1/16 Expediente N.º: EXP202208406 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de agosto de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a WATIUM, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202208406 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 29 de junio de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra WATIUM, S.L. con NIF B86459260 (en adelante, W.S.L). La parte reclamante expone en su reclamación una serie de hechos en relación a la relación contractual que mantenía con la empresa Naturgy y cómo la misma se vio afectada por la intervención de otra entidad, Masluz. Según dicho escrito, el 22 de febrero de 2022, la entidad reclamada W.S.L., sin previo aviso o consentimiento de la parte reclamante, rescindió el contrato de suministro de gas que este último mantenía con Naturgy, y en su lugar, se procedió a establecer un nuevo contrato con una empresa diferente, Masluz. La parte reclamante tuvo conocimiento de esta acción el 9 de marzo de 2022, fecha en la cual recibió una comunicación oficial enviada por Naturgy, en la cual se le informaba de la terminación de su contrato de gas. Ante dicha situación, la parte afectada decidió desistir del contrato que, sin su autorización, se había establecido con Masluz para, posteriormente, suscribir nuevamente el contrato con la suministradora Naturgy. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Con el fin de aclarar tales hechos, el 6 de abril de 2022, la parte reclamante solicitó a Masluz la grabación del otorgamiento del consentimiento al contrato que supuestamente había aceptado sin que, hasta la fecha, haya recibido dicha grabación. Como respuesta, se le remitió un contrato con dicha entidad donde figuran sus datos personales pero que carece, tanto de su firma como de cualquier otro indicio de su aprobación o aceptación. A efectos acreditativos de tales hechos, la parte reclamante presenta la siguiente documentación: - Relación de reclamaciones presentadas ante MASLUZ. Contrato de 22 de febrero de 2022 remitido por Masluz sin su firma. Denuncia policial con fecha 15 de marzo de 2022 en la que se pone de manifiesto los hechos reclamados. Intercambio de correos electrónicos de seguimiento de las reclamaciones, a través de la cuenta: ***EMAIL.1. Copia del desistimiento del contrato con MASLUZ. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a W.S.L, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 12/08/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 12/09/2022 se recibe en esta Agencia escrito de respuesta por parte de W.S.L indicando las siguientes manifestaciones: - Que los procedimientos para la formalización del contrato de suministro de energía en W.S.L requieren de la verificación y autentificación de la manifestación de voluntad del cliente de proceder a la firma del contrato. Ello implica que, cuando un prestador de servicios de telemarketing formaliza un contrato de suministro por cuenta de W.S.L, debe aportar la formalización de venta y, de este modo, W.S.L puede verificar que la contratación se ha llevado a cabo de forma adecuada. - En cuanto a la procedencia de los datos personales de la parte reclamante, afirma que el prestador de servicios de telemarketing cede a W.S.L los datos personales de interesados a los que se les ofrecerá los productos y servicios de W.S.L. Posteriormente, el prestador de servicios de telemarketing actúa en calidad de encargado del tratamiento de W.S.L para la realización de las actividades de oferta de sus productos y servicios y de contratación de los productos y servicios que corresponda. No obstante, el prestador de servicios de telemarketing únicamente puede realizar acciones comerciales sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 aquellos interesados que le hayan proporcionado su consentimiento para la cesión de sus datos personales a W.S.L para dicha finalidad. - Que no puede determinar de dónde obtuvo el prestador de servicios de telemarketing los datos personales del Reclamante, puesto que éste los obtuvo en calidad de responsable del tratamiento independiente de W.S.L. Afirma que, en el momento de la firma del contrato de prestación de servicios de telemarketing, dicho prestador de servicios adquirió el compromiso de ceder únicamente los datos personales de aquellos interesados que hubiesen dado su consentimiento para dicha finalidad. Adicionalmente, el prestador de servicios se comprometió a informar a los interesados debidamente y de acuerdo con la Normativa en materia de Protección de