← España

PS-00292-2021

1/18  Expediente N.º: PS/00292/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 10/12/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ENDESA ENERGÍA, S.A.U. con NIF A81948077 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son: que se ha producido una suplantación de identidad para solicitar la portabilidad del contrato de una compañía eléctrica a otra, sirviéndose de documentación falsa a través de la distribuidora E-REDES Distribución Eléctrica (en lo sucesivo E-REDES), que dio de baja el contrato que tenía con la compañía eléctrica EDP en la que se tuvo que volver a dar de alta con dicha compañía. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 24/05/2021 se recibe en esta Agencia escrito de respuesta del reclamado señalando que en relación con el CUPS que aparece indicado en la reclamación, figuraba asociado a dos contrataciones llevadas a cabo por un tercero. La primera de 07/10/2020 en que solicitó que se diera de alta, a su nombre, un contrato de suministro eléctrico para la vivienda sita en ***DIRECCIÓN.1, Oviedo (Asturias), confirmando que el CUPS asociado a dicho domicilio era ***CUPS.1. Y que, si bien la teleoperadora que le atiende le pregunta que si la dirección del punto de suministro es ***DIRECCIÓN.2, 33012 de Oviedo (Asturias), y el Sr. B.B.B. señala que es ***DIRECCIÓN.1, 33012 de Oviedo (Asturias), lo cierto es que confirma que el CUPS es ***CUPS.1, firmando digitalmente el contrato a su nombre donde figuraba el CUPS anterior, estando en vigor un periodo de veintiún días. La segunda y como se desprende de la grabación obrante en poder de la entidad, con fecha 09/02/2021, ese mismo tercero pone de manifiesto que quiere volver a dar de alta el suministro de electricidad, ya que desconoce el motivo por el cual se dio de baja el contrato de octubre. Por esa razón, ese mismo día volvió a solicitar que se diera de alta, a su nombre, el suministro de la vivienda sita en ***DIRECCIÓN.1, 33012 de Oviedo (Asturias), quedando nuevamente asociada al CUPS ***CUPS.1. El contrato firmado digitalmente, donde también aparece vinculado el CUPS ***CUPS.1 a la dirección sita en ***DIRECCIÓN.1, 33012 de Oviedo (Asturias), estuvo en vigor once días. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Se abonaron las facturas que fueron emitidas por el tiempo que estuvieron vigentes los referidos contratos No se produjo suplantación de identidad de la reclamante, así como tampoco se dio de alta un contrato a su nombre. Por ende, no consta documentación que le vincule con un contrato de suministro eléctrico, ni se ha emitido ninguna factura donde aparezca como titular de un contrato. Si bien, a raíz de los hechos descritos resultantes de las contrataciones realizadas por un tercero, cuyo CUPS se refiere, precisamente, al número ***CUPS.1, se dio de alta a nombre de éste el suministro de electricidad. TERCERO: Con fecha 10/06/2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 04/10/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 5.1.

  1. d)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
  2. a)del citado RGPD. QUINTO: Notificado el acuerdo de inicio el 06/10/2021, el reclamado mediante escrito de misma fecha solicitó ampliación de plazo para formular alegaciones y proponer las pruebas pertinentes; plazo que le fue concedido mediante escrito del instructor de 08/10/2021. El 28/10/2021 el reclamado presento escrito de alegaciones reiterando los argumentos expuestos y, además, manifestado la ausencia de antijuridicidad en su conducta, la falta de culpabilidad en su actuación y, subsidiariamente, para el supuesto de que no se tuvieran en cuenta los argumentos esgrimidos, se minorara o redujera la sanción inicialmente propuesta. SEXTO: Con fecha 21/12/2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. - Solicitar al reclamado copia del Protocolo de actuación establecido por la compañía para la contratación de suministro eléctrico: por alta, cambio de compañía, etc., de manera telefónica ó por otros medios. El 22/12/2021 el reclamado solicito una ampliación de plazo para facilitar la documentación solicitada, plazo que le fue concedido por el instructor del procedimiento mediate escrito de 03/01/2022. El 05/01/2022 el reclamado aportó la documentación cuyo contenido obra en el expediente. SEPTIMO: En fecha 19/04/2022, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara al reclamado por infracción del artículo por una infracción del artículo 5.1.
