PS-00245-2024

1/16 Expediente Nº: EXP202307313 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 31 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202307313 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 13 de abril de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. con NIF A95554630 (en adelante, la parte reclamada o Curenergía). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que fue cliente de Curenergía hasta el año 2021, que posteriormente con fecha 12 de abril de 2022 contacto por e-mail con dicho comercializador del último recurso de electricidad (***EMAIL.1) para darse de alta de nuevo con Curenergía. Añade que Curenergía ya tenía los datos del suministro por haber sido anteriormente cliente de dicha empresa por lo que en el área de atención al cliente vía telefónica solo le pidieron algunos de sus datos para confirmar si eran los mismos (potencias, número de cuenta y teléfono), mientras que los otros datos (DNI, nombre, dirección postal) no los proporcionó. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 En la confirmación de los datos que le solicitaron, recibió un correo de ***EMAIL.1 indicando que "Le confirmo que acabo de enviar a su correo electrónico la póliza con firma electrónica". Asimismo, recibió un correo electrónico de "***EMAIL.2" para que firmara electrónicamente el contrato PDF, remitido por Iberdrola Clientes. Así las cosas, el reclamante señala que Curenergia cedió sin su consentimiento todos sus datos (DNI, IBAN, Nombre, apellidos, dirección) a Iberdrola Clientes para que formalizará el contrato de suministro de electricidad con esta última, no habiendo mantenido nunca ningún tipo de relación con Iberdrola Clientes. Junto a la notificación se aporta la siguiente documentación: Correo electrónico de fecha 12 de abril de 2023, dirigido por el reclamante a ***EMAIL.3, donde se indica lo siguiente: <<Tuve ente contrato Referencia del contrato de suministro (CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U.): ***TELÉFONO.1 con CURENERGIA que actualmente está con otra comercializadora. Lo quería volver a poner con CURENERGIA en PVPC>>. Contestación de Curenergía Clientes de fecha 12 de abril de 2023: <<Le confirmamos que hemos recibido su correo electrónico y que hemos iniciado las gestiones necesarias para responderle lo antes posible>>. Correo electrónico de Curenergía Clientes de fecha 12 de abril 2023 dirigido al reclamante: <<Para realizar la gestión que solicita es necesario que me indique, si es tan amable, los siguientes datos: El nombre de la comercializadora con la que está en la actualidad. Si es usted el titular que consta en la actualidad o si va a cambiar. Cuenta bancaria en la que desea domiciliar el pago. Teléfono de contacto. Potencia contratada en cada uno de los tramos, punta y valle. Si desea recibir la correspondencia por correo ordinario o electrónico y dirección. Correo electrónico del reclamante de fecha 12 de abril de 2023: <<El nombre de la comercializadora con la que está en la actualidad: NATURGY Si es usted el titular que consta en la actualidad o si va a cambiar: MISMO TITULAR Cuenta bancaria en la que desea domiciliar el pago: ***PAGO.1 Teléfono de contacto: ***TELÉFONO.2 Potencia contratada en cada uno de los tramos, punta y valle: Sin cambios: PUNTA 0,100 kW y VALLE 0,700 kW Si desea recibir la correspondencia por correo ordinario o electrónico y dirección: POR EMAIL ***EMAIL.4>> Correo electrónico de Curenergía Clientes de fecha 12 de abril, 13:10 dirigido al reclamante: <<Le confirmo que acabo de enviar a su correo electrónico la póliza con firma electrónica para que si está conforme y los datos son correctos le pido que siga estos sencillos pasos: Recibirá un mail con un link al documento para que pueda visualizarlo desde su dispositivo. Al hacer clic en el enlace le redirigirá a una web, donde deberá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 permitir el acceso pulsando sobre el check "Empezar". Esta pantalla sólo le aparecerá en su primer acceso. Accederá a la plataforma para visualizar el PDF con la oferta y, al final del documento podrá aceptar la oferta o rechazarla>>. Correo electrónico de Iberdrola Clientes para el reclamante de fecha 12 de abril de 2023, 13:06 dirigido al reclamante: <<Estimado/a A.A.A., Le agradecemos su interés en contratar con Iberdrola. Para ver y firmar la oferta y sus condiciones, pinche el botón Ver documento de este correo electrónico. Una vez abierto el