PS-00366-2023

1/21  Expediente N.º: EXP202210927 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D.D.D. (en adelante, la parte reclamante) con fecha 30 de septiembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra NATURGY IBERIA, S.A. con NIF A08431090 (en adelante, la parte reclamada o Naturgy Iberia). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada procedió a realizarle un cambio de su compañía comercializadora del suministro gasista y de electricidad sin su autorización. Añade que de esta circunstancia se percata cuando su comercializadora se pone en contacto con ella para conocer los motivos de dicho cambio, por lo que procede a interponer reclamación ante Naturgy Iberia, y le solicita copia de la grabación de la contratación. Así las cosas, una vez recibida dicha grabación comprueba como un tercero se hace pasar por ella, facilitando sus datos personales a excepción de un número de teléfono, que es el utilizado para realizar dicha modificación. La parte reclamante, aporta denuncia efectuada ante la Policía Nacional y copia de uno de los contratos fraudulentos, de fecha 5 de septiembre de 2022. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a estos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación a Naturgy Iberia, S.A. para que procediera a su análisis y diera respuesta en el plazo de un mes. TERCERO: Con fecha 21 de noviembre de 2022, en respuesta a la actuación de traslado, enviada a Naturgy Iberia, S.A., esta informó de que: “La reclamación se refiere a la contratación de diferentes servicios de Naturgy (suministro de electricidad, de gas, servicios de mantenimiento) para algunos puntos de suministro titularidad de la Reclamante (en adelante, los “Servicios Objeto de la Reclamación”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 En los sistemas de Naturgy consta registrado que todas las contrataciones de los Servicios Objeto de la Reclamación fueron realizadas por la empresa colaboradora de Naturgy, YELLOW THINKS, S.L. […] Así, por ejemplo, adjuntamos como Anexo I la certificación expedida por Aviva correspondiente al contrato cuya copia aporta la Reclamante en su escrito presentado ante la AEPD. Tal y como se recoge en la primera página de dicha certificación: - Se remitió un SMS al número de teléfono móvil ***TELEFONO.1 que contenía un enlace a la web en la que se mostraba la información de los productos ofertados, así como las condiciones de contratación, y se solicitaba el consentimiento para contratar. - Apenas tres minutos más tarde, tras accederse al citado enlace web, desde la dirección ***IP.1, se pulsó en el botón “Contratar” contenido en dicha página web, mediante el que se confirmaba la voluntad de contratar. Asimismo, YELLOW THINKS – en virtud del contrato suscrito con Naturgytenía la obligación de grabar la llamada de contratación de los productos e introducirla en el repositorio de contratación de Naturgy. Por eso, cuando el 29 de julio de 2022 la Reclamante ejercitó su derecho de acceso mediante correo electrónico dirigido a Naturgy para solicitar copia de la llamada de contratación de algunos servicios, Naturgy contestó el 10 de agosto de 2022 haciéndole llegar la grabación que YELLOW THINKS había introducido en el repositorio como llamada de contratación de la Reclamante. […] Naturgy ha procedido a realizar una investigación pormenorizada de dicha contratación, con el resultado que se expone a continuación: - Según consta en nuestros sistemas, esta contratación fue gestionada por una empresa colaboradora de Naturgy, YELLOW THINKS, S.L., a través de su agente de ventas Dª. A.A.A. (en adelante, “A.A.A.”), cuyo número de identificación aparece en la documentación de contratación. Sin embargo, en la grabación de la llamada aportada se aprecia que el agente de ventas que habla es un varón que dice llamarse B.B.B. (en adelante, “B.B.B.”). Ante esta incoherencia se pidieron explicaciones a YELLOW THINKS. - Por otra parte, Naturgy también solicitó a YELLOW THINKS que se pronunciase sobre las afirmaciones realizadas por la Reclamante relativas a que (

1. i)el número de teléfono que aparece en la documentación de contratación no le pertenece y (