  3. d)del RGPD, tipificada en el artículo 83.5.
  4. a)del citado Reglamento una multa de 50.000 € (cincuenta mil euros). Se acompaña Anexo con los documentos integrantes del expediente administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 El reclamado solicito el 25/04/2022 ampliación del plazo concedido para presentar alegaciones y copia del expediente, que fueron atendidas por el instructor del procedimiento. El reclamado presentó el 11/05/2022 escrito en el que reiteraba las alegaciones vertidas durante el procedimiento y además que en la Propuesta trasladada no se hace referencia alguna a que el tercer contratante firmó a través de un mecanismo digital las condiciones particulares de contratación; que la Agencia en su informe sobre el “Plan de Inspección de Oficio sobre Contratación a Distancia en Operadores de Telecomunicaciones y Comercializadores de Energía”, reconoce este procedimiento para para acreditar la identidad del contratante y garantía de los contratos realizados por medios telemáticos, considerando que estamos ante un supuesto de incongruencia por parte de la Agencia a la hora de valorar los hechos; la ausencia de responsabilidad en los hechos acaecidos y subsidiariamente, la minoración de la cuantía a imponer. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 10/12/2020 tiene entrada en la AEPD escrito de la reclamante; los motivos en los que se basa la reclamación son que ha sido objeto de una suplantación de identidad para solicitar la portabilidad del contrato de suministro eléctrico desde una compañía eléctrica a otra, sirviéndose de documentación falsa a través de la distribuidora E-REDES, dando de baja al contrato que mantenía con la compañía EDP, teniendo que volver a dar de alta con dicha compañía posteriormente. SEGUNDO. Consta aportada copia del DNI de la reclamante. TERCERO. La reclamante ha aportado contrato de suministro eléctrico suscrito con la compañía EDP, de fecha 27/05/2013, para el domicilio perteneciente al reclamante situado en el ***DIRECCIÓN.2, 33012-Oviedo (Asturias), CUPS ***CUPS.1. CUARTO. El 05/11/2020 la reclamante se dirigió mediante e-mail a la distribuidora EREDES indicando que: “Se ha solicitado la portabilidad del contrato que tenía con EDP para mi domicilio por un tercero desconocido que no es el titular del contrato ni el propietario de la vivienda, solicito el nombre, documentación aportada para realizar la gestión y compañía a la que se ha solicitado la portabilidad, según me indican en EDP, dicha compañía facturará los días de contrato que haya tenido, desconozco si la cuenta corriente de cargo será la misma que la de mi contrato o habrán facilitado otra. (…)” E-REDES le respondía el 25/11/2020: “En respuesta a su solicitud con Nº ***SOLICITUD.1, le informamos que, por normativa de protección de datos para poder darle información de la dirección que nos solicita debe enviarnos documentación que le acredite como propietario de la finca, escritura o en su defecto contrato de alquiler. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 Estamos disponibles para cualquier duda o aclaración en nuestra www.eredesdistribucion.es o en el teléfono de atención al cliente 900.907.003” web Constan sucesivas y reiteradas peticiones de información realizadas por la reclamante sobre la identidad de la persona que había solicitado el cambio de comercializador con cambio de titularidad desde EDP a otro comercializador sin que según E-REDES se llegara a acreditar fehacientemente su legitimación para acceder a la información solicitada. QUINTO. La reclamante presento reclamación a la CNMC por los mismos hechos; en respuesta al requerimiento realizado por el citado organismo E-REDES manifestada que: “(…) 1. El 08/10/2020 E-Redes recibió solitud del reclamado, nº ***SOLICITUD.2 para tramitar sobre el CUPS referido, un cambio de comercializador sin cambio de titular, a nombre de D…. (el contratante). Dicha solicitud