PS-00306-2022

1/7  Expediente N.º: EXP202203966 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 1 de marzo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra NATURGY IBERIA, S.A. con NIF A08431090 (en adelante, la parte reclamada o Naturgy). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que con fecha 29 de abril de 2021, dio de alta los servicios de suministro de luz y gas con la empresa comercializadora Repsol. Señala que el 6 de diciembre de 2021, la parte reclamada, tramitó la baja del contrato de suministro de gas que mantenía con su anterior empresa comercializadora, dando de alta el contrato de gas con Naturgy, sin que hubiese prestado su consentimiento para ello. Y, aporta la siguiente documentación relevante: Demanda judicial registrada con fecha 28 de enero de

1. Facturas de gas y contrato suscrito con Repsol. Factura de Naturgy de diciembre de
2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de abril de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 24 de junio de 2022 se recibe en esta Agencia escrito de respuesta manifestando lo siguiente: “que no hemos localizado el contrato que se nos solicita en expediente. Por dicho motivo, hemos procedido a la anulación de la única factura emitida para el periodo que contrato estuvo activo con nuestra comercializadora ***FACTURA.1 de ***FECHA.1 hasta ***FECHA.2 de importe XX,XX €. Se han emitido abonos a cuenta bancaria utilizada por cliente para realización de los pagos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 ES00 0000 0000 0000 0000 00000 de XX,XX € correspondientes a facturación anulada, X,XX € por interés legal del dinero y, por último, tenemos en cuenta lo indicado en expediente, XX,XX € como indemnización por calidad del servicio”. TERCERO: De conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 1 de marzo de 2022, se comunica que su reclamación ha sido admitida con fecha 1 de junio de 2022 a trámite al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: Con fecha 16 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta que: “Tras la recepción del presente expediente sancionador, hemos realizado la búsqueda adecuada en nuestros sistemas y hemos encontrado la documentación solicitada por la AEPD en su Solicitud de Información que nos permite concluir que la contratación realizada a la Reclamante fue correcta. Naturgy lamenta sinceramente no haber facilitado la información correcta en un momento inicial a esta Agencia y los inconvenientes que esto le haya podido comportar y ha tomado las medidas oportunas para que una situación como la expuesta no vuelva a repetirse. De la documentación que acredita la validez de la contratación realizada a nombre de la reclamante. Según consta en los registros informáticos de Naturgy, con fecha 3 de diciembre de 2021, desde la empresa Sociedad de Gestión y Comunicación One Star SL, subcontratada por Naturgy para la prestación de servicios de asesoría comercial y captación de clientes domésticos, en el marco de una campaña comercial, se llamó al número de teléfono ***TELÉFONO.1 perteneciente a la reclamante para hacerle una oferta comercial. La contratación se realizó por medio de una herramienta en la que, durante el proceso de contratación, si el cliente manifiesta su intención de contratar, se le envía un SMS a su número de teléfono, que contiene un enlace a una web en la que es mostrada al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 cliente la información de los productos ofrecidos y condiciones contractuales, y donde debe pulsar en un “botón” para dar su consentimiento para la contratación y el adeudo SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su voluntad de contratar, así como la IP desde la que se realiza. Todo el proceso de contratación, desde el envío del SMS, contenido del mismo, acceso a la web enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la contratación, es certificado por una Tercera Parte de Confianza, la entidad Aviva Voice Systems & Services, S.L. (En adelante Aviva), con CIF B84216142 y domicilio en la Calle Golfo de Salónica, 27– 5ºB, 28033, Madrid. Así, respecto de la contratación de la reclamante se adjunta como Documento Nº 7 locución telefónica en la que se escucha como la persona que se identifica como A.A.A. contrata con NATURGY el producto Tarifa Por Uso Gas con un 5% de descuento en el consumo y un bono de 15 euros para el punto de suministro sito en c/ ***DIRECCIÓN.1 con CUPS (…). Igualmente, se adjunta como Documento nº 8 la certificación expedida por Aviva para dicha contratación, que en su primera página acredita lo siguiente: • El día 3 de diciembre de 2021 a las 17.05h. se remitió un SMS al número de teléfono móvil ***TELÉFONO.1 de la reclamante. • Dicho SMS contenía un enlace a la web en la que se mostraba toda la información de los productos ofertados, en la que muy claramente se observa que la oferta y los productos son de Naturgy, así como las condiciones de contratación, y se solicitaba el consentimiento para contratar. • A continuación, siendo las 17:05h, se accedió a la citada web, y a las 17:06:23., desde la dirección (…), se pulsó en el botón “Contratar” contenido en dicha página web, mediante el que se confirma la voluntad de contratar, por lo que no cabe duda alguna de que el Reclamante formalizó su contrato con Naturgy. Así pues, el certificado expedido por Aviva que se adjunta al presente escrito acredita que desde el número de teléfono de la Reclamante se aceptó la contratación de la Tarifa Por Uso gas para el punto de suministro identificado más arriba, tanto la llamada comercial realizada por la empresa colaboradora de NATURGY como el envío del SMS a través del cual se realizó la contratación de la Tarifa Por Uso Gas, se hicieron al número de teléfono ***TELÉFONO.1 que la reclamante ha informado como propio en la denuncia que presentó ante el Juzgado de Guardia y fue remitida por esta Agencia junto con su Solicitud de Información. De lo anterior cabe concluir que la llamada de contratación se realizó en el número de teléfono de la reclamante y el contrato fue aceptado también desde dicho número de teléfono por lo que la contratación habría sido realizada correctamente por ésta. Sobre la base de lo anterior ha quedado probado que NATURGY sí contaba con el consentimiento de la Reclamante para tratar sus datos personales con el fin de formalizar la contratación por lo que Naturgy no ha cometido la infracción que se le imputa en el Acuerdo de Inicio”. SEXTO: Con fecha 4 de octubre de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 “
3. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por Dña. A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación.
4. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por NATURGY IBERIA, S.A., y la documentación que a ellas acompaña”. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1º. La reclamante manifiesta, que la parte reclamada realizó un contrato de suministro de gas a su nombre en fecha 6 de diciembre de 2021, tramitando así la baja con su anterior empresa comercializadora, sin que ella tuviese conocimiento del mismo ni hubiese prestado su consentimiento para ello. 2º. Según consta en los registros informáticos de Naturgy, con fecha 3 de diciembre de 2021, desde la empresa Sociedad de Gestión y Comunicación One Star SL, subcontratada por Naturgy para la prestación de servicios de asesoría comercial y captación de clientes domésticos, en el marco de una campaña comercial, se llamó al número de teléfono ***TELÉFONO.1 perteneciente a la reclamante para hacerle una oferta comercial. 3º. En la locución telefónica que aporta Naturgy se escucha como la persona que se identifica como A.A.A. contrata con Naturgy el producto Tarifa Por Uso Gas con un 5% de descuento en el consumo y un bono de 15 euros para el punto de suministro sito en c/ ***DIRECCIÓN.1 con CUPS (…). 4º. En la certificación expedida por Aviva para dicha contratación, se acredita que el 3 de diciembre de 2021 a las 17.05h. se remitió un SMS al número de teléfono móvil ***TELÉFONO.1 de la reclamante. Dicho SMS contenía un enlace a la web en la que se mostraba toda la información de los productos ofertados, en la que muy claramente se observa que la oferta y los productos son de Naturgy, así como las condiciones de contratación, y se solicitaba el consentimiento para contratar. A continuación, siendo las 17:05h, se accedió a la citada web, y a las 17:06:23., desde la dirección (…), se pulsó en el botón “Contratar” contenido en dicha página web, mediante el que se confirma la voluntad de contratar. OCTAVO: Con fecha 27 de octubre de 2022 se formuló propuesta de resolución, proponiendo: <<Que por la Directora de la Agencia Española de Protección de Datos se ARCHIVE el procedimiento sancionador con número de expediente EXP202203966 abierto a la entidad NATURGY IBERIA, S.A. con NIF A08431090 por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Siendo notificada la propuesta de resolución el 28 de octubre de
5. La parte reclamada no presentó alegaciones. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación incumplida Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
6. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Tipificación y calificación La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “
7. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGDD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, <<b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679>>. IV Propuesta de sanción En este caso, Naturgy aportó la grabación de voz de verificación del consentimiento verbal otorgado en la contratación y certificación expedida por tercera empresa para dicha contratación. En la certificación expedida por Aviva para dicha contratación, se acredita que el 3 de diciembre de 2021 a las 17.05h. se remitió un SMS al número de teléfono móvil ***TELÉFONO.1 de la reclamante. Dicho SMS contenía un enlace a la web en la que se mostraba toda la información de los productos ofertados, en la que muy claramente se observa que la oferta y los productos son de Naturgy, así como las condiciones de contratación, y se solicitaba el consentimiento para contratar. A continuación, siendo las 17:05h, se accedió a la citada web, y a las 17:06:23., desde la dirección (…), se pulsó en el botón “Contratar” contenido en dicha página web, mediante el que se confirma la voluntad de contratar. Resultando por tanto que actuó Naturgy con razonable diligencia en la contratación y en el tratamiento de datos personales que conlleva. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados, alegaciones y pruebas aportadas en el procedimiento no se han acreditado elementos probatorios que permitan atribuir a Naturgy una vulneración del artículo 6.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Cabe concluir que conforme con los hechos y fundamentos de derecho anteriores, y conforme a lo dispuesto en el artículo 89.1 y 3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se archiva el procedimiento sancionador por inexistencia de infracción, del artículo 6.1 del RGPD. Por ello, y visto lo anterior, por la Directora de la Agencia Española de Protección de Datos. RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador con número de expediente EXP202203966 abierto a la entidad NATURGY IBERIA, S.A. con NIF A08431090 por infracción del artículo 6.1) tipificada en el artículo 83.5.a) del citado RGPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad denunciada NATURGY IBERIA, S.A. con NIF A
8. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es