PS-00295-2024

1/30  Expediente N.º: EXP202310583 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante), con fecha 13 de junio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra COMERCIALIZADORA REGULADA, GAS & POWER, S.A. con NIF A65067332 (en adelante, parte reclamada o Comercializadora Regulada) y Naturgy Iberia, S.A. (en adelante, Naturgy). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, sin su consentimiento, se ha efectuado un contrato de gas a su nombre por su excónyuge en el punto de suministro correspondiente a la dirección ***DIRECCIÓN.1 a través de la entidad reclamada: Afirma que tuvo conocimiento de dicho hecho al comenzar a recibir en su cuenta bancaria cargos correspondientes a las facturas del gas, por lo cual comenzó a pedir explicaciones a las reclamadas a través de distintos correos electrónicos. Sostiene que, tras solicitar de forma reiterada copia del contrato o la grabación de la contratación telefónica y serle remitida comprueba que la grabación se llevó a efecto únicamente utilizando su DNI, sin su conocimiento ni autorización. Señala que la persona que realizó dicha contratación fue su exmujer, trabajadora de Naturgy, y que la grabación se llevó a cabo (...). Finaliza indicando que ha existido una absoluta falta de procedimiento y una manifiesta negligencia por las reclamadas al aceptar un contrato formalizado en fraude de ley, con evidente suplantación de su identidad. Junto a su escrito y a efectos acreditativos, aporta correos electrónicos dirigidos a Comercializadora Regulada solicitando copia de la grabación de la contratación y respuestas de dicha entidad, así como facturas emitidas a su nombre por la parte reclamada correspondientes al suministro de gas en la referida dirección. Asimismo, adjunta libro de familia donde constan los datos de su excónyuge. Del contenido de los correos aportados cabe destacar lo siguiente: . Con fecha 11/01/2023, la parte reclamante facilita a la reclamada el número de cuenta bancaria en la que se realizaron los cargos por el contrato y reitera la petición del contrato firmado por la parte reclamante o grabación del mismo. . Con fecha 12/01/2023, Comercializadora Regulada indica al reclamante que no se le puede facilitar copia del contrato porque no tiene ningún contrato activo y no facilita información suficiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/30 . Con fecha 09/02/2023, Comercializadora Regulada indica al reclamante que la fecha de inicio del contrato fue el 10/05/2022 y la fecha final 02/01/2023, por cambio de titular sin subrogación. . Mediante escrito de 03/03/2023, Comercializadora Regulada indica al reclamante que no dispone de la locución solicitada. Asimismo, aporta facturas por el citado suministro de gas, emitidas en julio, septiembre y noviembre de 2022 y enero de 2023, correspondientes al período de suministro comprendido entre el 10/05/2022 y el 02/01/2023, todas ellas a nombre del reclamante y con la misma dirección del suministro, y otras facturas emitidas en 2023. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó a Comercializadora Regulada y a NATURGY conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron recogidos en fecha 8 de agosto de 2023 por ambas entidades como consta en los acuses de recibo que obra en el expediente. Con fecha 8 de septiembre de 2023 se recibe en esta Agencia escrito de respuesta de NATURGY, indicando que no guarda relación alguna con el contrato de suministro de gas objeto de reclamación ya que, si bien NATURGY y Comercializadora Regulada pertenecen al mismo grupo empresarial: "son responsables del tratamiento independientes en todo lo relativo al tratamiento de los datos de sus respectivos clientes, por lo que NATURGY no ha intervenido en los hechos descritos por el Reclamante para ese contrato de gas". Por su parte la Comercializadora Regulada el 8 de septiembre de 2023 informó de lo siguiente: - En los sistemas de la entidad consta la parte reclamante como titular del suministro de gas correspondiente a la vivienda sita en ***DIRECCIÓN.1, durante el periodo 10 de mayo de 2022 al 2 de enero de 2023, momento en que se tramitó un cambio de titular a favor de un tercero al haber manifestado ser el adquirente de la citada vivienda. - La contratación del suministro fue realizada de manera presencial el día 9 de mayo de 2022 a través de una empresa colaboradora (encargada de tratamiento) en Zaragoza. De acuerdo con la información obrante en los sistemas "Fue A.A.A. en ese momento esposa del Reclamante, quien actuando en su representación realizó la contratación del suministro de gas a nombre del Reclamante". En el momento de realizar la contratación, además de aportar los datos identificativos de la parte reclamante, aportó documentación acreditativa de ser su cónyuge y de la titularidad conjunta tanto de la vivienda como de la cuenta bancaria con objeto de domiciliar los recibos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/30 - Se ha adjuntado grabación de la llamada de verificación realizada por la entidad encargada de tratamiento coligiéndose que "A.A.A. manifiesta expresamente ser cónyuge del Reclamante y actuar en representación del mismo para realizar la contratación del suministro de gas". Por tanto, no existían elementos que pudieran hacer sospechar de una presunta existencia de fraude o irregularidad alguna en la contratación. - Durante la vigencia del contrato la parte reclamante no formuló reclamación alguna ni manifestó la disconformidad con la contratación del suministro. El primer contacto con la parte reclamante se produjo una vez finalizada dicha relación contractual para pedir una copia del contrato. - Se considera que de existir un supuesto de suplantación de identidad por parte de A.A.A. "deberían dirimir ante la autoridad judicial competente al margen de Comercializadora Regulada, Naturgy y la AEPD y, en todo caso, habría sido A.A.A. quien habría realizado un uso ilícito de los datos del Reclamante para darle de alta como titular, y habría mentido en relación con la autorización de que disponía de su todavía cónyuge para realizar la contratación". - Con objeto de poner fin a la controversia - y sin que pueda interpretarse como un reconocimiento de las tesis de la parte reclamante - se "acordó abonarle íntegramente todos los importes que había pagado. Dicho abono fue compensado contra los importes todavía adeudados a raíz de los consumos de gas realizados durante la vigencia del contrato". En conclusión, se señala que no existe en puridad perjuicio económico alguno que se haya podido derivar de dicho contrato. TERCERO: Con fecha 13 de septiembre de 2023, de conformidad con el artículo 65.5 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: En fecha 3 de noviembre de 2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue notificada a la parte reclamante, en fecha 14 de noviembre de 2023. QUINTO: En fecha 5 de diciembre de 2023 se interpone recurso potestativo de reposición, en el que la parte reclamante muestra su disconformidad con la resolución impugnada, solicitando que continúe la tramitación de la reclamación inicialmente presentada. SEXTO: En fecha 9 de mayo de 2024 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la LPACAP a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes. Comercializadora Regulada, con fecha 24 de mayo de 2024, alega frente al recurso de reposición: “que la contratación del suministro de gas fue realizada por A.A.A.. en representación de la parte recurrente, que en ese momento era legalmente su esposo... Con posterioridad a esa contratación presencial, existió una llamada de verificación para asegurar que todos los datos de la contratación eran correctos. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/30 esa llamada A.A.A. reiteró la representación con la que había actuado e informó de la documentación que había presentado en el momento de la contratación… Por tanto, si se gestionó el contrato de suministro de la parte recurrente, se debió a que A.A.A. realizó los trámites en su nombre asumiendo la representación del reclamante, y a la luz de toda la documentación aportada no existían elementos que pudieran hacer sospechar de la existencia de fraude o irregularidad alguna en dicha contratación. Por ello, dado que todos los elementos asociados a esta contratación parecían correctos, la misma se entendió correctamente celebrada. Durante toda la vigencia del contrato, esto es, desde el 10 de mayo de 2022 hasta el 2 de enero de 2023, la parte recurrente no manifestó en ningún momento su disconformidad con la contratación del suministro de gas… además de estar los pagos domiciliados en una cuenta bancaria de la que era cotitular, rechazó el pago de dos facturas (***REFERENCIA.1 y ***REFERENCIA.2), y con fecha 2 de noviembre de 2022 llamó desde el número de teléfono ***TELÉFONO.1 de su titularidad, para para proceder al pago del importe adeudado mediante pago con tarjeta bancaria”. Sobre los “actos propios del reclamante”, Comercializadora Regulada destaca, además, lo siguiente: . Realizó la devolución de dos facturas, pero no las restantes, cobradas con cargo a la misma cuenta bancaria. . Mostró su disconformidad con el importe de dos facturas, pero no con el resto de los importes facturados ni con la contratación en sí. Finalmente, el 02/11/2022, contactó con la entidad para proceder a pago de aquellos dos importes con cargo a la tarjeta de crédito de su titularidad. . Estuvo al corriente de toda la relación contractual, de lo que cabe concluir que existió un mandato verbal hacia su esposa para la contratación del suministro de gas. SÉPTIMO: Con fecha 11 de junio de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando estimar el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada en fecha 3 de noviembre de 2023, por la que se acordaba el archivo de la reclamación referida a COMERCIALIZADORA REGULADA, GAS & POWER, S.A., a fin de que prosiga su tramitación. OCTAVO: Por la parte reclamada se interpuso recurso contencioso administrativo frente a la anterior resolución de fecha 11 de junio de 2024, que estima el recurso de reposición interpuesto por el reclamante contra la resolución de 3 de noviembre de 2023 por la que se acordaba el archivo de la reclamación referida a la parte reclamada, solicitando la suspensión de la eficacia de la resolución adoptada y por ende, el proseguimiento del expediente sancionador EXP202310583 hasta que se resuelva sobre el fondo del asunto. NOVENO: Con fecha 4 de diciembre de 2024, mediante Auto de la Audiencia Nacional Sala de lo Contencioso Administrativo, Sección 1, se acuerda desestimar la petición de suspensión solicitada por Comercializadora Regulada. Conocido este Auto, con fecha 17/12/2024, se dirigió escrito a la entidad Comercializadora Regulada otorgándole “un nuevo plazo de pago voluntario” de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/30 sanción, motivando la respuesta presentada por dicha entidad en fecha 16/01/2025, mediante el que advierte que la consecuencia de la denegación de aquella suspensión es la continuación del procedimiento sancionador y en ningún caso la obligación de realizar un pago. A la vista de este escrito de Comercializadora Regulada, advertido el error, “al no tratarse de la suspensión de la ejecutividad de la sanción, sino de la suspensión en la tramitación de un procedimiento”, con fecha 05/02/2025 se cursó escrito informando a dicha entidad que no procedía el otorgamiento de un plazo de pago voluntario. DÉCIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad COMERCIALIZADORA REGULADA, GAS & POWER, S.A. con NIF A65067332 es una gran empresa constituida en el año 2009, y con un volumen de negocios de 1.430.180.000 euros en el año 2023. DECIMOPRIMERO: Con fecha 19 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. DECIMOSEGUNO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación de plazo para presentar alegaciones, que le fue concedido y presentó escrito de alegaciones el día 11 de octubre de 2024 en el que, en síntesis, se reitera en los argumentos expuestos en sus respuestas anteriores: “. El Reclamante había conferido a su entonces cónyuge, A.A.A., un mandato verbal en representación del Reclamante para suscribir el contrato de suministro de gas en su nombre, así como de cualquier gestión relacionada con el mismo, por el cual ésta suscribió dicho contrato de gas con COMERCIALIZADORA REGULADA. . “Según lo que informó A.A.A., éste era el modus operandi habitual de su sociedad conyugal desde el inicio de la misma hasta su disolución 10/10/2022 (fecha en que firman propuesta de Convenio Regulador de Divorcio). Este extremo queda probado con las comunicaciones entre ambos aportadas”. . El Reclamante tenía conocimiento de la existencia del contrato de gas en su vivienda conyugal por lo que su reclamación es totalmente contraria a sus propios actos. . Dicha contratación no supone en ningún caso una suplantación de la identidad del Reclamante. . Los asuntos personales entre el Reclamante y A.A.A. deben dirimirse a través de las vías correspondientes y, sin duda, fuera del alcance de un expediente sancionador frente a un tercero como es COMERCIALIZADORA REGULADA. . La actuación de la AEPD contraviene la Doctrina Administrativa de los actos propios en la medida en la que, en un primer momento, dictó resolución acordando el archivo de la reclamación manifestando que no existían indicios de una infracción en materia de protección de datos por lo que no procedía la apertura de un procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/30 sancionador y, 10 meses más tarde, sin que concurrieran nuevos hechos o circunstancias que alteren dicha calificación, la AEPD incoó el presente expediente sancionador por los mismos hechos y sin justificar su cambio de criterio. . La AEPD no notificó en ningún momento a COMERCIALIZADORA REGULADA la resolución estimatoria del recurso de reposición presentado por el Reclamante, hecho que produjo una indefensión material a COMERCIALIZADORA REGULADA en la medida en la que ésta podría haber recurrido dicha resolución. . Sin perjuicio de lo anterior, en el Acuerdo de Inicio se imputan erróneamente hechos agravantes que no son aplicables al caso que nos ocupa “. . “La motivación real de la denuncia presentada por el Reclamante ante la AEPD obedece a una cuestión personal entre el Reclamante y la que ahora es su excónyuge, A.A.A., y no a una cuestión relativa a sus derechos de protección de datos”. . “A.A.A. facilitó evidencias que no hacen más que demostrar el conocimiento y consentimiento que el Reclamante tenía sobre la existencia del contrato de gas mencionado -fruto del mandato verbal que éste había realizado a favor de A.A.A. para que ésta actuara en su representación- y que se describen a continuación: 1) Correos remitidos por A.A.A. al Reclamante fechados en septiembre y octubre de 2022 (estando el contrato con COMERCIALIZADORA REGULADA en vigor y tres meses antes de la primera queja del Reclamante indicando que desconocía la existencia de dicho contrato): en los que A.A.A. informa al Reclamante – que todavía vivía en la vivienda conyugal y, por tanto, era quien disfrutaba del suministro de gas- que la empresa distribuidora iba a realizar la inspección obligatoria del gas en el punto de suministro mencionado para que estuviera presente durante la inspección o concertara una nueva hora de su conveniencia con los inspectores… Asimismo, en dicho correo A.A.A. informaba al Reclamante que, a partir de ese momento, dejaría de realizar gestiones en nombre del Reclamante, lo que supone la revocación por parte de A.A.A. del consentimiento que había prestado al mandato verbal de representación que el Reclamante había conferido a su favor. 