1/15 Expediente N.º: EXP202208578 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de agosto de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a WATIUM, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202208578 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 5 de julio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra WATIUM, S.L. con NIF B86459260 (en adelante, W.S.L). En su escrito, la parte reclamante manifiesta que, en el mes de abril de 2022, recibió una llamada de teléfono cuyo interlocutor se identificaba como su empresa suministradora de luz (Endesa) y el cuál le ofrecía unas tarifas más ventajosas. Al tener presente que el mismo conocía todos sus datos personales y pensando que se trataba de la misma compañía que le prestaba dicho servicio, accedió a su contratación. Sin embargo, más tarde tuvo conocimiento que lo que se había efectuado en dicha contratación telefónica era un cambio de compañía sin su consentimiento con la parte reclamada W.S.L, procediendo a recibir con posterioridad llamadas y mensajes de texto por parte de una entidad de gestión de cobros donde se le reclamaban cantidades adeudadas en nombre de la citada suministradora. A efectos acreditativos, la parte reclamante aporta junto a su escrito el contrato con Endesa, copia de facturas de esta última, así como dos imágenes de los mensajes de texto recibidos por parte de la entidad de gestión de cobros donde se le reclamaba una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 deuda pendiente de pago con W.S.L de fechas 12 de mayo y 21 de junio de 2022, respectivamente. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a W.S.L, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 12/08/2022 como consta en el acuse de recibo que obra en el expediente. La parte reclamada, tras la ampliación de plazo otorgada por esta entidad, con fecha de 12 de septiembre de 2022, remite a esta autoridad escrito indicando la siguiente información: - - - - - Manifiesta que cuando un prestador de servicios de telemarketing realiza un contrato de suministro por cuenta de W.S.L, debe aportar la formalización de venta para, de esta forma, dicha entidad pueda verificar que la contratación se ha llevado a cabo de forma adecuada. Afirma que el citado prestador de servicios cede a W.S.L los datos personales de interesados a los que se les ofrecerá los productos y servicios de la suministradora. La entidad prestadora de servicios de telemarketing actuaría posteriormente en calidad de encargado del tratamiento de W.S.L para la realización de las actividades de oferta de sus productos y servicios, así como de contratación de estos, pudiendo realizar únicamente acciones comerciales sobre aquellos interesados que otorgaron su consentimiento de ceder sus datos personales a W.S.L para dicha finalidad. En este sentido, indica que, en el momento de la firma del contrato de prestación de servicios, el prestador de servicios de telemarketing adquirió el compromiso de ceder únicamente los datos personales de aquellos interesados que hubiesen dado su consentimiento para dicha finalidad. Adicionalmente, el prestador de servicios se comprometía a informar a los interesados debidamente y de acuerdo con la normativa en materia de Protección de datos acerca de la cesión a W.S.L de sus datos. En cuanto a la procedencia de los datos personales de la parte reclamante, afirma no poder determinar el origen de obtención de dichos datos por parte del prestador de servicios de telemarketing, puesto que el mismo los obtuvo en calidad de responsable del tratamiento independiente de W.S.L. En relación a la contratación realizada con la parte reclamante señala que “se ha podido constatar que la contratación se llevó a cabo informando de que ésta se producía con MAS LUZ ENERGIA, marca comercializada por WATIUM.” Por último, la parte reclamada manifiesta que, debido a que se han detectado incidencias de diferente naturaleza en el procedimiento de contratación de sus servicios, ha adoptado como medida la paralización total del procedimiento de contratación de sus servicios hasta que se resuelvan las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 TERCERO: Con fecha 14 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Tras la revisión de la documentación proporcionada por la parte reclamante se evidencia el reclamo de diversas cuantías por parte de la empresa CLAIM LAW. De forma concreta, los mensajes enviados y que se aportan como copia junto al escrito, poseían el siguiente contenido: “Le escribimos desde CLAIM LAW, Abogados en