicar el artículo 83.2
16. b)conviene señalar que el Comité Europeo de Protección de Datos (CEPD) considera que “en general, la intención incluye tanto el conocimiento como la voluntad en relación con las características de un delito, mientras que «no intencional» significa que no hubo intención de causar la infracción, aunque el responsable/encargado del tratamiento incumplió el deber de cuidado exigido por la ley”. Por tanto, a los efectos del RGPD no intencional, no equivale a involuntario. En cualquier caso, las circunstancias del artículo 83.2
17. b)en este caso concreto versan sobre el carácter negligente de la infracción. Además, señala la parte reclamada que la parte reclamante “tenía conocimiento” de que alguien había contratado con una nueva comercializadora el suministro de electricidad y gas y prefirió esperar en lugar de solicitar de nuevo el alta de su contrato. Sin perjuicio de que estos hechos no hayan quedado probados a lo largo del expediente se significa su irrelevancia a los efectos del presente procedimiento sancionador. La parte reclamada no puede pretender transferir en la parte reclamante su responsabilidad. No puede olvidarse que el RGPD consagra el principio de responsabilidad proactiva en su artículo 5.2 por el que el responsable del tratamiento es responsable del cumplimiento de los principios previstos en el artículo 5.1 del RGPD, además de tener que ser capaz de demostrarlo. Manifiesta asimismo su disconformidad en que se agrave la multa por el hecho de que la parte reclamante interpusiera una reclamación frente a Endesa ante la Xunta de Galicia. Se aclara a este respecto que las circunstancias valoradas radican en que la gravedad de los hechos constitutivos de infracción en el ámbito de protección de datos se manifiesta en que estos tuvieron como consecuencia repercusiones significativas en la vida y esfera íntima de la parte reclamante, como es un corte de suministro de los servicios. Esta consecuencia supuso, además, que la parte reclamante buscara amparo ante el órgano competente a efectos de determinar la legalidad o ilegalidad del mencionado corte. En cuanto a las circunstancias que, a juicio de la parte reclamada, deberían valorarse a la hora de determinar la cuantía de la sanción como atenuantes, se significa que las circunstancias citadas por la parte reclamada, como la categoría de los datos tratados, el alcance de la infracción o la duración de la misma, son circunstancias agravantes cuya inexistencia no puede ser apreciada en sentido contrario. A este respecto se ha pronunciado la Sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por otro lado, que debe apreciarse como atenuante la no C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 22/31 comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
19. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante. Por tanto, la alegación formulada tampoco puede ser admitida. V Obligación incumplida: infracción del artículo 5.1.
20. d)del RGPD El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de exactitud, señalando que: “1. Los datos personales serán: (…)
21. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); (…)” Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones indica que: “