1/6 Expediente N.º: EXP202303715 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Dirección General de la Policía (en adelante DGP) mediante una comunicación de fecha 13 de mayo de 2022, que tuvo entrada en el Registro de la AEPD el 17 de mayo, puso en conocimiento de esta Agencia que la Comisaría General de Policía Judicial (en adelante CGPJ), Unidad de Delincuencia Económica y Fiscal (en adelante UDEF), en el marco de Diligencias Previas ***REFERENCIA.1 de las que conocía el ***JUZGADO.1, llevó a cabo una investigación por presuntos delitos contra el mercado de los consumidores, usurpación del estado civil y estafa a compañías suministradoras de gas y luz en España. La investigación puso de manifiesto el acceso y uso fraudulento de bases de datos de carácter personal por empresas de “call center”, con el objetivo de, haciéndose pasar por clientes, enriquecerse mediante cambios de proveedores de servicios. Las actuaciones practicadas por el grupo investigador detectaron que una de las empresas “fuerzas de ventas” de la comercializadora ***EMPRESA.1, denominada ***EMPRESA.2, presuntamente, tras tener acceso a la base de datos de ***EMPRESA.3 (en adelante ***EMPRESA.3), subcontrató a otras mercantiles para proceder a la captación fraudulenta de clientes. El modus operandi empleado por las empresas “fuerzas de venta” de la comercializadora para traspasar presuntamente de forma fraudulenta y mediante engaño a los clientes apuntaba a un presunto tratamiento ilícito de datos personales por parte de dichas empresas. Junto a la comunicación, se aportaba un informe de fecha ***FECHA.1 de la Comisaría General de Policía Judicial, Unidad de Delincuencia Económica y Fiscal (Grupo III Fraude Financiero de la Brigada de Delincuencia Económica) comunicando, a requerimiento del ***JUZGADO.1, el resultado de la investigación policial. Dicho informe fue completado, posteriormente con un segundo de fecha ***FECHA.2 y con un tercero de ***FECHA.3. SEGUNDO: Dada la relevancia de los hechos y la necesidad de analizar las implicaciones en materia de protección de datos personales y seguridad de la información, se realizó en la AEPD una primera investigación (***REFERENCIA.2) en orden al esclarecimiento de los hechos denunciados y su autoría. TERCERO: No obstante lo indicado en el antecedente anterior, teniendo en cuenta el amplio alcance del caso y la necesidad de acompasarlo con las capacidades y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 recursos de que dispone la AEPD, la investigación se centró, en un primer momento, en la empresa ***EMPRESA.2 y en la obtención de evidencias sobre el escenario del presunto acceso y uso fraudulento de bases de datos de carácter personal de ***EMPRESA.3, todo ello sin perjuicio de que, a la luz de las conclusiones, se pudieran ampliar las investigaciones. Posteriormente, se determinó la necesidad de iniciar actuaciones frente a la sociedad ENERGÍA ANDALUCÍA ORIENTAL, S.L. (en adelante, EAO) a fin de determinar su posible participación en los hechos. De esta forma, el día 21 de marzo de 2023 la Directora de la Agencia Española de Protección de Datos acordó abrir una investigación de oficio e instó a la Subdirección General de Inspección de Datos (SGID) a que iniciase las actuaciones previas de investigación, a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, reflejando la información obtenida en el informe de actuaciones previas de investigación de 7 de junio de 2023. QUINTO: Con fecha 15 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a EAO, por la presunta infracción del artículo 5.1.
- a)del RGPD y por cuatro presuntas infracciones del artículo 6.1 del RGPD, tipificadas todas ellas en el artículo 83.5 del RGPD. SEXTO: El día 13 de julio de 2023 el instructor del procedimiento solicitó al ***JUZGADO.1, en el ámbito de las Diligencias Previas nº ***REFERENCIA.1, que comunicara su criterio sobre la conveniencia de acordar la suspensión del procedimiento sancionador PS/00303/2023, en aplicación de lo dispuesto en el artículo 77.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). Dicha solicitud de información fue reiterada con fecha 29 de septiembre de 2023. El 20 de octubre de 2023 tuvo entrada en la AEPD una providencia del ***JUZGADO.1, de fecha ***FECHA.4, que daba cuenta del escrito presentado por el Ministerio Fiscal no oponiéndose a la suspensión del PS/00303/2023 por parte de la AEPD. SÉPTIMO: Con fecha 3 de octubre de 2023, la Directora de la AEPD acordó suspender el procedimiento PS/00303/2023 (nº EXP202303715) incoado a EAO, ordenando notificar dicho acuerdo a EAO y su comunicación al ***JUZGADO.1. OCTAVO: El día 4 de abril de 2025 se presentó ante la AEPD un oficio del ***PUESTO.1 de ***FECHA.5 por el que remitía testimonio de todo lo actuado en el ***JUZGADO.1 en relación con las Diligencias Previas ***REFERENCIA.1. Entre la documentación remitida, figuraba el informe de la Fiscalía Provincial de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 ***LOCALIDAD.1 de ***REFERENCIA.1. ***FECHA.6, relativo a las Diligencias Previas NOVENO: Con fecha 18 de julio de 2025, el Presidente de la Agencia Española de Protección de Datos, acordó levantar la suspensión del procedimiento sancionador incoado a EAO, continuar su tramitación y notificar el citado acuerdo a la mencionada empresa. DÉCIMO: El día 18 de julio de 2025 se formuló propuesta de resolución, proponiendo: “Que por la Presidencia de la Agencia Española de Protección de Datos se declare la prescripción de la presunta infracción del artículo 5.1.