datos acerca de la cesión a W.S.L de sus datos. - Que de acuerdo con sus registros internos el reclamante sí que formalizó de manera adecuada un contrato en el cuarto trimestre del 2021 y que, por error, se procedió a la reactivación del cliente en fecha 24 de febrero de 2022, manteniéndose activo como cliente en dicha compañía durante el período del 24 de febrero de 2022 a 09 de marzo de 2022. Afirman que se realizaron las acciones oportunas para subsanarlo, en cuanto tuvieron conocimiento del error, - Que no les consta que el reclamante haya ejercitado ninguno de los derechos regulados en los artículos 15 a 22 del RGPD ante el responsable del tratamiento; ni tampoco el propio Reclamante hace referencia a dicho hecho. - Que a raíz de la recepción del traslado de reclamación y solicitud de información que motiva el presente escrito, desde se ha iniciado una investigación interna, con el fin de determinar si se había producido cualquier incumplimiento de la normativa en materia de protección de datos en la organización durante el proceso de contratación con el reclamante. - Que, dado que se ha podido constatar que la reactivación del cliente se produjo por un error, se ha procedido a revisar los procedimientos para la reactivación de clientes, así como la depuración de responsabilidades internas. Asimismo, manifiesta que ha adoptado como medida perventiva la paralización total del procedimiento de contratación de sus servicios hasta que se resuelvan las mismas. TERCERO: Con fecha 13 de septiembre de 2022, la parte reclamante remite a esta Agencia nuevo escrito señalando que la compañía MASLUZ le ha hecho llegar la grabación de un contrato de gas con INSIGNIA GAS SL y el documento de verificación, Ambos poseen fecha 22 de junio de 2021 y, por tanto, corresponden a un contrato anterior al que es objeto de la presente reclamación. El mencionado contrato fue desistido por la parte reclamante, posteriormente, con fecha el 30 de junio de 2021. A tales efectos, la parte reclamante proporciona la siguiente documentación en esta nueva entrada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 - Certificado de un tercero de confianza para la firma del contrato con INSIGNIA GAS y el contrato firmado; ambos con fecha 22 de junio de 2021. Grabación del mencionado contrato. Correo de MASLUZ con fecha 25 de agosto de 2022 que incluye los adjuntos anteriores. Correo con fecha 30 de junio de 2021 relativo al desistimiento del contrato con INSIGNIA GAS. CUARTO: Con fecha 15 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: En esa misma fecha, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: . Revisada la documentación proporcionada por la parte en ambos escritos y examinada la respuesta al traslado de la parte reclamada, se desprenden los siguientes hechos: - La parte reclamante consintió un contrato de suministro de gas con INSIGNIA GAS S.L. con fecha 22 de junio de 2021. - Dicho contrato fue desistido por la parte reclamante posteriormente el 30 de junio de 2021, y aceptada por MASLUZ, tal y como consta en solicitud y correos presentados. - En fecha 22 de febrero de 2022, tuvo lugar la realización del contrato que posteriormente daría lugar a la reclamación. Dicho contrato, promocionado por VISALIA bajo la marca MASLUZ y operado por W. S.L., fue remitido por MASLUZ el 6 de abril de ese mismo año. - Un mes después, el 9 de marzo de 2022, se solicitó por la parte reclamante evidencias de la mencionada contratación, en virtud del cual se produjo un intercambio de correos electrónicos entre las partes involucradas. Este hilo de comunicaciones continuó durante varios días, donde en diversas ocasiones la parte reclamante reiteraba su solicitud de la evidencia de la contratación. - Paralelamente, el 9 de marzo de 2022, el reclamante envió un correo solicitando el desistimiento del contrato con MASLUZ. Al día siguiente, MZ respondió informando sobre una penalización por finalización anticipada del contrato, debido a una cláusula de permanencia de 12 meses desde la fecha de activación del contrato el 22 de febrero de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 - Ante tales circunstancias, el 15 de marzo, el reclamante presentó una denuncia policial, reportando los hechos objeto de la reclamación y haciendo mención a la existencia de un contrato previo con fecha 22 de junio de 2021. - El 6 de abril de 2022, MASLUZ hizo acto de presencia enviando un correo con el contrato firmado con el reclamante el 22 de febrero de 2022. En dicho contrato no figura la firma del