2) Mensajería intercambiada entre el Reclamante y A.A.A. en fecha de septiembre de 2022 (cuatro meses antes de la primera queja del Reclamante indicando que desconocía la existencia de dicho contrato) en la que ambos comentan los recibos correspondientes a la factura de gas y su gestión, mostrando el Reclamante pleno conocimiento y consentimiento (facilitándole incluso A.A.A. copia de dichas facturas a lo que el Reclamante muestra su conformidad)”. Se aporta copia de la mensajería intercambiada entre el reclamante y A.A.A., con los que Comercializadora Regulada pretende acreditar la existencia del referido mandato de representación a favor de ésta. Incluye dos correos que A.A.A. dirige al reclamante en fechas 29/09/2022 y 04/10/2022, con el asunto “Revisión obligatoria gas” y los textos siguientes: “El lunes 03 de octubre van a pasar por casa a realizar la inspección obligatoria… Yo no puedo estar. Viene un teléfono por si necesitas modificar el día/hora de visita”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/30 “Visto que no acudiste a la revisión obligatoria que estaba programada para ayer… que sepas que ya está solucionado… En la siguiente factura de gas vendrá incluido el coste de esta revisión, que serán alrededor de 60€. Además, como te comenté ayer, a partir de ahora en todo lo que seas tú el titular, modificaré y pondré tus datos de contacto, ya que siempre acostumbrabas a poner mi teléfono y mi correo electrónico en todo”. DECIMOTERCERO: Con fecha 10/07/2025, se formuló propuesta de resolución en el sentido de que por la Presidencia de la Agencia Española de Protección de Datos se sancione a Comercializadora Regulada, por la comisión de una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del RGPD, con una multa de 80.000 euros (ochenta mil euros). DECIMOCUARTO: La propuesta de resolución fue debidamente notificada a Comercializadora Regulada en fecha 11/07/2025 a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular alegaciones. Una vez rebasado el plazo concedió para formular alegaciones, con fecha 30/07/2025 se presentó escrito de la parte reclamada en el que reitera su petición de archivo del procedimiento. Después de describir los hechos y trámites realizados, aclarando que A.A.A., con N.I.F. ***NIF.1, que realizó la contratación en nombre del reclamante, en ese momento su esposa, (…), esa entidad formula las consideraciones siguientes: 1. Reitera que la AEPD nunca notificó a Comercializadora Regulada la resolución de fecha 11/06/2024, por la que se estimó el recurso de reposición interpuesto por el reclamante contra la resolución de archivo de su reclamación de fecha 03/11/2023, siendo esto contrario a lo dispuesto en el artículo 40.1 de la LPACAP, que obliga a notificar a los interesados los actos y resoluciones que afecten a sus derechos e intereses, y causa de indefensión, además de una vulneración del derecho de defensa, derecho a un proceso con garantías y derecho de acceso a la jurisdicción de la entidad, que no tuvo oportunidad de recurrir dicha resolución interponiendo el pertinente recurso contencioso-administrativo. Entiende vulnerado el artículo 53 de la LPACAP, que prevé el derecho del administrado a la defensa y a recurrir en vía contencioso-administrativa. Defiende que no se trata de una mera infracción formal, como califica la AEPD, sino una infracción de las garantías mínimas que la normativa exige a toda actuación administrativa, la cual no puede ampararse en el artículo 65.5 de la LOPDGDD al no tratarse simplemente de un acto que admita a trámite la reclamación presentada, sino la resolución de un recurso de reposición que pone fin a la vía administrativa y desestima las alegaciones de Comercializadora Regulada. Según esta entidad, el hecho es más lesivo desde el momento en que la resolución del recurso sí se notificó a uno de los interesados. Señala que la propia resolución no notificada a Comercializadora Regulada indica expresamente que pone fin a la vía administrativa y puede recurrirse ante la Sala de lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/30 Contencioso-Administrativo de la Audiencia Nacional. No cabe que la Administración considere y desconsidere una resolución susceptible de recurso a su conveniencia. Frente a ello, no puede oponerse, como hace la AEPD, que en el procedimiento sancionador posterior el interesado ha podido alegar todo cuanto a su derecho ha estimado conveniente. 2. Comercializadora Regulada entiende vulnerado el procedimiento sancionador considerando que después del inicio del presente procedimiento sancionador recibió resolución de la AEPD, de fecha 17/12/2024, otorgando “un nuevo plazo de pago voluntario” de la sanción de 200.000 euros (importe fijado en el acuerdo de inicio), así como la liquidación de unos supuestos intereses de demora, omitiendo la AEPD todas las fases que la normativa exige en estos procedimientos y que garantizan el derecho de defensa. Comercializadora Regulada se vio obligada a realizar acciones adicionales para velar por su derecho de defensa, presentando un escrito de 16/01/2025, manifestando que no procedía la reclamación de ese importe y recordando las garantías procesales previstas. Todo ello vulnerando lo previsto en el Título IV de la Ley 39/2015 y, en concreto, sus artículos 53, 64, 84, 85, 89 y 90; y el artículo 25.1 de la Ley 40/2015 que exige que la potestad sancionadora de las Administraciones Públicas se ejerza aplicando el procedimiento previsto para ello. En fecha 07/02/2025, recibió un escrito de la AEPD anulando su resolución anterior. Considerando esta actuación, entiende que la Administración ha omitido, obstaculizado y menoscabado su derecho de defensa al haber sido obligada a realizar actos positivos adicionales para poder preservar tal derecho. 3. De la Arbitrariedad en la fijación de la sanción económica. Los mismos hechos por los que en fecha de 03/11/2023 la AEPD no apreciaba indicio alguno de infracción, en fecha de 19/09/2024 pasaron a ser considerados una infracción muy grave, cuantificándose la sanción económica en 200.000 euros en el acuerdo de Inicio del presente procedimiento, según las circunstancias que en el mismo se indican (artículos 83.2.a),
2. e)y