fue rechazada por no coincidir el titular del punto de suministro con el titular a cuyo nombre se realizó la solicitud de cambio de comercializador. (…) 2. El 22/10/2020 se recibió solicitud del reclamado nº ***SOLICITUD.3 de cambio de comercializador con cambio de titular, a nombre del contratante, que fue activada con fecha 24/10/2020. (…) 3. El 05/11/2020 la reclamante contactó por teléfono con E-REDES para interesarse por la persona que solicito el cambio de comercializador con cambio de titular sobre el CUPS ***CUPS.1. En dicha llamada se le informó de la imposibilidad de facilitarle los datos requeridos en cumplimiento de la normativa vigente sobre protección de datos. 4. El mismo día la reclamante envió un correo electrónico con el siguiente texto: (reflejado en el hecho 4). 5. El 12/11/2020 E-REDES recibió solicitud de EDP ENERGIA, S.A.U., nº ***SOLICITUD.4 para tramitar un cambio de comercializador sin cambio de titular, a nombre de Dña…. (la reclamante), que fue rechazada por no coincidir el titular del punto de suministro con el titular a cuyo nombre se realizó la solicitud de cambio de comercializador. (…) 6. El 13/11/2020 E-REDES recibió solicitud de EDP ENERGIA, S.A.U., nº ***SOLICITUD.5 de cambio de comercializador con cambio de titular, a nombre de Dña…. (la reclamante), que fue activada con fecha 15/11/2020. (…)” SEXTO. E-REDES en escrito de 18/02/2021 ha manifestado que: “…que no es EREDES quien recibe la solicitud de cambio de comercializadora y de titularidad, sino que es la comercializadora entrante la que la recibe y quien transmite a mi representada, como distribuidora, la información mínima y esencial para tramitar la petición recibida por aquella conforme a los procedimientos normativamente establecidos y que resultan de obligado cumplimiento so pena de incurrir en una infracción de la normativa sectorial energética. Correspondiendo a la comercializadora entrante hacer las comprobaciones que resulten pertinentes con anterioridad a realizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 dicha solicitud, para garantizar que la misma cumple con los requisitos necesarios para ser tramitada”. SEPTIMO. El reclamado en escrito de fecha 24/05/2021 ha señalado que “…que no constan datos personales asociados a la reclamante en los sistemas comerciales de la compañía…Es decir, no se ha dado de alta un contrato a su nombre y, por tanto, no se ha producido ningún tipo de suplantación de identidad. Si bien, en relación con el CUPS que aparece indicado…según nos ha confirmado el Responsable del Tratamiento, sí constaba asociado a dos contrataciones llevadas a cabo por un tercero (es decir, no figuraban asociadas a la reclamante). Concretamente, tal y como se acredita…Don B.B.B. (***NIF.1) solicitó que se diera de alta, a su nombre, un contrato de suministro eléctrico para la vivienda sita en ***DIRECCIÓN.1, 33012 de Oviedo (Asturias)…” OCTAVO. Constan las grabaciones relativas a las contrataciones llevadas a cabo, en las que la teleoperadora en el proceso de verificación de la contratación, cuando se refiere a la dirección del suministro en el domicilio particular del contratante, es interrumpida por éste indicándole la dirección correcta: “(…) Teleoperadora: “Y vamos a contratar para la dirección ***DIRECCIÓN.3, 33012Oviedo (Asturias), la tarifa tempo open día con CUPS ***CUPS.2. Luego, para la dirección ***DIRECCIÓN.3, 33012-Oviedo (Asturias), vamos a contratar la tarifa de gas Endesa 3.2 para la CUPS ***CUPS.3 Y vamos a contratar para la dirección ***DIRECCIÓN.2, 330112-Oviedo (Asturias). Contratante: centro no, centro no, izquierda T: Izquierda?, ahh vale C: 7º, izquierda. T: Aparece como centro, pues te lo pongo como, vale perfecto entonces te lo verifico esto, parecía el que tenías antes como centro Para la dirección ***DIRECCIÓN.1, 330112-Oviedo (Asturias) contratamos la tarifa hay 50 horas para el CUPS ***CUPS.1 C: Muy bien T: y el número de cuenta