contrato ni el otorgamiento de su consentimiento. - Finalmente, el 25 de agosto de2022, MASLUZ remite un nuevo correo proporcionando la grabación de un contrato y una certificación emitida por un tercero de confianza, ambas evidencias fechadas el 22 de junio de 2021. La información facilitada se refiere al contrato efectuado con fecha 22 de junio de 2021 y no la solicitada por la parte reclamante relativa al contrato con fecha 22 de febrero de 2022. De los mencionados documentos y de las actuaciones de investigación realizadas, se deduce las siguientes empresas involucradas: - INSIGNIA: empresa inactiva por disolución con la que la parte reclamante efectuó un contrato anteriormente, con fecha 22 de junio de 2021. SIE: empresa inactiva por disolución y participada por VISALIA en un 49%. En la grabación de dicho contrato (22 de junio de 2021) se tramita el alta de suministro con SIE, que opera con la marca MASLUZ. WATIUM: empresa activa cuya empresa matriz global es VISALIA. Se trata de la parte reclamada del presente procedimiento debido a un contrato no consentido con fecha 22 de febrero de 2022. VISALIA: comercializadora de energía y es empresa matriz de WATIUM. MASLUZ ENERGÍA: marca comercial utilizada por SIE y por WATIUM para sus contrataciones. Las comunicaciones entre parte reclamante y parte reclamada se han realizado a través de la cuenta: ***EMAIL.2. Tras las distintas actuaciones de investigación y diversas solicitudes a las empresas involucradas se han recabado las siguientes afirmaciones y evidencias: - W.S.L. admite que, por error, se procedió a la reactivación de la parte reclamada en fecha 24 de febrero de 2022. La reactivación se realizó respecto al contrato con fecha de 22 de junio de 2021, anterior al reclamado, y que desistió una semana más tarde, con fecha 30 de junio de 2021. - W.S.L. indica que su procedimiento de verificación de las contrataciones se inicia con la comprobación de la grabación de las llamadas y reconoce que el prestador de servicios de telemarketing no facilitó las mismas. Afirma que, una vez comprobada la inexistencia de la grabación en cuanto a la contratación de 24 de febrero de 2022 se procedió a anular las facturas que se hubieran podido emitir y se dio de baja a la parte reclamante. - La parte reclamante ha confirmado el reembolso de los recibos por parte de W.S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 - MASLUZ remite la información a la parte reclamante con más de cinco meses de retraso y es incorrecta: la información facilitada se refiere al contrato efectuado con fecha 22 de junio de 2021 y la parte reclamante está solicitando evidencias del contrato con fecha 22 de febrero de 2022. - Solicitada en varias ocasiones la copia del contrato de encargado del tratamiento entre W.SL. y el prestador de servicios de telemarketing, W.S.L. no ha proporcionado el contrato de encargado y ha explicado que, en su actividad de prestador de servicios de telemarketing, ALPA57 es responsable del tratamiento, motivo por el cual no se ha suscrito ningún contrato de encargado del tratamiento con este objeto. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad W.S.L. es una empresa mediana constituida en el año 2012, y con un volumen de negocios de 54.581.760 € euros en el año 2020. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
- a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) [...] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 El apartado 2 de este mismo artículo establece, asimismo, que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” Por su parte, el artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente caso, no consta que concurra ninguna de las condiciones mencionadas para considerar lícito el tratamiento de los datos personales de la parte reclamante. Dicho tratamiento consistió, tal y como se desprende de las actuaciones de investigación, en la realización de una contratación de suministro de energía con la parte reclamante sin que existiese consentimiento de esta última. Este hecho se evidencia principalmente en la falta de aportación, por parte de W.S.L, de la grabación del contrato formalizado entre ésta última y la parte reclamante de fecha 22 de febrero de 2022, a pesar de haber sido solicitado por esta entidad en diversas ocasiones. En el contrato remitido a la parte reclamante de dicha fecha y que se aporta junto a la reclamación no consta la firma de ésta ni cualquier otra manifestación del otorgamiento de su consentimiento a dicha contratación. Por lo que se refiere