2. ii)la voz que se escucha en la grabación de la contratación no es la suya sino que es de otra mujer que se hace pasar por ella. - A la solicitud de explicaciones, se obtuvieron las siguientes respuestas de YELLOW THINKS, la mayoría de ellas verbalmente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 - Tanto el A.A.A. como el B.B.B. son agentes de YELLOW THINKS. - En la grabación se identifica el B.B.B. a pesar de que en la contratación aparece el identificador de la A.A.A. porque B utilizó las claves de agente de A. Se hace constar que esta práctica no está permitida por NATURGY. - Tras preguntar a la A.A.A., la agente reconoció haber incurrido en prácticas irregulares al realizar la contratación (sin especificar cuáles). - No pueden explicar qué tipo de colaboración en los hechos hubo entre los agentes A y B. - Reconocen que el teléfono utilizado para confirmar la contratación no pertenece a la Reclamante sino que está de algún modo vinculado a la A.A.A.. - Al ser preguntados por las medidas adoptadas tras conocer los hechos, incurren en incoherencias, señalando inicialmente respecto de la A.A.A. que habían procedido a su despido, si bien posteriormente indicaron que no lo habían hecho. - Señalan que el B.B.B. ya no trabaja en su compañía. […] Todo lo anteriormente señalado ha puesto de manifiesto una eventual práctica fraudulenta por parte de YELLOW THINKS, reconocida por la propia compañía, que solamente perseguiría la obtención ilícita de una comisión por la consecución de nuevas contrataciones. […] queremos destacar las siguientes medidas ya adoptadas para impedir que puedan producirse hechos como los descritos, así como para perseguir y sancionar los ya ocurridos, y mitigar las consecuencias que la conducta de YELLOW THINKS haya podido tener para la Reclamante: - Naturgy ha impuesto a YELLOW THINKS la penalización contractualmente prevista por incumplimiento contractual. - Naturgy ha notificado a YELLOW THINKS la resolución unilateral con carácter inmediato del contrato suscrito con esta compañía. Se pone a disposición de la AEPD el burofax remitido a YELLOW THINKS notificando la resolución, por si la AEPD considerase necesario contar con el mismo. - Naturgy está tratando de recabar evidencias suficientes que le permitan ejercitar otro tipo de acciones legales, civiles y/o penales, contra YELLOW THINKS y contra los agentes intervinientes en la contratación de la Reclamante. - Asimismo, Naturgy está investigando todas las contrataciones llevadas a cabo por los agentes de ventas que gestionaron la contratación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 Reclamante con el objeto de averiguar si han aplicado esas malas prácticas en otras contrataciones y así poder dar satisfacción a cualquier necesidad o demanda de los eventuales clientes que, en su caso, hayan podido resultar perjudicados por las mismas. - Finalmente, Naturgy ha adoptado las medidas oportunas para que la Reclamante no sufra ningún perjuicio económico como consecuencia de lo ocurrido: - Naturgy ha dado de baja todos los contratos que pudieran seguir activos. - Naturgy ha contactado con la Reclamante para pedirle disculpas y ofrecerse a ayudarle para reponer los contratos de gas y electricidad con sus anteriores compañías comercializadoras, si bien la Reclamante ha indicado que prefería gestionar por cuenta propia el cambio a otra comercializadora. - Naturgy ha procedido a anular todas las facturas que pudieran haberse generado durante el periodo de tiempo en que los contratos estuvieron activos con Naturgy, y va a proceder al reembolso del importe de todas aquellas facturas que ya hubieran sido satisfechas por la Reclamante.” CUARTO: En fecha 24 de noviembre de 2022 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. QUINTO: En fecha 11 de enero de 2023 se interpone recurso potestativo de reposición, en el que la parte reclamante muestra su disconformidad con la resolución impugnada, solicitando que se admita a trámite la reclamación inicial presentada. SEXTO: En fecha 26 de junio de 2023 se remitió el recurso interpuesto a Naturgy Iberia, S.A. en el marco de lo establecido en el artículo 118.1 de la LPACAP a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes. SÉPTIMO: Con fecha 21 de julio de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando estimar el recurso de reposición interpuesto por D.D.D. contra la resolución de esta Agencia dictada en fecha 24 de noviembre de 2022, y, admitir a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. OCTAVO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad NATURGY IBERIA, S.A. es una gran empresa constituida en el año 1976, y con un volumen de negocios de 3.873.110.000 euros en el año 2022. NOVENO: Con fecha 13 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. DÉCIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada solicitó copia del expediente y ampliación de plazo para formular alegaciones, y con fecha 5 de diciembre de 2023 presentó escrito de alegaciones en el que, en síntesis, manifestaba que: <<Tal y como fue expuesto a la AEPD en la Respuesta al requerimiento de información, tras la investigación llevada a cabo por parte de NATURGY, YELLOW THINKS, S.L. reconoció que el agente de ventas que realizó dicha contratación incurrió en prácticas irregulares para llevarla a cabo, motivo por el cual NATURGY actuó con contundencia y firmeza adoptando las medidas que se expusieron y que se detallarán: (