3. k)del RGPD), que fueron rebatidas en las alegaciones formuladas frente a dicho acuerdo. Posteriormente, en la propuesta de resolución, por la misma infracción y habiendo rechazado sus alegaciones, la AEPD rebaja la sanción a 80.000 euros sin argumentar el motivo de la reducción, produciendo con todo ello una clara inseguridad jurídica en el administrado, que desconoce los motivos de este cambio y los criterios de fijación de la cuantía de la multa. Añade que, en caso de que hubiera optado por el pago voluntario para acogerse a las reducciones previstas, habría pagado un importe más elevado que el fijado en la propuesta. Adicionalmente, la AEPD pretendió cobrar esos 200.000 euros más intereses a través del requerimiento antes mencionado, convirtiendo en firme una resolución inexistente. 4. Ausencia de responsabilidad y culpabilidad. Acreditación de la representación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/30 persona que facilitó los datos personales. Comercializadora Regulada reitera que, según el modus operandi habitual de su sociedad conyugal, existe un mandato verbal otorgado por el reclamante, que conocía el contrato, siendo la reclamación contraria a sus propios actos. El contrato se realizó por la persona que en aquel momento era su cónyuge y compartía el punto de suministro de gas, asociado a la vivienda propiedad de ambos, y compartía la titularidad de la cuenta bancaria en la que se domiciliaron los pagos. En el proceso de contratación se aportaron los datos identificativos del reclamante y la documentación que acredita tales circunstancias, habiéndose realizado, además, una llamada de verificación. A este respecto, resulta especialmente relevante la mensajería intercambiada entre el reclamante y la persona que realizó el contrato en su nombre, detallados en sus escritos anteriores, así como lo hechos que ya constan relatados sobre el tiempo de vigencia del contrato, el consumo efectivo y cargos bancarios realizados o las gestiones sobre los pagos pendientes y solicitud de copia de facturas realizadas directamente por el reclamante ante Comercializadora Regulada, además, de no haber manifestado en ningún momento su disconformidad hasta que ambos se encontraron incursos en un proceso de divorcio. Siendo así, destaca dicha entidad que es falso lo manifestado en la propuesta de resolución cuando se indica que el afectado no ha sido parte en el contrato y que Comercializadora Regulada no ha aportado documentación que acredite la representación, cuando se aportó libro de familia escritura de propiedad de la vivienda y resguardo de titularidad conjunta de la cuenta bancaria. Sobre esta última cuestión, alega que no corresponde a la AEPD valorar si esa documentación es suficiente para acreditar el mandato verbal conforme a la normativa del Código Civil. Todo lo expuesto contraviene la jurisprudencia sobre los actos propios fijada por el Tribunal Supremo, por cuanto las conductas del reclamante son inequívocas y perfectamente delimitadas pues definen sin ninguna duda la situación jurídica afectante a su autor (en su calidad de titular del contrato de suministro, usuario efectivo de la energía y de mandante verbal) de manera que son incompatibles y contradictorias con la conducta expresada por éste más tarde, consistente en negar el conocimiento del contrato de suministro a su nombre y negar que autorizase a su entonces cónyuge a la suscripción del mismo. Por otra parte, alega Comercializadora Regulada que no existe suplantación de identidad por cuanto la persona que solicita el contrato no se hizo pasar por el reclamante en ningún momento, sino que manifestó y acreditó actuar en su representación mediante un mandato verbal, sin que el reclamante haya acreditado lo contrario. En todo caso, añade, sería una cuestión a dirimir entre el reclamante y su ahora excónyuge o sustanciarse en vía penal. Fueron las desavenencias personales las que motivaron la presentación de la reclamación, no una cuestión relativa a su derecho a la protección de datos personales. En relación con lo expuesto, cita la resolución dictada por esta AEPD en el expediente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/30 EXP202213395, en el que esta Agencia manifiesta no ser competente para dirimir cuestiones civiles, como las relativas a la validez civil o mercantil de un contrato, que deberán instarse ante los órganos administrativos o judiciales competentes, y que solo corresponde a esta Agencia determinar si se han cumplido los requisitos legales establecidos para el tratamiento de datos, sin indagaciones propias de la esfera civil. Y se añade que no debe ponerse al servicio de rencillas particulares (SAN de 01/04/2011). Destaca que nada indica la propuesta de resolución al respecto. En otro orden, reitera que la actuación de la AEPD contraviene la doctrina de los actos propios, considerando que dictó resolución acordando el archivo de la reclamación y, 10 meses más tarde, sin que concurran nuevos hechos o nuevas circunstancias de cualquier índole ni tan siquiera se haya aportado nueva documentación al expediente, y simplemente bajo la petición del Reclamante mediante recurso de reposición, la AEPD incoe un expediente sancionador, manifestando en el acuerdo de inicio justo lo contrario de lo que había manifestado en aquella resolución de archivo. Todo ello, según Comercializadora Regulada contraviene la doctrina de los actos propios que debe regir la actuación de la Administración, tal y como establece el Tribunal Supremo, así como la jurisprudencia administrativa sobre los principios de seguridad jurídica y de confianza legítima, que “impone que las decisiones de la Administración no supongan un cambio de sentido respecto de los actos administrativos previamente dictados, con base en cuyo fundamento actuó el administrado, dando con ello estabilidad a la relación jurídico administrativa (STS de 06/03/2014, rec. de cas. 2171/2012). En definitiva, la actuación de la Administración Pública no puede ser alterada arbitrariamente, contrariamente a lo que ha sucedido en el presente expediente sancionador, en el que se genera un conflicto con la seguridad jurídica al iniciar un procedimiento sancionador incompatible con el archivo de la reclamación anterior. Con ello se creó una expectativa legítima y de confianza del administrado de no iniciar un procedimiento sancionador por estos hechos, que, 10 meses más tarde y sin motivación alguna, ha sido contrariada por el mismo órgano administrativo. 5. En el presente procedimiento sancionador, la AEPD se excede de sus competencias. . Respecto a la representación mediante mandato verbal, la AEPD sostiene en la propuesta que el reclamante nunca fue parte del contrato y que no se acreditó suficientemente la figura del mandato verbal, en base a las estipulaciones del Código Civil, artículos 71 y 1259. Según Comercializadora Regulada, las funciones y potestades de la AEPD se establecen en al artículo 47 de la LOPDGDD, artículos 57 y 58 del RGPD y artículo 5 del Real Decreto 389/2021 por el que se aprueba el Estatuto de la AEPD. Entre ellas no se incluye la de interpretar, analizar ni juzgar sobre normativa que nada tenga que ver con la protección de datos, como ha sucedido en el presente caso. Es decir, las facultades de supervisión y de control por parte de la AEPD se limitan exclusivamente a la normativa de protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/30 No solo no es competencia de la AEPD, sino que dicha cuestión y la interpretación y aplicación de los asuntos civiles es competencia exclusiva de los Juzgados, tal y como estipula el artículo 45 de la Ley 1/2000, de Enjuiciamiento Civil: “corresponde a los Juzgados de Primera Instancia el conocimiento, en primera instancia, de todos los asuntos civiles que por disposición legal expresa no se hallen atribuidos a otros tribunales. Conocerán, asimismo, dichos Juzgados de los asuntos, actos, cuestiones y recursos que les atribuye la Ley Orgánica del Poder Judicial”. . Tampoco la AEPD es competente para investigar, dirimir, juzgar y concluir si se ha cometido o no un delito de suplantación de identidad, que corresponde a la jurisdicción ordinaria según lo establecido en los artículos 1 y 10 del Real Decreto de 14 de septiembre de 1882 por el que se aprueba la Ley de Enjuiciamiento Criminal. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Consta en el expediente que la excónyuge de la parte reclamante realizó la contratación del suministro de gas a su nombre con fecha 9 de mayo de 2022, de forma presencial, en la oficina de una empresa colaboradora de Comercializadora Regulada. SEGUNDO. – Obra en el expediente que la excónyuge aportó el día de la contratación 9 de mayo de 2022 la siguiente documentación: - Libro de familia en el que constaban como cónyuges tanto el reclamante con la excónyuge. - Copia de la escritura de titularidad conjunta de la vivienda en la que se deseaba contratar el gas (punto de suministro). - Resguardo de titularidad conjunta de la cuenta bancaría en la que se deseaban domiciliar los pagos. TERCERO. - Consta en el expediente llamada de verificación de la contratación del suministro de gas. En dicha grabación la excónyuge manifiesta expresamente ser cónyuge del reclamante y actuar en representación del mismo para realizar la contratación del suministro de gas. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/30 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento 1. En relación con las alegaciones de la parte reclamada de la descripción de los hechos que realiza la misma, es evidente que Comercializadora Regulada trató los datos personales del reclamante (nombre, apellidos, NIF, domicilio) vinculados al alta de un contrato de suministro de gas sin que tuviera legitimidad para ello, dado que no ha acreditado que la excónyuge ostentará la representación del reclamante. La parte reclamada en sus alegaciones manifiesta que la excónyuge ostentaba un mandato verbal para realizar el contrato de suministro de gas. A este respecto, hay que mencionar el artículo 71 del Código Civil, que dice que ninguno de los cónyuges puede atribuirse la representación del otro sin que le hubiere sido conferida. Y, el artículo 1.259 del Código Civil, señala que la validez de lo actuado por el mandatario verbal depende de que sea luego ratificado por la persona representada. «Para poder inscribirse un negocio celebrado por una persona que actúa por sí y como mandatario verbal de esposa es necesario acreditar fehacientemente la representación (art. 3 LH), o bien la ratificación posterior por la persona representada» (Resolución de 8 de febrero de 2004 de la DGRN). Por lo que es evidente que la excónyuge del reclamante no ostentaba la representación del reclamante. En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte reclamada y debe ser rechazada. 2. Comercializadora Regulada alega que el acuerdo de Inicio de la AEPD manifiesta justamente lo contrario de lo que se había concluido en la resolución de archivo, sin explicar cuál ha sido el cambio de criterio para valorar de forma diferente unos hechos que ya fueron valorados y respecto de los cuales no se ha producido alteración alguna; y señala que se le ha producido indefensión por no habérsele notificado la resolución que estimó el recurso de reposición interpuesto contra dicha resolución de archivo. No ha habido tal cambio de criterio por parte de la AEPD. El reclamante interpuso con fecha 5 de diciembre de 2023 un recurso potestativo de reposición contra la resolución que acordaba el archivo de la reclamación, reiterando que la contratación a su nombre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/30 del suministro de gas fue realizada por una tercera persona que manifestó ostentar su representación, sin que Comercializadora Regulada adoptara medida de seguridad alguna para exigirle tal representación. En contra de lo señalado por Comercializadora Regulada, la estimación de dicho recurso de reposición interpuesto por la parte reclamante, que da lugar a la admisión a trámite de la reclamación formulada, no vulnera la doctrina de los actos propios. Por otra parte, debe destacarse que se dio cuenta a Comercializadora Regulada del recurso interpuesto para que pudiera pronunciarse sobre su contenido, lo que se ha verificado mediante escrito de respuesta de fecha 24/05/2024. Respecto a la existencia de indefensión para que pueda apreciarse no resulta suficiente con que se haya producido una infracción formal sino que ha de haberse producido una indefensión de carácter material, en palabras del TC, STC 290/1993, fundamento jurídico 4 “Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso pues se remitió el recurso interpuesto a Comercializadora Regulada y, con fecha 24/05/2024, formuló las alegaciones que estimó procedentes, todo ello en el marco de la fase de admisión a trámite de la reclamación. Además, la parte reclamada ha podido alegar en el presente procedimiento sancionador todo cuanto a su derecho ha estimado conveniente, por lo que ninguna indefensión material se ha producido. Cabe señalar, asimismo, que la resolución estimatoria del recurso de reposición, por la que se admite a trámite la reclamación que motiva las presentes actuaciones, fue notificada únicamente a la parte reclamante conforme a lo dispuesto en el artículo 65.5 de la LOPDGDD, según el cual “La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/30 3. Sobre que en el Acuerdo de Inicio se imputan erróneamente a Comercializadora Regulada dos hechos agravantes que no son aplicables al caso que nos ocupa: Circunstancia del artículo 83.2
4. a)RGPD “la gravedad de la infracción teniendo en cuenta el alcance de la operación del tratamiento” , indicando que el Acuerdo de Inicio justifica únicamente la concurrencia de dicho agravante basándose en que se cargasen diversas cuantías a la parte reclamante, alegando la parte reclamada que dichas cuantías que fueron cargadas en un primer momento en la cuenta bancaria obedecían al consumo de gas que el mismo estaba realizando y que queda acreditado que Comercializadora Regulada acordó abonarle íntegramente todos los importes que había pagado. Los hechos afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de legitimidad, que la norma sanciona con la mayor gravedad; sobre los perjuicios irrogados a la parte reclamante, no hay que olvidar que nos encontramos ante la vulneración de un derecho fundamental como es el de la protección de datos de carácter personal; y que no consta base de legitimación alguna para el tratamiento de los datos de la parte reclamante. Indica igualmente el apartado
5. e)del artículo 83.2 del RGPD, señalando que en el expediente PS/0087/2022 fue sancionada por remitir erróneamente el contrato de suministro del nuevo domicilio de la reclamante a la dirección de su antiguo domicilio y en el presente expediente es por dar de alta un contrato de suministro de gas a nombre del reclamante sin su consentimiento. Sobre la circunstancia del artículo 83.2.