a la grabación remitida por la parte reclamada, tal y como consta en las actuaciones de investigación, la misma se refiere a un contrato distinto y anterior al que es objeto de la presente reclamación y respecto al cuál la parte reclamante desistió en semanas posteriores a su firma. Asimismo, respecto a la relación el responsable de tratamiento, W.S.L. y la empresa prestadora de los servicios de telemarketing encargada del tratamiento, la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 reclamada ha afirmado durante el transcurso de las actuaciones previas que no existe ningún contrato u acuerdo alguno relativo al tratamiento de los datos personales. A tal respecto, conviene recordar que el tratamiento de datos personales por parte del encargado de tratamiento debe de realizarse a través de una previa contratación entre éste y el responsable del tratamiento, tal y como exige el artículo 28.3 del RGPD: “El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.” W.S.L. justifica dicha ausencia indicando que, en su actividad de prestador de servicios de telemarketing, ALPA57 es responsable del tratamiento, motivo por el cual no se ha suscrito ningún contrato de encargado del tratamiento para dicho objeto. Dicha afirmación contrasta, sin embargo, con otra reiterada en diversas ocasiones por la misma entidad, según la cual el prestador de servicios de telemarketing cedía a W.S.L los datos personales de interesados a los que se les ofrecería los productos y servicios de W.S.L. y que, posteriormente, dicho prestador de servicios de telemarketing actuaba en calidad de encargado del tratamiento de W.S.L para la oferta de sus productos y servicios, así como de la contratación de los mismos. Además, se indicaba que el prestador de servicios de telemarketing únicamente podía realizar acciones comerciales sobre aquellos interesados que le habían proporcionado su consentimiento de ceder sus datos personales a W.S.L para dicha finalidad. En este sentido, conviene señalar que, con independencia del origen de los datos personales, el tratamiento de los mismos por parte del encargado de tratamiento que realiza en nombre del responsable del tratamiento, como ocurre en el presente caso, exige el previo contrato u acto jurídico previsto en el mencionado artículo 28.3 del RGPD. III Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente acuerdo de inicio del procedimiento sancionador y sin perjuicio de lo que resulte de la instrucción, se desprende que W.S.L, ha podido realizar un tratamiento de los datos personales de la parte reclamante, sin que existiese ninguna de las causas que la legitimase previstas en el mencionado artículo 6 del RGPD. Dicho tratamiento ha consistido presuntamente en la formalización de un contrato sin que existiese el previo consentimiento por la parte reclamante, lo que provocó que se le realizasen cargos a ésta última y que, asimismo, la misma tuviera que desistir de dicho contrato para, nuevamente, realizar la contratación con la anterior suministradora. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, tipificada en el artículo 83.5 del RGPD según el cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” Asimismo, tal y como consta en las actuaciones de investigación y a falta de la documentación que pudiera presentarse durante la tramitación del presente procedimiento, se desprende la inexistencia de contrato u acto jurídico previo entre éste y la prestadora de servicios de telemarketing encargada del tratamiento, tal y como exige el artículo 28.3. Tales hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, tipificada en el artículo 83.4 del RGPD según el cual: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; […]” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los dos años, conforme al artículo 72.1 de la LOPDGDD, que califica de grave la siguiente conducta: “
- k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679.” IV Propuesta de sanción Los poderes correctivos atribuidos a esta Agencia como autoridad de control se relacionan en el artículo 58.2 del RGPD, apartados
- a)a j). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 El precepto menciona entre ellos la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i). También, la potestad de ordenar al responsable del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado (artículo 58.2. d). En el presente caso, sin perjuicio de lo que resulte de la instrucción, podría imponerse a la parte reclamada dos sanciones de multa administrativa conforme al artículo 58.2.