3. i)Solicitar explicaciones a YELLOW THINKS, S.L. y resolver de forma anticipada e inmediata del contrato de colaboración con esta compañía; (
4. ii)Aplicar una penalización contractual a YELLOW THINKS, S.L. (iii) Adoptar las medidas oportunas para que la Reclamante no sufriera ningún perjuicio económico como consecuencia de la práctica irregular de YELLOW THINKS, S.L. Mi mandante procedió a presentar alegaciones al recurso de la Reclamante. En este escrito de alegaciones NATURGY explicó que todas las facturas que se habían llegado a pasar al cobro de la Reclamante se le habían reintegrado salvo XXX € euros que, debido a un error humano, habían quedado bloqueados. Así, tras la recepción del recurso de reposición NATURGY desbloqueó la devolución de los XXX euros mencionados que fueron transferidos a la cuenta de la Reclamante el mismo 14 de julio. A pesar de que inicialmente la AEPD había inadmitido a trámite la reclamación de la Reclamante, ahora la AEPD entiende que dicha supuesta infracción supone la comisión de la infracción prevista en el artículo 83.5.
5. a)del RGPD y propone una sanción de 100.000 euros. No es cierto que NATURGY haya reconocido la existencia de una actuación incorrecta en la gestión de los datos de la Reclamante puesto que lo que reconoció NATURGY fue la comisión de una práctica irregular por parte de la subcontrata YELLOW THINKS, S.L. para llevar a cabo dicha contratación. Tal y como NATURGY expuso en la Respuesta al requerimiento de información, tras una pormenorizada investigación, se concluyó que la contratación objeto de la reclamación fue realizada por la empresa colaboradora YELLOW THINKS, S.L. Dicha empresa reconoció a NATURGY que: (
6. i)Uno de sus agentes de ventas utilizó las claves de otro agente de ventas de la misma empresa para gestionar dicha contratación. (
7. ii)Dichos agentes de ventas incurrieron en prácticas irregulares para realizar dicha contratación. (iii) El teléfono utilizado para confirmar la contratación no pertenece a la Reclamante, sino que está vinculado de alguna forma a la agente de ventas de dicha empresa. (
8. iv)Debido a que NATURGY obliga a sus empresas colaboradoras a grabar la locución contractual, el agente de ventas de YELLOW C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 THINKS habría simulado una locución contractual aceptada por la Reclamante y la habría subido a los sistemas de NATURGY. Los cuatro anteriores puntos suponen un incumplimiento incuestionable de las prácticas de comercialización establecidas por NATURGY, así como de las instrucciones que NATURGY da a sus empresas colaboradoras y a YELLOW THINKS, S.L. en este caso, tal y como se describe en el siguiente apartado. De hecho, una vez mi mandante ha tenido acceso al expediente completo por parte de la AEPD, ha podido constatar que en la respuesta que YELLOW THINKS, S.L. remitió a la AEPD y fechada el 28 de junio de 2023, ésta corroboró toda la información aportada por NATURGY a la AEPD y reconoció explícitamente su responsabilidad en los hechos descritos. La actuación de YELLOW THINKS, S.L. es absolutamente contraria al Código de Conducta y al Código de Buenas Prácticas Comerciales de NATURGY, así como a las instrucciones que NATURGY traslada y exige a sus empresas colaboradoras – y así lo reconoció ésta frente a la AEPD. En conclusión, YELLOW THINKS, S.L. no únicamente no siguió las instrucciones de NATURGY, sino que se apartó por completo de ellas, constituyendo su conducta un absoluto fraude contra NATURGY, quien resulta un perjudicado más en la medida en que YELLOW THINKS, S.L. solamente perseguía la indebida obtención de una comisión por venta de producto por una contratación que se ha demostrado que se llevó a cabo mediante prácticas irregulares por parte de sus agentes y que, lejos de reportar beneficio económico alguno a NATURGY, causó un perjuicio económico a la Reclamante que NATURGY tuvo que subsanar reintegrándole las facturas correspondientes a la energía consumida en el punto de suministro, así como un perjuicio reputacional. NATURGY aplicó medidas contundentes tan pronto como tuvo conocimiento de los hechos con el objetivo de perseguir y sancionar este tipo de conductas: Tal y como mi mandante manifestó en la Respuesta al requerimiento de información, y dado que NATURGY es absolutamente intolerante con las prácticas realizadas por YELLOW THINKS, S.L, NATURGY aplicó las siguientes medidas de forma inmediata: (