6. e)RGPD, “Toda infracción anterior cometida por el responsable o el encargado del tratamiento”, el considerando 148 del RGPD señala “A fin de reforzar la aplicación de las normas del presente Reglamento [...]” e indica a ese respecto que “Debe no obstante, prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional [...] o a cualquier infracción pertinente [...]”. Así pues, conforme al apartado
7. e)del artículo 83.2. RGPD, en la determinación del importe de la sanción de multa administrativa no podrán dejar de valorarse todas aquellas infracciones anteriores del responsable o del encargado de tratamiento en aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto infractor. Además, una correcta interpretación de la disposición del artículo 83.2.
8. e)RGPD no puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de multa administrativa en el caso individual planteado atendiendo siempre a que la sanción sea proporcional, efectiva y disuasoria. III Contestación a las alegaciones presentadas a la propuesta de resolución Con carácter previo, debe significarse que las alegaciones formuladas por Comercializadora Regulada en respuesta a la propuesta de resolución elaborada por el instructor del procedimiento se presentaron fuera del plazo otorgado para ello, lo que conlleva su calificación como extemporáneas y la posibilidad de no tomarlas en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/30 consideración. No obstante, considerando que con ello no se vulneran derechos de terceros, esta AEPD tiene por presentadas dichas alegaciones. Respecto de las mismas, es preciso señalar que no desvirtúan los fundamentos que justifican el acuerdo adoptado en la presente resolución. Comercializadora Regulada plantea en su escrito de alegaciones a la propuesta de resolución, básicamente, las mismas las mismas alegaciones que formuló con ocasión de la apertura del procedimiento, sin considerar los hechos constatados y los fundamentos que sirvieron de base a la mencionada propuesta, que esta resolución hace suyos, en los que se analizan ampliamente las circunstancias puestas de manifiesto por dicha entidad y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en su nuevo escrito de alegaciones quedan sobradamente rebatidos con los argumentos transcritos en el Fundamento de Derecho anterior y en los que siguen, que se consideran válidos y suficientes para rechazar los planteamientos de Comercializadora Regulada. Así resulta respecto de: (
9. i)la cuestión relativa a la no notificación a Comercializadora Regulada de la resolución del recurso de reposición interpuesto por el reclamante contra la resolución de esta AEPD de fecha 3 de noviembre de 2023, que simplemente determinó la continuación de las actuaciones con la apertura del presente procedimiento, en el que Comercializadora Regulada ha tenido oportunidad de intervenir con todas las garantías establecidas; (
10. ii)la invocación de la doctrina de actos propios, que Comercializadora Regulada plantea en base precisamente a la estimación de aquel recurso y la consiguiente prosecución de las actuaciones. Ninguna contradicción con esta doctrina de los actos propios puede resultar de ello, so pena de desvirtuar el régimen de revisión de actos en vía administrativa. (iii) o sobre la formalización del contrato de suministro de gas a nombre del reclamante por una tercera persona que intervenía en representación de aquel, cuando es obvio, a la vista de las actuaciones, que Comercializadora Regulada no ha acreditado en modo alguno dicha representación, que no puede entenderse probada por una simple manifestación de esa tercera persona, ni puede deducirse, desde el punto de vista de la protección de datos, del hecho de que, como matrimonio, compartieran propiedad o titularidad de la cuenta bancaria. Menos aún en lo que esta entidad denomina modus operandi del matrimonio, que ni siquiera era conocido por esta empresa en el momento en que se realiza el tratamiento de datos que conlleva el alta del suministro. De conformidad con lo previsto en la SAN de 1 de julio de 2024, en el recurso 900/2022, las medidas de seguridad impuestas no pueden ser tan generales que puedan estar al alcance de un tercero, disponiendo que “se evidencia la insuficiencia de dicho protocolo cuando se requieren, tan solo, datos tan generales que pueden estar al alcance de un tercero y se deberían de haber C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/30 exigido mayores medidas de seguridad y de garantía de quien actúa en representación, sin que se pueda presumir que quien dice ser la hermana del titular del contrato actúe en representación del mismo. Y deben entenderse como medidas mínimas para asegurarse que el contrato de suministro se modifica a través del representante del titular”. También dicha Sentencia a la obligación de comprobar la representación del consumidor en contrato de energía en los términos siguientes: “Conforme al Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, "Las empresas distribuidoras deben disponer de una base de datos referidos a todos los puntos de suministro conectados a sus redes y a las redes de transporte de su zona, permanentemente completa y actualizada, en la que consten al menos los datos siguientes…”. Lo que viene a significar que cuando se actúa como sustituto del consumidor, la empresa suministradora deberá de comprobar que se está actuando mediante representación del consumidor. La obligación de la empresa (…) era asegurarse de que esa persona actuaba como representante del titular que es el que vio modificado el contrato sin su consentimiento.” En consecuencia, respecto de estas cuestiones, se estima oportunos remitirnos a los argumentos ya expuestos, que se tienen por válidos. Por otra parte, plantea Comercializadora Regulada las cuestiones siguientes: 1. El procedimiento seguido ha omitido todas sus fases, obstaculizando su derecho de defensa, y basa esta alegación en el hecho de que esta AEPD le remitiera, por error, un requerimiento de pago en período voluntario una vez conocido el Auto dictado por la Audiencia Nacional en fecha 04/12/2024, que desestimó la suspensión en la tramitación del procedimiento y no la suspensión de la ejecutividad de una resolución que aún no se había dictado. Dicho error fue inmediatamente subsanado sin ninguna repercusión en el presente procedimiento, que ha cumplido todas sus fases sin alteración alguna de las garantías previstas. 