representación de WATIUM S.L. quien nos ha notificado que tiene facturas pendientes de pago por importe de 161,22 €, Puede abonarlas a través de transferencia bancaria en la cuenta: ***CUENTA.1 Por favor, indique su número de identificación en el concepto. Una vez realizado el pago, por favor, envíenos el justificante al siguiente correo electrónico: reclamaciones@claimlawabogados.com” “ […] no hemos recibido noticias suyas en relación con las facturas pendientes de pago con WATIUM S.L. que ascienden a 161.22 euros. Como le informamos anteriormente en 2 días interpondremos la demanda judicial que adjuntamos en la presente comunicación por la cantidad de 161.22 €. Para detener de forma inmediata el proceso judicial puede efectuar el pago mediante transferencia a la cuenta ***CUENTA.1.” Consultada la página web de CLAIM LAW, Abogados (https://www.claimlawabogados.com/aviso-legal), se constata, dentro del aviso legal, la siguiente información: Denominación social: SKYNET LEGAL, S.L (CLAIM LAW) NIF: B-08266876 Dirección: Buenos Aires, 60 1º1ª 08036 Barcelona. E-mail: info@claimlaw.es Asimismo, se procede a la búsqueda de información relativo a la parte reclamada W.S.L en el servicio Monitoriza de https://www.axesor.es/, constando como activa, con domicilio social y comercial en RAMBLA DEL GARRAF, 76. SANT PERE DE RIBES 08812 (BARCELONA) y cuya empresa matriz global es VISALIA. Con fecha 7 de diciembre de 2022 se solicita a W.S.L. información relativa a los datos de la parte reclamante que consten en sus ficheros, todos los posibles contratos formalizados con la misma; en particular, el contrato de fecha abril de 2022; así como la copia del contrato entre dicha suministradora y la empresa de gestión de cobros SKYNET para el tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 Tras nueva solicitud con fecha 9 de enero de 2023, W.S.L remite su respuesta el 26 de enero de 2023, aportando algunos de los documentos solicitados por esta entidad. Entre los mismos, destaca el contrato para el tratamiento de los datos entre W.S.L (responsable del tratamiento) y la empresa de gestión de cobros SKYNET LEGAL S.L. (encargado de tratamiento). Como fecha de dicho contrato se señala el día 7 de junio de 2022; sin embargo, consta firmado el 26 de enero de 2023, fecha coincidente con el día en que se da respuesta a la solicitud de información por parte de esta autoridad. Con fecha 30 de enero de 2023, la parte reclamada remite nuevo escrito, adjuntando nuevo contrato para el tratamiento de los datos con la misma empresa, de contenido idéntico al documento aportado el 26 de enero de 2023, pero, en este caso, firmado en fecha 30 de enero de 2023. Tal y como se evidencia, las firmas de ambos contratos son posteriores a las solicitudes de información expedidas por esta entidad. Asimismo, en los mencionados escritos de respuesta, W.S.L. manifiesta que no consta en su base de datos, ningún dato del reclamante, incluyendo contratos, señalando que ello es debido a que el proveedor de servicio de telemarketing no ha aportado el contrato formalizado. Como evidencia de dicha circunstancia, aporta una captura de pantalla donde se indica que no aparece ningún dato relativo a la búsqueda del DNI de la parte reclamante. Por lo que se refiere a la copia del contrato entre W.S.L y el prestador de servicios de telemarketing que formalizó el contrato de suministro por cuenta de aquella, la parte reclamada indica que la empresa de telemarketing es ALPHA 57, no aportando copia de contrato alguno con dicha entidad. Consultada la base de legitimación en que se fundamenta W.S.L para la cesión de los datos personales del reclamante a la entidad SKYNET, “entendemos que WATIUM, S.L. no ha procedido a la cesión de los datos del reclamante, habida cuenta de que, como se acredita con el ANEXO III, no constan datos del reclamante en la base de datos de WATIUM, S.L. En cuanto a la reclamación realizada por SKYNET LEGAL, desconocemos el origen de los datos obtenidos, ya que por parte de WATIUM, como ya se ha expuesto, no se han comunicado los datos en el marco del encargado de tratamiento establecido en ambas entidades.” A tal fin, se adjuntan el contrato de servicios entre ambas entidades, así como el ya mencionado contrato de encargado de tratamiento, cuya firma es posterior al requerimiento de información. Con relación al origen de la deuda contraída con W.S.L y la relación de las reclamaciones de pago realizadas, la parte reclamada indica que, salvo error u omisión, no consta en la base de datos de W.S.L reclamaciones de deuda realizadas al