en el cual vamos a cargar los recibos…, del cual eres tú la titular, el titular de dicha cuenta bancaria, ¿verdad? C: Si (…)” (el subrayado corresponde a la AEPD). En la segunda de las grabaciones aportadas el contratante desea volver a darse de alta en el suministro de electricidad, desconociendo el motivo por el cual se dio de baja el contrato anterior en vigor desde el 24/10/2020. Y en la tercera de estas grabaciones aportadas, contratación del 09/02/2021, ocurre otro tanto como en la primera (aquí no se informa sobre el CUPS), figurando lo siguiente: Teleoperadora: …y la tarifa que vamos a contratar es la happy 50 horas para la dirección ***DIRECCIÓN.2, en Oviedo (Asturias) 33000... Contratante: no centro no, puerta izquierda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 T: Izquierda?, vale C: si, no es centro, es izquierda. T: Aquí te lo tienen como centro, C: Igual es ese error por lo que cambiaron ehh?, pero es izquierda T: No debería porque estos son datos de la distribuidora C: Si pero te lo digo porque hay centro izquierda e izquierda solo T: Vale, y el tuyo es izquierda solo C. Eso es, correcto T: Vale, pues entonces para la dirección… que eso te lo cambio yo no te preocupes, ***DIRECCIÓN.1, en Oviedo (Asturias) 33012 y, luego, el número de cuenta en el que vamos a cargar los recibos… (…)” (el subrayado corresponde a la AEPD). NOVENO. El reclamado ha aportado el protocolo de contratación que sigue el canal telefónico de televenta denominado “Procedimiento de televenta residencial y negocio”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los hechos reclamados se concretan en la suplantación en la contratación del suministro eléctrico ubicado en el domicilio de la reclamante, verdadera titular de la vivienda donde se encontraba radicado el CUPS, al ser vinculado este con el domicilio de un tercero que no tenía nada que ver con la reclamante. El artículo 58 del RGPD, Poderes, establece en su apartado 2: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18
  5. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de exactitud, señalando que: “1. Los datos personales serán: (…)
  6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); (…)” Lo señalado en la citada norma hay que ponerlo en relación con el artículo 5, Exactitud de los datos, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), que establece en su apartado 1 que: “1. Conforme al artículo 5.1.
  7. d)del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados. (…)” Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones se indica que: “

(39)(…) para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos”. Y el considerando 71: “
(71)(...) a fin de garantizar un tratamiento leal y transparente respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos en los que se tratan los datos personales, el responsable del tratamiento debe utilizar procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que se corrigen los factores que introducen inexactitudes en los datos personales y se reduce al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto…" (los subrayados corresponde a la AEPD). III 1. De la documentación obrante en el expediente se evidencia que el reclamado ha vulnerado el artículo 5.1.d), principio de exactitud, en relación con el artículo 5 de la LOPGDD, Exactitud de los datos, al provocar la baja en el contrato de suministro eléctrico que la reclamante mantenía con la mercantil EDP desde el 27/05/2013, para el domicilio titularidad de la reclamante situado en el ***DIRECCIÓN.2, en Oviedo (Asturias) y CUPS ***CUPS.1, asociando el citado CUPS al domicilio de un tercero que nada tenía que ver con la reclamante, vinculando el CUPS anterior al domicilio del tercer contratante ubicado en ***DIRECCIÓN.1, en Oviedo (Asturias), siendo utilizado por el reclamado para dar de alta al suministro eléctrico en esta última dirección. Por tanto, la obligación derivada del artículo 5.1.