documento, avance hasta la última página y seleccione la opción Aceptar y Firmar. Después de firmarlo, recibirá una copia del documento en su correo electrónico>>. Contrato remitido por Iberdrola Clientes, S.A.U. al reclamante de fecha 12 de abril de 2023, donde figuran los siguientes datos: <<CONTRATO DE SUMINISTRO DE ELECTRICIDAD PARTES CONTRATANTES Empresa comercializadora: IBERDROLA CLIENTES, S.A.U. C.I.F.: A95758389 Domicilio Social: Plaza Euskadi 5, 48009 Bilbao Teléfono Atención al Cliente: ***TELÉFONO.3 / ***TELÉFONO.4 IBERDROLA CLIENTES, S.A.U. está autorizada por la Dirección General de Política Energética y Minas del Ministerio de Energía, Turismo y Agenda Digital para la actividad de comercialización de energía eléctrica y gas natural. CLIENTE Apellidos y Nombre/Razón Social: A.A.A. NIF: ***NIF.1 Fecha Nacimiento: DIRECCIÓN DE SUMINISTRO Dirección del suministro: ***DIRECCIÓN.1 CONDICIONES PARTICULARES PRODUCTOS Y SERVICIOS QUE SE CONTRATAN Plan Estable Electricidad CONDICIONES DEL SUMINISTRO Tipo de contrato: Normal Tensión: 1X230 V Tarifa de acceso: BT 2.0 TD Modo 1 Potencia Contratada: Punta: 100 W Valle: 700 W CUPS: ***CUPS.1 Empresa Distribuidora: UFD Distribución de Electricidad, S.A. Atención Averías de Red: XXXXXXXXX CONDICIONES ECONÓMICAS PRECIO DE ELECTRICIDAD Término de Potencia Punta: 34,504864 €/kW y año Término de Potencia Valle: 6,377714 €/kW y año Término de Energía: 0,201984 €/kWh A los precios se añadirá el coste>> SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de junio de 2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 13 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos:

1. En relación con los hechos reclamados, los representantes de IBERDROLA CLIENTES en contestación al requerimiento de esta Agencia, con fecha 6 de octubre de 2023, realizan las siguientes manifestaciones: El artículo 12.3 de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico, establece dentro del marco de regulación de la separación de actividades, que “las empresas distribuidoras y las empresas comercializadoras de referencia que formen parte de un grupo de sociedades que desarrolle actividades reguladas y libres en los términos previstos en la presente ley, no crearán confusión en su información y en la presentación de su marca e imagen de marca respecto a la identidad propia de las filiales de su mismo grupo que realicen actividades de comercialización”. Como consecuencia de la citada previsión, IBERDROLA CLIENTES y CURENERGIA COMERCIALIZADORA DE ÚLTIMO RECURSO, S.A.U (en adelante “CURENERGIA”) no mantienen ningún tipo de relación en el tratamiento de los datos personales de sus clientes. Cada una de las dos comercializadoras mantiene sus propios tratamientos, sin que exista ningún tipo de confusión o permeabilidad entre ambos, de forma que cada una de las comercializadoras únicamente trata la información de sus propios clientes y no trata dato personal alguno de quienes no ostenten dicha condición. Ambas entidades pertenecen al Grupo Iberdrola y ambas mantienen vínculos con un mismo proveedor de servicios para la atención telefónica a los clientes de las dos sociedades, que actúa como encargado del tratamiento de ambas sociedades. En estos casos, el Grupo Iberdrola ha adoptado las medidas precisas para garantizar el cumplimiento de las obligaciones relacionadas con la separación de actividades. Las líneas de atención telefónica a los clientes de IBERDROLA CLIENTES son distintas a las que CURENERGIA pone a disposición de sus clientes, habiéndose establecido un sistema que permite al operador conocer si el interesado ha solicitado la atención de una u otra entidad. Los operadores tienen instrucciones expresas relacionadas con la prohibición de acceso cruzado a las bases de datos de las entidades, de modo que en caso de que el interesado se haya puesto en contacto a través del número telefónico de CURENERGIA, está expresamente prohibido acceder a las bases de datos de IBERCLI, así como de facilitarle cualquier tipo de información relacionada con esta entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 En relación con el supuesto concreto objeto de reclamación, y teniendo en consideración el contenido de la información incorporada al requerimiento, la secuencia de los hechos es la siguiente: • • • • El día 12 de abril de 2023 el reclamante se puso en contacto con CURENERGIA para la celebración de un contrato con la misma, Ese mismo día, CURENERGIA solicita del interesado una serie de documentos, que le son remitidos por el reclamante. El comercial de CURENERGIA informa al reclamante de que le va a remitir el contrato para su firma. En esa misma fecha, se remite al reclamante el contrato, no obstante se produce un error en la actuación del comercial y remite un contrato de IBERCLI y no de CURENERGIA. El contrato con IBERCLI quedó sin efecto como consecuencia de la contratación por el Reclamante del suministro con otra comercializadora el día 14 de abril de