9. i)Solicitar explicaciones a YELLOW THINKS, S.L. y resolver de forma anticipada e inmediata el contrato de colaboración con dicha empresa. Aplicar la penalización contractual a YELLOW THINKS, S.L prevista por incumplimiento contractual. (iii) Adoptar las medidas oportunas para que la Reclamante no sufriera ningún perjuicio económico como consecuencia de la práctica irregular de YELLOW THINKS, S.L, consistentes en: - Dar de baja todos los contratos que pudieran seguir activos. - Contactar con la Reclamante para pedirle disculpas y ofrecerse a ayudarle para reponer los contratos de gas y electricidad con sus anteriores comercializadoras, si bien la Reclamante indicó que prefería gestionar por cuenta propia el cambio a otra comercializadora. - Anular todas las facturas que pudieran haberse generado durante el periodo de tiempo en que los contratos estuvieron activos con NATURGY, procediendo al reembolso del importe de aquellas facturas que fueron satisfechas por la Reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 Las contrataciones irregulares llevadas a cabo por YELLOW THINKS, S.L. en contra de las instrucciones de NATURGY no le permiten ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY –tal y como YELLOW THINKS, S.L. ha reconocido- su actuación debe entenderse realizada en su calidad de responsable del tratamiento. Por tanto, es indiscutible que si un encargado trata datos personales infringiendo la normativa de protección de datos o bien actuando al margen de las instrucciones del responsable del tratamiento -tal y como hizo YELLOW THINKS, S.L. y así lo reconoció ante la AEPD- éste deja de tener la consideración de encargado del tratamiento pues está actuando de facto como responsable del tratamiento. Así, resulta evidente que YELLOW THINKS, S.L. trató de forma ilícita los datos personales de la Reclamante como responsable del tratamiento, pues no solo estaba actuando al margen de las instrucciones de NATURGY, sino incumpliéndolas deliberadamente con el único objetivo de cometer un fraude contra NATURGY, llegando incluso a simular una grabación telefónica y a archivarla en los sistemas de NATURGY. Por otra parte, debe tenerse en cuenta que no es un hecho controvertido si Yellow Thinks, S.L. ha incumplido o no las instrucciones de NATURGY puesto que así mismo lo reconoció Yellow Thinks, S.L. frente a NATURGY y frente a la propia AEPD. Por tanto, no cabe sancionar a NATURGY por un tratamiento que YELLOW THINKS, S.L. ha realizado como responsable del tratamiento independiente. Más aún cuando el artículo 82.2 del RGPD prevé que el encargado del tratamiento responda de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable, tal y como ha ocurrido en el caso que nos ocupa. Por todo lo expuesto, SOLICITA: Que tenga por presentado este escrito, por formuladas las alegaciones que en el mismo se contienen, y previos los trámites oportunos, se archive el procedimiento>>. UNDÉCIMO: Con fecha 17 de diciembre de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la reclamación interpuesta por D.D.D. y su documentación, los documentos obtenidos y generados en el citado expediente.2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por NATURGY IBERIA, S.A., y la documentación que a ellas acompaña>>. DUODÉCIMO: Con fecha 16 de enero de 2024 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a NATURGY IBERIA, S.A. con NIF A08431090 por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
10. a)del RGPD, con una multa de 100.000 euros (cien mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 DECIMOTERCERO: Notificada la propuesta de resolución la parte reclamada presentó escrito de alegaciones el día 30 de enero de 2024 en el que, en síntesis, manifiesta: <<Tal y como NATURGY expuso en la Respuesta al requerimiento de información, tras una pormenorizada investigación, se concluyó que la contratación objeto de la reclamación fue realizada por la empresa colaboradora YELLOW THINKS, S.L. Dicha empresa reconoció a NATURGY que: (
11. i)Uno de sus agentes de ventas utilizó las claves de otro agente de ventas de la misma empresa para gestionar dicha contratación. (
12. ii)Dichos agentes de ventas incurrieron en prácticas irregulares para realizar dicha contratación. (iii) El teléfono utilizado para confirmar la contratación no pertenece a la Reclamante, sino que está vinculado de alguna forma a la agente de ventas de dicha empresa. (