  1. d)establece la necesidad de que los datos personales que se recojan sean exactos, debiéndose adoptar en todo momento medidas que sean razonable para garantizar que los datos no sean inexactos, siendo los responsables del tratamiento quienes han de responder del cumplimiento de esta obligación. En este sentido, la Audiencia Nacional señalaba en su sentencia de 27/02/2008, Recurso 210/2007, <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento no sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En relación con el citado artículo y su actualización (que sería la manifestación del principio de exactitud que podría entenderse incumplido), exige que se adopten “las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan”. Al respecto, el artículo 5.1.
  2. d)no impone adoptar medidas desproporcionadas para actualizar los datos, sino las razonables, atendiendo a los medios disponibles y el fin para el que se usan los datos. Así lo expresa también el considerando 39 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 2. El reclamado por la actividad que desarrolla, conoce la importancia de asociar correctamente el CUPS a los contratos de suministro que formaliza, así como los efectos que se derivan de la inexactitud de este dato, por lo que le es exigible un cuidado especial al respecto. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “...un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren estos, por lo que sus depositarios deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. A este respecto, ENDESA incumplió el mandato legal de que los datos respondan con exactitud a la situación de los afectados, vulnerado el principio consagrado en el artículo 5.1.
  3. d)del RGPD. 3. Cabe señalar que la contratación del suministro de electricidad por parte del reclamado puede llevarse a cabo por diferentes canales: telefónico, canal Web, distribuidores, que incluye oficinas comerciales propias y tiendas ajenas, fuerzas de venta externas (stands en ferias, centros comerciales, etc., o visitas a domicilio con solicitud previa), etc. En el presente caso, con fecha 07/10/2020, se solicitó a través del canal telefónico el alta en el suministro eléctrico para la vivienda del contratante que fue tramitado como alta con cambio de comercializadora y de titular, de conformidad con lo contenido en la Resolución C2-CNMC. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 Hay que señalar que a tenor de la normativa específica del sector eléctrico, el procedimiento de cambio de titular y de comercializadora se lleva a cabo exclusivamente con la intervención de la nueva comercializadora (en el presente caso, ENDESA) pues es ésta quien interactúa con el nuevo cliente, gestiona el cambio de titular y de comercializadora y está obligada a recabar del nuevo cliente la documentación acreditativa de ser el usuario efectivo de la vivienda así como a conservarla a disposición del distribuidor y de la Oficina de Cambio de Suministrador (OCSUM) Desarrolla esta materia diversas normas jurídicas entre las que cabe mencionar el Real Decreto 1955/2000, de 1 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de energía eléctrica, cuyo artículo 83 se ocupa del “Traspaso y subrogación de los contratos de suministro a tarifa y de acceso a las redes” ; el Real Decreto 1011/2009, por el que se regula la Oficina de Cambios de Suministrador, al que se le encomiendan entre sus funciones (artículo 3) la verificación del efectivo consentimiento de los consumidores al cambio de suministrador. También el Real Decreto 1435/2002, que regula las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, que dedica su artículo 7 al “Sistema de información de puntos de suministro que debe mantener el distribuidor”, la Disposición Adicional Tercera del Real Decreto 1074/2015 y Resoluciones de la Comisión Nacional de los Mercados y de la Competencia. El protocolo para la gestión de cambio de comercializadora con cambio de titular atribuye a la comercializadora entrante la condición de único interlocutor del cliente y la responsabilidad de ejecutar todas las actuaciones que fueran necesarias para la gestión del cambio. Trasladando estas consideraciones al caso presente en el que en se responsabilizó en un primer momento a E-REDES, esta entidad no intervino en la conducta infractora que le atribuyó la reclamante. Es por el contrario la conducta del reclamado la que conllevó la vulneración del artículo 5.1.