2. Asimismo, cabe señalar que la modificación de la cuantía de la sanción determinada en el acuerdo de inicio del procedimiento sancionador realizada en la propuesta de resolución no supone arbitrariedad alguna. No en vano, la propuesta de resolución es el acto en el que “se fijarán de forma motivada los hechos que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan, la persona o personas responsables y la sanción que se proponga, la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, así como las medidas provisionales que, en su caso, se hubieran adoptado” (artículo 89.3 de la LPACAP. A juicio de esta AEPD, el acuerdo de inicio dictado se ajusta a lo previsto en el artículo 68 de la LOPDGDD, según el cual bastará con que el acuerdo de inicio del procedimiento concrete los hechos que motivan la apertura, identifique la persona o entidad contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción (en este caso, de los distintos poderes correctivos que contempla el artículo 58.2 del RGPD, la Agencia estimó procedente la imposición de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/30 multa, además de la adopción de medidas para ajustar su actuación a la normativa, sin perjuicio de lo que pudiera resultar de la instrucción del procedimiento). Seguidamente, se instruye el procedimiento y se dicta la propuesta de resolución. En el presente caso, la propuesta de resolución elaborada responde sobradamente a las exigencias establecidas en el citado artículo 89.3 de la LPACAP, por lo que no puede achacársele falta de motivación. Para la elaboración de la propuesta de resolución, en tanto que acto que culmina la actividad instructora, deben de tenerse en cuenta todos los hechos y circunstancias que se pongan de manifiesto durante la instrucción, incluidos los alegados por los interesados que se tengan por ciertos, y permitan valorar el supuesto de hecho planteado, así como establecer las responsabilidades y consecuencias que de ellos se deriven. Estos hechos que la instrucción del procedimiento evidencia podrán motivar la modificación de las imputaciones contenidas en el acuerdo de inicio del procedimiento o su calificación jurídica, así como el importe de la sanción que se hubiese determinado inicialmente en el acuerdo de apertura del procedimiento. El instructor del procedimiento designado por el órgano que ostenta la potestad sancionadora dispone de todas las facultades que le atribuye la normativa en cuestión y plena libertad para dictar su propuesta de resolución y para elevar su criterio al órgano decisorio, al que corresponde dictar la resolución que finalice el procedimiento. En ningún caso el instructor del procedimiento está constreñido por lo acordado en el momento de la apertura del procedimiento. En el ámbito administrativo sancionador, la imparcialidad del instructor está vinculada al derecho del interesado a un proceso con todas las garantías. Se garantiza con los motivos de abstención o recusación y con la debida separación entre las fases de instrucción y de resolución del procedimiento sancionador, separación entre fases que en este caso no ha quebrado y que se respeta escrupulosamente en todos los procedimientos de esta naturaleza seguidos por la AEPD. Entender que el instructor del procedimiento está obligado a seguir el importe de la sanción señalado en el acuerdo de apertura supondría una quiebra de su imparcialidad y una ruptura del principio de separación de la fase instructora y de sanción, establecido en el artículo 63.1 de la LPACAP, según el cual: “1. Los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente y establecerán la debida separación entre la fase instructora y la sancionadora, que se encomendará a órganos distintos”. Esta AEPD respeta esa plena independencia del instructor del procedimiento para dictar una propuesta de resolución que se separe de la valoración inicial de los hechos efectuada en el acuerdo de inicio. No hay más que acudir a la web “aepd.es”, en la que se publican todas las resoluciones dictadas en procedimientos sancionadores, para verificar la gran cantidad de ellos que finalizan con una resolución de archivo de actuaciones, siguiendo la propuesta emitida por el instructor del procedimiento, así como aquellas otras en las que dicha propuesta modificó la calificación, incrementó o minoró el importe de la sanción fijado en el acuerdo de apertura o propuso, incluso, la aplicación de un poder correctivo distinto a la sanción de multa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/30 Dictada la propuesta de resolución, la misma debe de ser notificada a la parte interesada concediéndosele plazo para formular alegaciones y presentar los documentos e informaciones que se estimen pertinentes. En ningún caso se adoptará resolución sin que el interesado tenga ocasión de manifestarse sobre todos los extremos considerados. Ningún argumento contiene el escrito de alegaciones a la propuesta de resolución presentado por Comercializadora Regulada que lleve a considerar viciado el procedimiento seguido, que ha respetado todas las normas procesales aplicables y todas las garantías del interesado. La citada entidad, atendiendo a la naturaleza contradictoria del procedimiento administrativo sancionador, ha tenido conocimiento de todos los actos relevantes del procedimiento y, con ello, de los argumentos que han servido de base a los acuerdos adoptados, así como oportunidad de rechazarlos. 3. Considerando la rebaja de sanción que se contiene en la propuesta de resolución respecto de la determinada inicialmente, alega Comercializadora Regulada que si hubiese optado por el pago voluntario habría pagado más que la propuesta. Sin embargo, la actuación desarrollada por esta AEPD se ajusta a las previsiones normativas aplicables. A lo indicado anteriormente sobre la propuesta de resolución y su alcance, debe añadirse, en cuanto a las reducciones de multas, que la norma aplicable establece la posibilidad de beneficiarse de dos reducciones en el momento de la apertura del procedimiento, vinculadas al reconocimiento de responsabilidad por parte del infractor y al pago voluntario de la sanción. De no producirse este reconocimiento de responsabilidad y pago voluntario, se instruye el mismo y se dicta posteriormente la propuesta de resolución. El pago voluntario puede realizarse por el interesado en cualquier momento del procedimiento anterior a la resolución, razón por la que se ofrece al interesado esta opción al notificarse la propuesta de resolución. No así el reconocimiento de responsabilidad, que debe de producirse durante el plazo de formulación de alegaciones a la apertura del procedimiento, como bien se informó a la entidad Comercializadora Regulada en el acuerdo de inicio que le fue puntualmente notificado. No habiendo reconocido la responsabilidad en ese momento, al dictarse la propuesta de resolución la opción para la reducción de la multa se concreta en el pago voluntario de la sanción, con la única reducción del 20%, siempre que dicho pago tuviese lugar en un momento anterior a la resolución. Ello de conformidad con lo establecido en el citado artículo 85 de la Ley 39/2015, según el cual el reconocimiento de la responsabilidad debe producirse “iniciado el procedimiento” para que sea aplicable la reducción prevista del 20% sobre la sanción, mientras que el apartado 2 del mismo artículo se refiere de manera expresa y única al pago voluntario, y no al reconocimiento de la responsabilidad, determinando que dicho pago se podrá producir en cualquier momento anterior a la resolución. Así lo entiende también la Audiencia Nacional, Sala de lo Contencioso-administrativo, Sección 1ª, que en su Sentencia de 05/02/2021, Rec. 41/2019, indica que el pago C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/30 voluntario puede producirse en cualquier momento anterior a la resolución, mientras que la reducción por reconocimiento de la responsabilidad está ligada al acuerdo de inicio y a la previsión del artículo 64.2.
11. d)de la Ley 39/2015: “En cuanto a la infracción de lo previsto en los artículos 64 y 85 de la Ley 39/2015, que contemplan la posibilidad de reconocer la responsabilidad en el momento de la notificación de la resolución de inicio del procedimiento (art. 64.2.