13. iv)Debido a que NATURGY obliga a sus empresas colaboradoras a grabar la locución contractual, el agente de ventas de YELLOW THINKS supuestamente habría simulado una locución contractual y la habría subido a los sistemas de NATURGY. Tal y como ya se manifestó en las alegaciones al Acuerdo de Inicio, los cuatro anteriores puntos suponen un incumplimiento incuestionable de las prácticas de comercialización establecidas por NATURGY, así como de las instrucciones que NATURGY da a sus empresas colaboradoras y a YELLOW THINKS, S.L. en este caso, tal y como se detalla nuevamente en el siguiente apartado. De hecho, una vez mi mandante tuvo acceso al expediente completo por parte de la AEPD, pudo constatar que en la respuesta que YELLOW THINKS, S.L. remitió a la AEPD y fechada el 28 de junio de 2023, ésta corroboró toda la información aportada por NATURGY a la AEPD y reconoció a la AEPD explícitamente su responsabilidad en los hechos descritos. En conclusión, tal y como ya se expuso en las alegaciones al Acuerdo de Inicio, YELLOW THINKS, S.L. no únicamente no siguió las instrucciones de NATURGY, sino que se apartó por completo de ellas, constituyendo su conducta un absoluto fraude contra NATURGY, quien resulta un perjudicado más en la medida en que YELLOW THINKS, S.L. solamente perseguía la indebida obtención de una comisión por venta de producto por una contratación que se ha demostrado que se llevó a cabo mediante prácticas irregulares por parte de sus agentes y que, lejos de reportar beneficio económico alguno a NATURGY, causó un perjuicio económico a la Reclamante que NATURGY tuvo que subsanar reintegrándole las facturas correspondientes a la energía consumida en el punto de suministro, así como un perjuicio reputacional. NATURGY aplicó medidas contundentes tan pronto como tuvo conocimiento de los hechos con el objetivo de perseguir y sancionar este tipo de conductas. Las contrataciones irregulares llevadas a cabo por YELLOW THINKS, S.L. en contra de las instrucciones de NATURGY no le permiten ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY –tal y como YELLOW THINKS, S.L. ha reconocido- su actuación debe entenderse realizada en su calidad de responsable del tratamiento: Teniendo en cuenta que el artículo 4.8 del RGPD define la figura del encargado del tratamiento como aquella persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento, tal y como ya se expuso en las alegaciones al Acuerdo de Inicio, Yellow Thinks, S.L. no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 actuó como encargado del tratamiento en las contrataciones objeto de la presente reclamación. Así se establece precisamente en el artículo 28.10 del RGPD en el que se prevé que, si un encargado del tratamiento infringe el RGPD al determinar los fines y medios del tratamiento, será considerado como responsable del tratamiento con respecto a dicho tratamiento. Asimismo, el artículo 29 del RGPD establece que (…). Del mismo modo se regula en el artículo 33.2 de la LOPDGDD: (…). Adicionalmente, el mismo Comité Europeo de Protección de Datos (‘‘CEPD’’) recordaba en sus Directrices 07/2020 adoptadas el 7 de julio de 2021 que (…). Asimismo, ya insistía el CEPD en dichas Directrices en que cuando un encargado trate datos sin ajustarse a las instrucciones del responsable y ello equivalga a una decisión por la que se determinen los fines y los medios del tratamiento -como sin duda sería la determinación de la licitud del tratamiento-, se entenderá que el encargado ha incumplido sus obligaciones e incluso será considerado responsable de dicho tratamiento con arreglo al artículo 28.10 del RGPD. En cuanto a esto, el CEPD recuerda que el RGPD establece obligaciones concretas que vinculan directamente a los encargados del tratamiento, por lo que es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable: <> (el subrayado es nuestro). Así, resulta evidente que YELLOW THINKS, S.L. trató de forma ilícita los datos personales de la Reclamante como responsable del tratamiento, pues no solo estaba actuando al margen de las instrucciones documentadas de NATURGY, sino incumpliéndolas deliberadamente con el único objetivo de cometer un fraude contra NATURGY, llegando incluso a simular una grabación telefónica y a archivarla en los sistemas de NATURGY. En ningún momento NATURGY puede ser considerado como responsable del tratamiento con respecto a dicho tratamiento realizado por YELLOW THINKS, S.L., quien se ha apartado por completo de las instrucciones emitidas por NATURGY. La actuación de YELLOW THINKS, S.L. en modo alguno puede entenderse realizada por cuenta de NATURGY, y así lo ha reconocido la propia YELLOW THINKS, S.L. El hecho de que YELLOW THINKS, S.L. se haya servido en parte de