  4. d)del RGPD, provocando la baja de la titular del suministro de electricidad, la reclamante, quien tenía suscrito contrato con la mercantil EDP para su vivienda (CUPS de electricidad ***CUPS.1), dando de alta a un tercer contratante que vivía en el mismo edificio pero en dirección distinta, asignándole el mismo CUPS. Por lo que se refiere al número de CUPS de la vivienda de la reclamante, este dato no se vincula a una persona sino a una determinada vivienda y, además, obra en poder de la distribuidora de zona (junto con el nombre, apellidos, NIF y domicilio habitual del usuario de la vivienda) tal y como lo prevé el Real Decreto 1435/2002, en su artículo 7. El propio reclamado en escrito del 05/01/2022 ha manifestado que “Tal y como se expuso en las alegaciones al Acuerdo presentadas con fecha 28 de octubre de 2021, el particular don … solicitó a través del canal telefónico, y hasta en dos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 ocasiones, que se diera de alta el suministro eléctrico a su nombre, para el CUPS ***CUPS.1 (correspondiente a la vivienda de la Sra. la reclamante) …” Además, también consta en los hechos que el 08/10/2020 E-REDES recibió la primera solicitud del reclamado para tramitar, sobre el CUPS ***CUPS.1 correspondiente a la vivienda de la reclamante, un cambio de comercializadora sin cambio de titular, a nombre del contratante y la misma fue rechazada por no coincidir el titular del punto de suministro con el titular a cuyo nombre se realizó la solicitud de cambio de comercializadora. Por tanto. la actuación contraria al artículo 5.1.
  5. d)del RGPD hay que atribuirla a ENDESA, vulneración del principio de exactitud que señala que los datos ha de ser exactos y actualizados; infracción del citado principio que ocasionó que el CUPS vinculado a la vivienda de la reclamante fuera utilizado para dar de alta al contrato de suministro vinculado a la vivienda de un tercero ubicada en el mismo edificio, dato que no era exacto, lo que motivo la baja del contrato que habían suscrito la reclamante y EDP en 2013. 4. Como así figura en las grabaciones aportadas por el reclamado relativas a las contrataciones realizadas, consta como la teleoperadora se refiere a la dirección del suministro en el domicilio particular del tercero y es interrumpida, en ambos casos, por el contratante señalándole la dirección correcta: “(…) Y vamos a contratar para la dirección ***DIRECCIÓN.2, 330112-Oviedo (Asturias). Contratante: centro no, centro no, izquierda Asesora Energética: Izquierda?, ahh vale C: 7º, izquierda. AE: Aparece como centro, pues te lo pongo como, vale perfecto entonces te lo verifico esto, parecía el que tenías antes como centro Para la dirección ***DIRECCIÓN.1, 330112-Oviedo (Asturias) contratamos la tarifa hay 50 horas para el CUPS ***CUPS.1 C: Muy bien AE: y el número de cuenta en el cual vamos a cargar los recibos…, del cual eres tú la titular, el titular de dicha cuenta bancaria, ¿verdad? C: Si (…)” Y en la contratación del 09/02/2021: T: …y la tarifa que vamos a contratar es la happy 50 horas para la dirección ***DIRECCIÓN.2, en Oviedo (Asturias) treinta y tres mil... C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 C: no centro no, puerta izquierda T: Izquierda?, vale C: Sí, no es centro, es izquierda. T: Aquí te lo tienen como centro, C: Igual es ese error por lo que cambiaron ehh?, pero es izquierda T: No debería porque estos son datos de la distribuidora C: Si pero te lo digo porque hay centro izquierda e izquierda solo T: Vale, y el tuyo es izquierda solo C. Eso es, correcto T: Vale, pues entonces para la dirección… que eso te lo cambio yo no te preocupes, ***DIRECCIÓN.1, en Oviedo (Asturias) 33012 y, luego, el número de cuenta en el que vamos a cargar los recibos… (…)” Como señalábamos anteriormente el número de CUPS es un dato que se vincula a la vivienda, por lo que la teleoperadora en ese momento en el que se estaban verificando los datos para proceder a la contratación del suministro eléctrico con el contratante debió ser diligente adoptando las cautelas y garantías necesarias y pertinentes para evitar que el CUPS de la vivienda de la reclamante se asociara a la vivienda del contratante pues debía estar informada que si cambiabas la dirección del suministro, el número del CUPS asignado a la misma debía ser distinto. Se desprende de todo lo anterior que el reclamado vulnero el artículo 5.1.