- a)del RGPD y de las presuntas infracciones del Artículo 6.1 del RGPD, tipificadas en el Artículo 83.5 del RGPD, imputadas a ENERGÍA ANDALUCÍA ORIENTAL, con NIF B23737174.” SEXTO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: La presunta intervención de EAO en los hechos investigados por la policía se produjo en una primera etapa. La Policía ha comprobado que a principios de julio de 2019 (X de julio de 2019 y en los días siguientes) se produjo un trasvase masivo de trabajadores de EAO a ***EMPRESA.4, que presuntamente la sucedió en la actividad. En relación con esta cuestión, el informe de la Fiscalía Provincial de ***LOCALIDAD.1 de ***FECHA.6, relativo a las Diligencias Previas ***REFERENCIA.1, señala que, de acuerdo con la investigación que ha llevado a cabo la policía, la intervención de EAO en los hechos investigados se habría producido en un primer periodo, dado que el X de julio de 2019 y en los días siguientes, se produjo un trasvase masivo de trabajadores desde la sociedad EAO a ***EMPRESA.4 El citado informe señala: “(...)” SEGUNDO: Las Diligencias Previas ***REFERENCIA.1 de las que conocía el ***JUZGADO.1 han concluido con los Autos (…) por los que el JUZGADO.1 ha decretado el sobreseimiento provisional y el archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso se atribuye a EAO la presunta comisión de una infracción del artículo 5.1.
- a)del RGPD y de cuatro infracciones del Artículo 6.1 del RGPD, tipificadas en el Artículo 83.5 del RGPD. III De la documentación aportada por el ***JUZGADO.1 a la AEPD, relativa a las Diligencias Previas ***REFERENCIA.1, cabe destacar el informe de la Fiscalía Provincial de ***LOCALIDAD.1 de ***FECHA.6. En el citado informe se señala lo siguiente: “(…)” De dicha información se desprende que la presunta participación de EAO en los hechos investigados por la policía se habría producido en una primera fase, siendo sucedida, en una segunda fase, por las empresas ***EMPRESA.4 y ***EMPRESA.2. La Policía tras la investigación realizada sitúa el momento del trasvase de personal entre ambas empresas (EAO y ***EMPRESA.4) en julio de 2019. El artículo 72.1 de la LOPDGDD dispone: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” El acuerdo de inicio del procedimiento sancionador fue dictado el 15 de junio de 2023. En dicha fecha habían transcurrido más de tres años desde que habría finalizado la presunta participación de EAO en los hechos. Así la Policía señala que a principios de julio de 2019 (el X de julio de 2019 y en los días siguientes) se produjo un trasvase masivo de trabajadores entre las sociedades EAO y ***EMPRESA.4, que sucede en su actividad a la primera. Por tanto, los hechos que determinarían la comisión de una presunta infracción del artículo 5.1.
- a)del RGPD y cuatro presuntas infracciones del Artículo 6.1 del RGPD, tipificadas en el Artículo 83.5 del RGPD, por parte de EAO se habrían producido, en su caso, hasta julio de 2019, por lo que se habría superado el plazo de tres años contemplado en el artículo 72.1 de la LOPDGDD. En consecuencia, y debido a la prescripción de las presuntas infracciones inicialmente imputadas, conocida en el marco de la tramitación del presente procedimiento sancionador, procede el archivo del mismo. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador incoado a ENERGÍA ANDALUCÍA ORIENTAL, S.L., con NIF B23737174 por la presunta infracción del artículo 5.1.
- a)del RGPD y por cuatro presuntas infracciones del artículo 6.1 del RGPD, tipificadas en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a ENERGÍA ANDALUCÍA ORIENTAL, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es