- i)del RGPD por la presunta infracción del artículo 6.1 del RGPD, y del artículo 28.3 del mismo texto legal, respectivamente. El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6, cumpla en cada caso individual los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad exige una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD determina la técnica a seguir para lograr esa adecuación entre la sanción y la infracción cometida y ofrece una relación de criterios o factores que deben ser tenidos en cuenta para graduar la sanción. En relación con los hechos expuestos, en esta fase del procedimiento y sin perjuicio del resultado de la instrucción, se aprecia la concurrencia de los siguientes factores que reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad de la entidad presuntamente infractora: En relación con la infracción del artículo 6.1 del RGPD, se propone la concurrencia de la siguiente circunstancia agravante: - Circunstancia del artículo 83.2.
- k)RGPD, en relación con el artículo 76.2.
- b)LOPDGDD: “La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales”. La parte reclamada tiene como objeto social, entre otros, la comercialización de energía eléctrica. La ejecución de los contratos que celebre con los consumidores en el desarrollo de dicha actividad conlleva el tratamiento de numerosos datos de carácter personal de sus clientes o, incluso, de terceros. La característica de esta actividad empresarial obliga al responsable del tratamiento a extremar la diligencia en relación con el cumplimiento de las obligaciones que le impone la normativa de protección de datos de carácter personal, diligencia que no parece haber concurrido en el presente supuesto. En relación con la infracción del artículo 28.3 del RGPD, se propone la concurrencia de la siguiente circunstancia agravante: - Circunstancia del artículo 83.2.
- a)RGPD: “La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 afectados y el nivel de los daños y perjuicios que hayan sufrido”. La concurrencia de dicha circunstancia se desprende del alcance de la misma, puesto la presunta contratación fraudulenta, conllevo que la parte reclamante tuviera que desistir de forma expresa de dicha contratación y la realización de una nueva contratación con su anterior suministradora, así como la realización de cargos en su cuenta que posteriormente serían devueltos. No se aprecia la concurrencia de circunstancias atenuantes. De conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, teniendo en cuenta el volumen de negocio total anual global del ejercicio financiero anterior, así como la concurrencia de las circunstancias agravantes anteriormente mencionadas, y sin perjuicio del resultado de la instrucción, se estima que las mencionadas infracciones podrían ser objeto de sanción mediante la imposición de una multa administrativa por los siguientes importes: - Por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 70.000,00 euros Por la supuesta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 50.000,00 euros V Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En particular, por parte de esta autoridad, se proponen las siguientes medidas a adoptar por la parte reclamada W.S.L., sin perjuicio de lo que resulte de la instrucción del presente procedimiento: - - Teniendo en cuenta que no se ha aportado ningún contrato formalizado con la parte reclamante que acredite la legitimidad del tratamiento de los datos, por esta entidad se propone como medida a adoptar la verificación periódica de las contrataciones realizadas aportadas por cualquier prestadora de servicios de telemarketing que realice contrataciones en su nombre. Respecto a la ausencia de contrato o acto jurídico con la prestadora de servicios de telemarketing, esta entidad propone como medida a adoptar, la formalización de un contrato con dicha entidad y con cualquier otro encargado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 del tratamiento, en el cual se muestre el contenido exigido por el artículo 28.3 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a WATIUM, S.L., con NIF B86459260, por la presunta infracción del artículo 28 del RGPD y artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD y artículo 83.4 del RGPD. SEGUNDO: NOMBRAR como instructor/a a B.B.B. y, como secretario/a, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción: - Por la supuesta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 50.000,00 euros (cincuenta mil euros) - Por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 70.000,00 euros (setenta mil euros) QUINTO: NOTIFICAR el presente acuerdo a WATIUM, S.L., con NIF B86459260, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 96.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 96.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 72.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Asimismo, con el fin de prevenir ulteriores infracciones de la misma naturaleza, el reconocimiento de responsabilidad y la consiguiente aplicación de la mencionada reducción implicará la aceptación, en su caso, de las medidas a adoptar propuestas e indicadas por esta entidad en el presente acuerdo. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (96.000,00 euros o 72.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-290523 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 6 de octubre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 72000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202208406, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a WATIUM, S.L. para que en el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a WATIUM, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es