  6. d)del RGPD que señala que los datos deben ser exactos y, si fuera necesario, actualizados (principio de exactitud), principio básico de la normativa de protección de datos de carácter personal. El propio reclamado ha alegado reconocer que el CUPS es una secuencia alfanumérica que resulta difícil memorizar, al tratarse de un dato de carácter personal asociado al suministro de electricidad o de gas de cada vivienda y es posible acceder a él porque es uno de los campos que obligatoriamente aparecen siempre en la factura; por tanto si el reclamante, como se desprende de la grabación, no tenía la factura delante es difícil de entender, como manifiesta el reclamado que la teleoperadora le pidiera al contratante que confirmara el CUPS ***CUPS.1 y que éste lo confirmó con un “muy bien”. Tal manifestación no es cierta y adolece en exceso de voluntarismo a la luz de la transcripción de la grabación; como tampoco consta que la teleoperadora pidiera que confirmara los otros dos CUPS que figuran en la grabación para la dirección ***DIRECCIÓN.3, 33012-Oviedo (Asturias), ***CUPS.2 y ***CUPS.3, tarifa tempo open día y tarifa de gas respectivamente cuyas contrataciones también se formalizaron. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 A más, si ya resulta difícil memorizar una sola de esas secuencias alfanuméricas en que consiste el CUPS, memorizar tres debe considerarse tarea para elegidos. IV El reclamado ha alegado que en la Propuesta no se menciona que el tercer contratante firmó a través de un mecanismo digital las condiciones particulares de contratación y que la Agencia en su informe sobre el “Plan de Inspección de Oficio sobre Contratación a Distancia en Operadores de Telecomunicaciones y Comercializadores de Energía”, reconoce este sistema para acreditar contratos realizados por medios telemáticos, considerando que estamos ante un supuesto de incongruencia por parte de la Agencia a la hora de valorar los hechos que aquí nos ocupan. Es cierto que la Agencia ha incidido en la necesidad de verificar los procedimientos que se utilizan en los sectores de telecomunicaciones y energía para identificar a las personas interesadas con el objetivo de evitar la suplantación de identidad y los correspondientes fraudes, así como la manera en que las empresas acrediten la contratación de sus servicios. Ahora bien, en el presente caso la cuestión que se dilucida es la vulneración del principio de exactitud, es decir, si se adoptaron medidas razonables para garantizar que los datos no eran inexactos; no si en la contratación realizada se ha acreditado la identidad de la persona interesada, se adoptaron garantías de identificación del contratante antes de llevar a cabo el contrato o se utilizaron sistemas con garantías adicionales, etc. sino que la conducta del reclamado conllevó la vulneración de la normativa en materia de protección de datos de carácter personal, artículo 5.1.