una herramienta de trabajo facilitada por NATURGY no significa que NATURGY incurra en una responsabilidad objetiva por cualquier uso que YELLOW THINKS, S.L. haya realizado de dicha herramienta, máxime cuando, como se ha evidenciado sobradamente, se ha tratado de un uso realizado contraviniendo las instrucciones de NATURGY y en comisión de un fraude contra la propia NATURGY. Por tanto, no cabe sancionar a NATURGY por un tratamiento que YELLOW THINKS, S.L. ha realizado como responsable del tratamiento independiente. Más aún cuando el artículo 82.2 del RGPD prevé que el encargado del tratamiento responda de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable, tal y como ha ocurrido en el caso que nos ocupa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 Adicionalmente, no se han cumplido los requisitos del procedimiento administrativo común por cuanto no se notificó a NATURGY, en tanto que parte interesada, la estimación del recurso de reposición presentado por la Reclamante contra la resolución de archivo de la reclamación contra mi mandante. Por todo lo expuesto, SOLICITA: Que tenga por presentado este escrito, por formuladas las alegaciones que en el mismo se contienen, y previos los trámites oportunos, se archive el procedimiento>>. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Consta en el expediente tanto el correo de confirmación de la contratación como el contrato celebrado en nombre de la reclamante con Naturgy Iberia, en el que figura en ambos la fecha de 5 de septiembre de 2022. SEGUNDO. – Consta en el expediente el nombre de la parte reclamante en las facturas emitidas por Naturgy Iberia en julio y agosto de 2022, siendo cargadas en su cuenta bancaria. Posteriormente, la parte reclamada procedió a la devolución de dichos importes. TERCERO. – La parte reclamante ejercitó su derecho de acceso ante Naturgy Iberia el 29 de julio de 2022 mediante un correo electrónico para solicitar copia de la llamada de contratación de algunos servicios. Y, con fecha 10 de agosto de 2022 Naturgy Iberia envió a la parte reclamante copia de la grabación de voz de la contratación, dividida en dos archivos. CUARTO. - Con fechas 21 de noviembre de 2022 y 5 de diciembre de 2023, la parte reclamada reconoce que: “YELLOW THINKS reconoció a NATURGY que: (
14. i)Uno de sus agentes de ventas utilizó las claves de otro agente de ventas de la misma empresa para gestionar dicha contratación. (
15. ii)Dichos agentes de ventas incurrieron en prácticas irregulares para realizar dicha contratación. (iii) El teléfono utilizado para confirmar la contratación no pertenece a la Reclamante, sino que está vinculado de alguna forma a la agente de ventas de dicha empresa. (
16. iv)Debido a que NATURGY obliga a sus empresas colaboradoras a grabar la locución contractual, el agente de ventas de YELLOW THINKS habría simulado una locución contractual aceptada por la Reclamante y la habría subido a los sistemas de NATURGY”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas En relación con las alegaciones de la parte reclamada que manifiesta: <<Las contrataciones irregulares llevadas a cabo por YELLOW THINKS, S.L. en contra de las instrucciones de NATURGY no le permiten ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY –tal y como YELLOW THINKS, S.L. ha reconocido- su actuación debe entenderse realizada en su calidad de responsable del tratamiento>>. Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7 de julio de 2021, detallan lo siguiente: “Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su contenido esencial, el contrato debe servir para que el responsable y el encargado aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGPD, sino que debe incluir una información más específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de seguridad que se precisará para el tratamiento de los datos personales objeto del contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento.” Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado” Sobre los «Los fines y medios» las citadas directrices recogen las siguientes consideraciones: “(…) Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo» (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios del tratamiento, tal como se describe más adelante. En consecuencia, no puede limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que un ente se considere responsable del tratamiento y en qué medida puede el encargado del tratamiento tomar decisiones propias. (…)” Pues bien, la parte reclamada añade que la empresa colaboradora no siguió sus instrucciones, sino que se apartó por completo de ellas. Sin embargo, la parte reclamada