reclamante por cuenta de W.S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 Con fecha 20 de abril de 2023 nueva solicitud de información a la parte reclamante con el fin de que aporte copia de alguna factura asociada al suministro contratado presuntamente de forma fraudulenta e información sobre la continuidad de envíos de reclamaciones de la deuda por parte de SKYNET en la actualidad. Ante la ausencia de respuesta por su parte, se reitera la solicitud con fecha 17 de mayo de 2023, siendo de entregada el día 29 de mayo de 2023, no recibiéndose de nuevo respuesta alguna. Con fecha 20 de abril de 2023 se remite de nuevo solicitud de información a la parte reclamada; entre otras cuestiones, el contrato con el prestador de servicios de telemarketing, así como el motivo por el cual SKYNET está reclamando al afectado una deuda a nombre de W.S.L. Puesta a disposición en la Dirección Electrónica Habilitada Única (DEHÚ), la notificación es aceptada con fecha 24 de abril de 2023. Habiendo superado el plazo de respuesta sin que se haya recibido en esta Agencia escrito de alegaciones, se reitera dicha solicitud con fecha 17 de mayo de 2023, siendo esta notificación aceptada en DEHÚ con fecha 28 de mayo de 2023. La parte reclamada remite su escrito de alegaciones con fecha 19 de junio de 2023, dos semanas después de que se haya superado el plazo de respuesta otorgado. En relación al motivo por el cual SKYNET está reclamando al afectado una deuda a nombre de W.S.L, esta indica que “La deuda tiene su origen en unas facturas impagadas. SKYNET es un proveedor de WATIUM dedicada al recobro de deudas.” Sin embargo, dicha afirmación resulta incongruente con la respuesta al primer requerimiento, en el cual se manifestaba no constar datos del reclamante en su base de datos, ni contratos formalizados entre W.S.L y esta última. Por lo que respecta a la copia del contrato solicitada entre WATIUM S.L. y el prestador de servicios de telemarketing que formalizó el contrato de suministro por cuenta de W.S.L con el reclamante con fecha 22 de abril de 2022, la parte reclamada no lo aporta, sino que proporciona un contrato de compraventa de cartera de clientes de gas entre W.S.L e INSIGNIA GAS, S.L. de fecha 22 de febrero de 2022, y en el que se indica, respecto a datos de carácter personal, que “el Vendedor declara cumplir con la normativa de protección de datos tanto por lo establecido por la legislación vigente.” Respecto a dicho afirmación, W.S.L señala que “ciertos clientes que, en origen, habían contratado en su día con INSIGNIA GAS SL lo hicieron bajo las condiciones y criterios de INSIGNIA GAS SL sin que, en aquel momento, WATIUM tuviera nada que ver ni intervino en la contratación de los mismos, pues la captación del cliente en cuestión se realizó mucho antes de que WATIUM comprara la cartera y, por lo tanto, pasara el cliente en cuestión a tener un contrato subrogado por WATIUM.” Aporta a tales efectos copia de un contrato con la mencionada entidad que, sin embargo, no está firmado y donde no se acompaña la cartera de clientes indicada. Esta nueva afirmación resulta asimismo incoherente con lo indicado en la respuesta al traslado donde se señalaba que “se ha podido constatar que la contratación se llevó a cabo informando de que ésta se producía con MAS LUZ ENERGIA, marca comercializada por WATIUM.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 Por último, por lo que se refiere a la empresa SKYNET LEGAL S.L de gestión de cobros, encargada del tratamiento y que remitió los mensajes a la parte reclamada, a pesar de haberle sido solicitada información, la misma no ha comparecido en el sistema de notificaciones Notific@ y consta como desconocido en la dirección postal que se especifica tanto en AXESOR como en los contratos de encargado facilitados por la parte reclamante. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad WATIUM, S.L. es una empresa mediana constituida en el año 2012, y con un volumen de negocios de 54.581.760 € euros en el año 2020. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