2. De este modo, en el proceso de remisión del contrato al reclamante se produjo un error por parte de la persona que atendió la petición, como consecuencia del cual se produjo una confusión entre las dos entidades a las que prestaba servicios el operador. La subsanación de dicho error se produjo de forma inmediata, mediante la anulación del contrato celebrado con IBERDROLA CLIENTES. En relación con el proveedor de servicios para la atención telefónica de clientes compartido entre, IBERDROLA CLIENTES y CURENERGIA, los representantes de IBERDROLA CLIENTES manifiestan que no mantienen ningún tipo de relación en el tratamiento de los datos personales de los clientes de cada una de las entidades. Cada una de las dos comercializadoras mantiene sus propios tratamientos, sin que exista ningún tipo de confusión o permeabilidad entre ambos, de forma que cada una de las comercializadoras únicamente trata la información de sus propios clientes y no trata dato personal alguno de quienes no ostenten dicha condición. En todo caso, dada la pertenencia al Grupo Iberdrola de ambas compañías, ambas mantienen, en ocasiones, vínculos con un mismo proveedor de servicios. Así sucede en el caso de la atención telefónica a los clientes de ambas sociedades, que es desarrollada en ambos casos por un mismo proveedor del servicio de contact center, que actuará como encargado del tratamiento de ambas sociedades. Aportan copia del contrato suscrito por IBERCLI y UNÍSONO SOLUCIONES DE NEGOCIO Los representantes de la entidad aportan copia de instrucciones expresas relacionadas con la prohibición de acceso cruzado a las bases de datos de las entidades. Las líneas de atención telefónica a los clientes IBERCLI son distintas a las que CURENERGIA pone a disposición de sus clientes, habiéndose establecido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 un sistema que permite al operador conocer si el interesado ha solicitado la atención de una otra. En esta guía figuran previsiones expresas relacionadas con la prohibición de acceso por el operador, en caso de que el interesado se haya puesto en contacto con el mismo a través del número telefónico de CURENERGIA, de acceder a las bases de datos de IBERCLI, así como de facilitarle cualquier tipo de información relacionada con esta entidad. Para acreditar la evidencia de la anulación del contrato celebrado por error con IBERDROLA CLIENTES. aportan pantallazo del sistema de IBERCLI donde se evidencia la anulación del contrato celebrado por error con el reclamante
3. Los representantes de Curenergía indican lo siguiente el día 9 de octubre de 2023, ante el requerimiento de esta Agencia: En relación con el supuesto concreto objeto de reclamación, la secuencia de los hechos es la siguiente: • El día 12 de abril de 2023 D. A.A.A. (en adelante, “el Reclamante”) se puso en contacto con CURENERGIA para la celebración de un contrato con la misma, • Ese mismo día, CURENERGIA solicita del interesado una serie de documentos, que le son remitidos por el Reclamante. El comercial de CURENERGIA informa al Reclamante de que le va a remitir el contrato para su firma. • En esa misma fecha, se remite al Reclamante el contrato, si bien se produce un error en la actuación del comercial y remite un contrato de IBERCLI y no de CURENERGIA. • Inmediatamente después de recibirlo, el Reclamante se pone en contacto con la entidad, indicando ese mismo día que el contrato remitido es de IBERCLI y no de CURENERGIA. Desde CURENERGIA se da respuesta al citado correo tan solo tres horas después, solicitando disculpas del Reclamante e indicándole que se trata de un error. • Finalmente, el día 13 de abril de 2023, es decir, sólo dos días después de haberse producido el mencionado error, el Reclamante suscribe el contrato de suministro eléctrico número ***CONTRATO.1 con CURENERGIA. De este modo, en el proceso de remisión del contrato al reclamante se produjo un error por parte de la persona que atendió la petición, como consecuencia del cual se produjo una confusión entre las dos entidades a las que prestaba servicios el operador. La subsanación de dicho error se produjo mediante la celebración del contrato solicitado a CURENERGIA. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad Curenergía es una gran empresa constituida en el año 2008, y con un volumen de negocios de 2.177.703.000 euros en el año
4. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
5. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En el presente caso, resulta acreditado que la parte reclamada, vulneró el artículo 6.1 del RGPD. toda vez que realizó el tratamiento de los datos personales de la parte reclamante (NIF, domicilio, código universal de punto de suministro, correo electrónico, número de móvil, datos bancarios), sin legitimación para ello. Los datos personales fueron incorporados por Curenergía a los sistemas de información de Iberdrola Clientes, sin que haya acreditado que dispusiera de base legal para la recogida y el tratamiento posterior de sus datos personales por parte de Iberdrola Clientes, tal como se acredita en que los datos del reclamante fueron incorporados en el contrato remitido por Iberdrola Clientes, S.A.U. al reclamante de fecha 12 de abril de 2023, donde figuran los siguientes datos: <<CONTRATO DE SUMINISTRO DE ELECTRICIDAD PARTES CONTRATANTES Empresa comercializadora: IBERDROLA CLIENTES, S.A.U. C.I.F.: A95758389 Domicilio Social: Plaza Euskadi 5, 48009 Bilbao Teléfono Atención al Cliente: ***TELÉFONO.3 / ***TELÉFONO.4 IBERDROLA CLIENTES, S.A.U. está autorizada por la Dirección General de Política Energética y Minas del Ministerio de Energía, Turismo y Agenda Digital para la actividad de comercialización de energía eléctrica y gas natural. CLIENTE Apellidos y Nombre/Razón Social: A.A.A. NIF: ***NIF.1 Fecha Nacimiento: DIRECCIÓN DE SUMINISTRO Dirección del suministro: ***DIRECCIÓN.1 CONDICIONES PARTICULARES PRODUCTOS Y SERVICIOS QUE SE CONTRATAN Plan Estable Electricidad CONDICIONES DEL SUMINISTRO Tipo de contrato: Normal Tensión: 1X230 V Tarifa de acceso: BT 2.0 TD Modo 1 Potencia Contratada: Punta: 100 W Valle: 700 W CUPS: ***CUPS.1 Empresa Distribuidora: UFD Distribución de Electricidad, S.A. Atención Averías de Red: XXXXXXXXX CONDICIONES ECONÓMICAS PRECIO DE ELECTRICIDAD Término de Potencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 Punta: 34,504864 €/kW y año Término de Potencia Valle: 6,377714 €/kW y año Término de Energía: 0,201984 €/kWh A los precios se añadirá el coste>> Dicho contrato fue remitido a través de la dirección de correo ***EMAIL.5, dirección no perteneciente a la parte reclamada y correspondiente a una entidad distinta que no participó en el proceso de contratación con la parte reclamante, lo cual manifiesta el tratamiento indebido de los datos. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente con la habilitación legal para ello. A este respecto, y esto es lo esencial, la reclamada no acredita la legitimación para la cesión de los datos de la parte reclamante a Iberdrola Clientes. La parte reclamada manifiesta ante el requerimiento de esta Agencia con fecha 9 de octubre de 2023 que Curenergía e Iberdrola Clientes tienen subcontratado el servicio de atención al cliente a la misma entidad. Ambos operadores pueden acceder a las bases de datos de clientes de ambas entidades de forma simultánea, pero tienen instrucciones expresas de que cuando se recibe una llamada por un teléfono de una de las entidades no acceder ni facilitar información relativa a la otra. La parte reclamada afirma que los hechos objeto de la reclamación se debió a un error del comercial, el cual quedo subsanado tras haberles comunicado el afectado lo sucedido. No obstante, dicha circunstancia no desvirtúa que el tratamiento indebido se haya producido, ni subsana la falta de legitimación al realizar dicho tratamiento. En este sentido, el artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Por tanto, Curenergía, ha reconocido la existencia de una actuación incorrecta en la gestión de los datos de la parte reclamante, cuya consecuencia fue que una entidad ajena a la operación tuviera acceso a los datos personales de la parte reclamante sin consentimiento de ésta. A la vista de lo anterior, la parte reclamada no logra acreditar que se actuara diligentemente y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con el ello el artículo 6 del RGPD. En este sentido el Considerando 40 del RGPD señala: “