  7. d)del RGPD, provocando la baja de la titular del suministro de electricidad, quien tenía contrato con la mercantil EDP para su vivienda (CUPS de electricidad ***CUPS.1), dando de alta a un tercer contratante que vivía en el mismo edificio pero en una dirección distinta, asignándole el mismo CUPS, por lo que tampoco puede alegar ausencia de responsabilidad en los hechos acaecidos. También invoca el reclamado la minoración de la cuantía de la sanción reduciendo la misma. A este respecto hay que reseñar que teniendo en cuenta que se trata de una infracción calificada como muy grave y que de conformidad con el artículo 83 del RGPD puede ser sancionada, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”, por lo que ya se aplica una importante minoración de la misma. La STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se otorga a la Administración para la aplicación de la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 alcanzar la debida proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado, considerándose proporcionada la sanción propuesta a la entidad por los hechos probados y ponderadas las circunstancias concurrentes. Por lo demás, las circunstancias concretas que se han tenido en cuenta para la graduación de la cuantía de la sanción se detallan en el Fundamento VI de esta resolución. V La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  8. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”. VI A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 en el artículo 58, apartado 2, letras
  10. a)a
  11. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  12. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  13. b)la intencionalidad o negligencia en la infracción;
  14. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  15. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  16. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  17. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  18. g)las categorías de los datos de carácter personal afectados por la infracción;
  19. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  20. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  21. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  22. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  23. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  24. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  25. a)El carácter continuado de la infracción.
  26. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  27. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  29. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  30. f)La afectación a los derechos de los menores.
  31. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  32. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a del RGPD de la que se responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes los siguientes factores: Se consideran circunstancias agravantes: - La naturaleza, gravedad y duración de la infracción: los hechos considerados probados afectan gravemente a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de exactitud y actualización de datos , si como los daños y perjuicios causados como consecuencia de la intromisión en la esfera de privacidad de la reclamante pues no hay que olvidar que nos encontramos ante la infracción de un derecho fundamental a la protección de los datos personales; la reclamante se vio obligada a dirigirse a la compañía distribuidora como consecuencia de la baja producida y verse privada de la relación contractual que mantenía con su compañía suministradora desde 27/05/2013, además de tener que volver a tramitar el alta en la misma; presentar reclamación ante la Comisiona Nacional de los Mercados y de la Competencia y ante la AEPD por los mismos hechos (artículo 83.2,
  33. a)del RGPD). . - La forma en que la autoridad de control tuvo conocimiento de la infracción, en la medida en que esta ha sido a través de la reclamación de la afectada. - El grado de responsabilidad del reclamado y las medidas implementadas a fin de evitar que se produzcan incidencias similares, pues a pesar de que el reclamado manifiesta contar con un procedimiento que regula la actualización de los datos que provienen del SIPS (Sistema de información de Puntos de Suministro) concretamente de los CUPS de las viviendas, no ha podido evitar hechos como los que ha dado lugar a la presente reclamación con los perjuicios ocasionados a la reclamante (artículo 83.2,
  34. d)del RGPD). - La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal de sus clientes por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  35. b)de la LOPDGDD en relación con el artículo 83.2.k). - Aunque no se puede sostener que el reclamado haya actuado intencionadamente, no cabe duda de que se observa una grave falta de diligencia en su actuación. Conectado con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  36. b)del RGPD). - El volumen de negocio del reclamado se trata de una de las compañías líder dentro del mercado español, por su objeto de negocio (artículo 83.2,
  37. k)del RGPD). - El carácter continuado de la infracción: hay que señalar que la infracción del principio de exactitud, como consecuencia de la contratación para el punto de suministro vinculado a la vivienda de la reclamante se produjo el 07/10/2020, pero el 09/02/2021 se volvió a solicitar nuevamente el suministro eléctrico para la vivienda del contratante, incurriéndose en el mismo error, procediéndose a la contratación (artículo 76.2.
  38. a)de la LOPDGDD en relación con el artículo 83.2.k). Se consideran circunstancias atenuantes: - Solo se ha visto afectada una persona por la conducta infractora. Con arreglo a dichos factores se estima adecuado proponer una sanción de 50.000 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ENDESA ENERGÍA, S.A.U. con NIF A81948077 por una infracción del artículo 5.1.
  39. d)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 50.000 € (cincuenta mil euros). SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. con NIF A81948077. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  40. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  41. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.