- a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) [...] El apartado 2 de este mismo artículo establece, asimismo, que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” Por su parte, el artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el caso que nos ocupa, no consta que concurra ninguna de las mencionadas condiciones para considerar lícito el tratamiento de los datos personales de la parte reclamante. Dicho tratamiento consistió, como se desprende de las actuaciones de investigación, en la realización de una contratación de suministro de energía sin que existiese consentimiento de la parte reclamante. Dicho hecho, se evidencia principalmente en la falta de aportación, por parte de W.S.L, del contrato formalizado entre ésta última y la parte reclamante, a pesar de haber sido solicitado por esta entidad en diversas ocasiones. En este sentido, en un primer momento la parte reclamada afirma que no dispone de dicho contrato dado que no ha sido facilitado por la prestadora de servicios de telemarketing. Sin embargo, afirma en un escrito posterior que los datos han sido obtenidos a través de un contrato con otra empresa donde se cedía una cartera de clientes, sin aportar la relación de los mismos que figuraban en esa presunta cartera, así como el consentimiento de los interesados para el tratamiento de dicha cesión. Por otro lado, debe de tenerse en cuenta que dicho tratamiento ilícito ha conllevado que el reclamante haya recibido llamadas y mensajes de una empresa dedicada a la gestión de cobros, y a través de los cuales reclamaba diversas cuantías en virtud del contrato presuntamente fraudulento. A tal respecto, conviene asimismo recordar que el tratamiento de datos personales por parte del encargado de tratamiento debe de realizarse a través de una previa contratación entre éste y el responsable del tratamiento, tal y como exige el artículo 28.3 del RGPD: “El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.” En el presente caso, a pesar de haberse presentado dos documentos consistentes en el contrato entre la empresa reclamada y el encargado de tratamiento SKYNET LEGAL SL., tal y como resulta de las actividades de investigación, ambas poseían fecha de firma posterior al tratamiento de dichos datos, posterior incluso a la solicitud de dicha documentación por esta entidad. Por tanto, se desprende que los datos fueron cedidos y tratados al encargado de tratamiento sin que existiese la previa concertación exigida por el mencionado artículo 28.3 del RGPD. III Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente acuerdo de inicio del procedimiento sancionador y sin perjuicio de lo que resulte de la instrucción, se desprende que W.S.L, ha podido realizar un tratamiento de los datos personales de la parte reclamante, sin que existiese ninguna de las causas que la legitimase previstas en el mencionado artículo 6 del RGPD. Dicho tratamiento ha consistido presuntamente en la formalización de un contrato de suministros sin el previo consentimiento por la parte reclamante, lo que ha provocado que se generasen distintas facturas a ésta última, así como la reclamación de dichas cantidades por parte de una entidad dedicada, entre otros fines, a la gestión de cobros. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, tipificada en el artículo 83.5 del RGPD según el cual: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” Asimismo, tal y como consta en las actuaciones de investigación y a falta de la documentación que pudiera presentarse durante la tramitación del presente procedimiento, se desprende que en el momento del tratamiento de los datos por parte de SKYNET LEGAL S.L, mediante el requerimiento de las cantidades en nombre de W.S.L. no existía contrato u acto jurídico previo entre éste y el encargado del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 tratamiento, tal y como exige el artículo 28.3. Respecto a dicho tratamiento no es posible tener en cuenta los contratos presentados por la parte reclamada en las actuaciones previas, puesto que están firmados en fecha posterior a la solicitud de los mismos por esta entidad. Tales hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, tipificada en el artículo 83.4 del RGPD según el cual: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; […]” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los dos años, conforme al artículo 72.1 de la LOPDGDD, que califica de grave la siguiente conducta: “
- k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679.” IV Propuesta de sanción Los poderes correctivos atribuidos a esta Agencia como autoridad de control se relacionan en el artículo 58.2 del RGPD, apartados
- a)a j). El precepto menciona entre ellos la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i). También, la potestad de ordenar al responsable del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado (artículo 58.2. d). En el presente caso, sin perjuicio de lo que resulte de la instrucción, podría imponerse a la parte reclamada de dos sanciones de multa administrativa conforme al artículo 58.2.