12. d)y acogerse a las reducciones previstas en el artículo 85, en el acuerdo de inicio del procedimiento hay una expresa referencia a esos artículos, indicando que no resultan de aplicación los apartados 2 y 3 del artículo 85; además, en ningún momento el demandante ha mostrado su voluntad de reconocer la responsabilidad por la infracción sancionada y acogerse a la posibilidad establecida en dichos artículos (el pago voluntario puede hacerse en cualquier momento anterior a la resolución), por lo que procede desestimar también esta alegación”. También la finalidad es distinta para cada uno de aquellos modos de terminación del procedimiento. En el caso del reconocimiento de la responsabilidad (artículo 85.1) se persigue el logro de una mayor eficacia de la actuación administrativa con una finalización rápida del procedimiento que lleva asociada, además, la renuncia al recurso en vía administrativa. Esto implica un ahorro de tiempo, esfuerzo y, por tanto, de costes que bonifican ese reconocimiento de responsabilidad con una rebaja del 20%. 4. Señala Comercializadora Regulada que la AEPD se excede de sus facultades de supervisión y de control, que se limitan exclusivamente a la normativa de protección de datos personales, al realizar valoraciones en base a estipulaciones del Código Civil o sobre la comisión o no de un delito de suplantación de identidad. Sin embargo, esta Agencia se ha limitado a analizar los elementos que determinan la licitud o ilicitud del tratamiento de datos personales del reclamante realizado y, en concreto, las circunstancias que permiten considerar válidamente prestado el consentimiento del interesado para dicho tratamiento. Así se pronuncia la SAN de 1 de julio de 2024, antes citada, cuando señala que la AEPD es competente para exigir que se acredite la representación voluntaria del interesado por un tercero a los efectos de contratar en su nombre, sin que pueda o deba examinar las características del concreto negocio jurídico de representación: “Refiere la parte recurrente la falta de competencia material de la Agencia Española de Protección de Datos que se trata de una cuestión civil a resolver por la correspondiente jurisdicción. En materia de protección de datos, la autoridad competente encargada de velar por el cumplimiento de la normativa de protección de datos y controlar su aplicación es la Agencia Española de Protección de Datos. Las reglas de competencia en esta materia se recogen en el RGPD y la LO 3/2018 que concede a esta Agencia la protección de datos de las personas físicas en relación con el tratamiento de datos personales que es el objeto de este proceso en el cual no se examina la validez del contrato o negocio jurídico llevado a cabo entre las partes, o entre los hermanos, ni se discute ni analiza la existencia de un contrato de mandato, de apoderamiento o representación en los términos previstos en el ámbito civil. Se analiza la actuación de la compañía de suministro de energía eléctrica en el cumplimiento de la normativa de protección de datos a la que está sometida sin que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/30 ésta pueda o deba analizar las características de un negocio jurídico de representación, tan solo puede y debe, como en este caso, y para la debida protección de datos de carácter personal del contratante del servicio de suministro, exigir que se acredite esa representación que se está mencionando constantemente en la demanda”. Por otra parte, ninguna conclusión se adopta en este acto, como tampoco se hizo en la propuesta de resolución, que tenga relación con el orden jurisdiccional penal. Ninguna referencia se contiene sobre una suplantación de identidad. 5. Finalmente, interesa a esta AEPD destacar que las alegaciones a la propuesta de resolución formuladas por Comercializadora Regulada nada manifiestan en relación con los factores de graduación considerados en la propuesta de resolución, que esta resolución reproduce, ni sobre el importe de multa acordado. IV Cuestiones Previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; Comercializadora Regulada es una empresa comercializadora de suministros de gas y electricidad que para el desarrollo de su actividad trata datos de carácter personal de sus clientes: Nombre, apellidos, DNI, domicilio, teléfono, correo electrónico etc., dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/30 V Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
13. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
14. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
15. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
16. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
17. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
18. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
19. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. La documentación que obra en el expediente acredita que Comercializadora Regulada ha vulnerado el artículo 6.1 del RGPD, toda vez que trató los datos personales del reclamante (nombre, apellidos, NIF, domicilio, cuenta bancaria, entre otros) vinculados al alta de un contrato de suministro de gas en el que el afectado no ha sido parte y sin que la reclamada haya aportado documentación que acredite que la persona que le facilitó los datos personales de éste ostentaba su representación. Durante las actuaciones, Comercializadora Regulada ha afirmado que la contratación del suministro de gas fue realizada en representación de la parte recurrente por la que en ese momento era legalmente su cónyuge. Manifiesta que, a la luz de toda la documentación aportada, no existían elementos que pudieran hacer sospechar de la existencia de fraude o irregularidad alguna en dicha contratación por lo que, en consecuencia, dicha contratación debe de entenderse debidamente celebrada. Sin embargo, entre toda esa documentación no existía ninguna relativa a la autorización otorgada a esa tercera persona por el reclamante para que actuara en su nombre. La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en supuestos como el que aquí se plantea, ha considerado que cuando el titular de los datos que figuran en un determinado contrato niega la contratación corresponde la carga de la prueba a quien afirma su existencia, debiendo el responsable del tratamiento de datos de terceros recabar y conservar la documentación necesaria para acreditar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/30 consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto. La documentación que Comercializadora Regulada ha aportado para dicho fin consiste en la documentación aportada por la excónyuge de la parte reclamante en el momento de la contratación del suministro de gas realizada de manera presencial el día 9 de mayo de 2022 a través de una empresa colaboradora de Comercializadora Regulada. Dicha documentación, consiste en el libro de familia en el que constaban como cónyuges tanto el reclamante como su excónyuge, copia de la escritura de titularidad conjunta de la vivienda y resguardo de titularidad conjunta de la cuenta bancaría. Posteriormente, se realizó una llamada de verificación de la contratación del suministro de gas. En la grabación consta una conversación telefónica mantenida con la misma persona que facilitó los datos del reclamante, quien afirmó que actuaba en representación del afectado y, en ese concepto, gestionaba en su nombre un contrato de gas correspondiente al punto de suministro de la vivienda ubicada en ***DIRECCIÓN.1. Pero no consta ningún contacto, ni si quiera un intento de contacto con el reclamante para que ratificara la contratación. La eficacia o valor probatorio de la documentación aportada por la parte reclamada se refiere, exclusivamente, al origen de los datos personales del reclamante que fueron objeto de tratamiento por Comercializadora Regulada y únicamente muestra las manifestaciones de la persona que realizó dicha contratación en nombre la parte reclamante. Sin embargo, y esto es lo esencial, la parte reclamada no ha acreditado que el titular de los datos personales objeto de tratamiento hubiera otorgado su representación al tercero para que en su nombre prestara el consentimiento a la celebración de un contrato con la entidad reclamada. El respeto al principio de licitud, que está en la esencia del derecho fundamental de protección de datos de carácter personal, exige que conste acreditado que el titular de los datos consintió que un tercero en su nombre celebrara un contrato con la parte reclamada. De no actuar así -y de no exigirlo así esta Agencia, a quien le incumbe velar por el cumplimiento de la normativa reguladora del derecho de protección de datos de carácter personal- el resultado sería vaciar de contenido el principio de licitud. Debe tenerse en cuenta que, en virtud del principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD, incumbe al responsable la carga de la prueba de que el tratamiento que efectuó de los datos personales de la parte reclamante estaba amparado en alguna de las circunstancias de licitud previstas en el artículo 6.1 del RGPD. El tratamiento de los datos personales de la parte reclamante no encuentra su base de legitimación en la ejecución del citado contrato de suministro de gas, ya que, debe reiterarse, dicho contrato fue celebrado por persona tercera, sin que hubiese acreditado que actuara en nombre y representación de la parte reclamante. A la vista de lo anterior, la parte reclamada no logra acreditar que actuara diligentemente y, por consiguiente, ha de considerarse que hubo un tratamiento ilícito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/30 de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En este sentido el Considerando 40 del RGPD señala: “