- i)del RGPD por la presunta infracción del artículo 6.1 del RGPD, y del artículo 28.3 del mismo texto legal, respectivamente. El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6, cumpla en cada caso individual los principios de efectividad, proporcionalidad y carácter disuasorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 El principio de proporcionalidad exige una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD determina la técnica a seguir para lograr esa adecuación entre la sanción y la infracción cometida y ofrece una relación de criterios o factores que deben ser tenidos en cuenta para graduar la sanción. En relación con los hechos expuestos, en esta fase del procedimiento y sin perjuicio del resultado de la instrucción, se aprecia la concurrencia de los siguientes factores que reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad de la entidad presuntamente infractora: En relación con la infracción del artículo 6.1 del RGPD, se propone la concurrencia de la siguiente circunstancia agravante: - Circunstancia del artículo 83.2.
- k)RGPD, en relación con el artículo 76.2.
- b)LOPDGDD: La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales. La parte reclamada tiene como objeto social, entre otros, la comercialización de energía eléctrica. La ejecución de los contratos que celebre con los consumidores en el desarrollo de dicha actividad conlleva el tratamiento de numerosos datos de carácter personal de sus clientes o, incluso, de terceros. La característica de esta actividad empresarial obliga al responsable del tratamiento a extremar la diligencia en relación con el cumplimiento de las obligaciones que le impone la normativa de protección de datos de carácter personal, diligencia que no parece haber concurrido en el presente supuesto. En relación con la infracción del artículo 28.3 del RGPD, se propone la concurrencia de la siguiente circunstancia agravante: - Circunstancia del artículo 83.2.
- a)RGPD: “La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. La concurrencia de dicha circunstancia se desprende del alcance de la misma, puesto que la operación de tratamiento por parte del encargado del tratamiento sin contrato previo con el responsable del tratamiento, ha implicado la realización de llamadas y de mensajes a la parte reclamante con el fin de reclamar determinadas cantidades. Dicho hecho ha provocado un perjuicio a la parte reclamante que agrava la conducta infractora. No se aprecia la concurrencia de circunstancias atenuantes. De conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, teniendo en cuenta el volumen de negocio total anual global del ejercicio financiero anterior, así como la concurrencia de las circunstancias agravantes anteriormente mencionadas, y sin perjuicio del resultado de la instrucción, se estima que las mencionadas infracciones podrían ser objeto de sanción mediante la imposición de una multa administrativa por los siguientes importes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 - Por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 70.000,00 euros Por la supuesta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 50.000,00 euros V Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En particular, por parte de esta autoridad, se proponen las siguientes medidas a adoptar por la parte reclamada W.S.L., sin perjuicio de lo que resulte de la instrucción del presente procedimiento: - Teniendo en cuenta que no se ha aportado ningún contrato formalizado con la parte reclamante que acredite la legitimidad del tratamiento de los datos, por esta entidad se propone como medida a adoptar la verificación periódica de las contrataciones realizadas aportadas por cualquier prestadora de servicios de telemarketing que realice contrataciones en su nombre. - Respecto a la facilitación de datos personales a encargados de tratamiento con el fin de reclamar cantidades a distintos usuarios, se propone como medida a adoptar, la verificación, de forma previa a dicha facilitación, de que los citados datos han sido obtenidos de forma lícita, mediante la comprobación, en su caso, de los contratos formalizados. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a WATIUM, S.L., con NIF B86459260, por la presunta infracción del artículo 28 del RGPD y artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD y artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción: - Por la supuesta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 50.000,00 euros (cincuenta mil euros) - Por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 70.000,00 euros (setenta mil euros) QUINTO: NOTIFICAR el presente acuerdo a WATIUM, S.L., con NIF B86459260, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 96.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 96.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 72.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Asimismo, con el fin de prevenir ulteriores infracciones de la misma naturaleza, el reconocimiento de responsabilidad y la consiguiente aplicación de la mencionada reducción implicará la aceptación, en su caso, de las medidas a adoptar propuestas e indicadas por esta entidad en el presente acuerdo. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (96.000,00 euros o 72.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-290523 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 6 de octubre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 72000 euros haciendo uso de las dos reducciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202208578, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a WATIUM, S.L. para que en el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a WATIUM, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es