no solamente debe dar instrucciones a Yellow Thinks, tal como manifiesta, sino está obligada a supervisar su actuación, es decir debe establecer controles de cumplimiento para garantizar que se cumplan y así detectar cualquier actividad ilegal o inadecuada por parte del encargado del tratamiento cosa que no hizo la reclamada. Como tal, Naturgy Iberia como responsable debe asegurar la aplicación de las medidas organizativas y técnicas pertinentes para garantizar el tratamiento adecuado de la información personal recabada y, por ello, es el agente sobre el que recae la obligación de probar el cumplimiento efectivo y exhaustivo de la normativa vigente en materia de protección de datos, cuando así le fuera requerido por esta Agencia. Estas exigencias surgen del principio de responsabilidad proactiva o accountability introducido por el RGPD. A mayor abundamiento, se hace necesario acudir a la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, dictada en el asunto C683/21 (Nacionalinis visiomenès sveikatos centras), la cual indica: “83 Por lo que respecta, en segundo lugar, a la cuestión de si puede imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento en relación con las operaciones de tratamiento efectuadas por un encargado, es preciso recordar que, según la definición que figura en el artículo 4, punto 8. del RGPD, se entiende por encargado del tratamiento <<la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuanta del responsable del tratamiento>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe el mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en las que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que se ha recurrido, quien ha efectuado el tratamiento por cuenta suya” Así como citar la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 20223, dictada en el asunto C-807/21 (Deutsche Wohnen), que indica “24 En efecto, según el mencionado órgano jurisdiccional, esta jurisprudencia, al igual que la mayoría de la doctrina nacional, concede especial importancia al concepto de <<empresa>>, en el sentido de los artículos 101 TFUE y 102 TFUE y, por tanto, a la idea de que la responsabilidad se imputa a la entidad económica en la que se ha adoptado el comportamiento indeseable, por ejemplo, un comportamiento contrario a la competencia. A su entender, conforme a esta concepción <<funcional>>, todos los actos de todos los empleados autorizados a actuar en nombre de una empresa son imputables a la empresa también en el marco de un procedimiento administrativo. 44 Por lo que respecta a las personas jurídicas, esto implica, por una parte, como ha señalado, en esencia, el Abogado General en los puntos 57 a 59 de sus conclusiones, que estas son responsables no solo de las infracciones cometidas por sus representantes, directores o gestores, sino también por cualquier otra persona que actúe en el ámbito de la actividad empresarial de esas personas jurídicas y en su nombre. Por otra parte, las multas administrativas previstas en el artículo 83 del RGPD en caso de que se produzcan tales infracciones deben poner imponerse directamente a personas jurídicas cuanto estas pueden ser calificadas de responsables del tratamiento en cuestión” Por tanto a la vista de lo expuesto, el responsable de un tratamiento de datos de carácter personal, puede responder por las actuaciones negligentes de los empleados de su encargado del tratamiento. En relación con la segunda cuestión planteada: “no se notificó a NATURGY, en tanto que parte interesada, la estimación del recurso de reposición presentado por la Reclamante contra la resolución de archivo de la reclamación contra mi mandante”. Para que pueda apreciarse la existencia de indefensión no resulta suficiente con que se haya producido una infracción formal sino que ha de haberse producido una indefensión de carácter material, en palabras del TC, STC 290/1993, fundamento jurídico 4 “Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso pues, en fecha 26 de junio de 2023, se remitió el recurso interpuesto a Naturgy Iberia, S.A., en el marco de lo establecido en el artículo 118.1 de la LPACAP, a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, además la parte reclamada ha podido alegar en el procedimiento sancionador todo cuanto a su derecho ha estimado conveniente, por lo que ninguna indefensión material se ha producido. III Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
17. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
18. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
19. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
20. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
21. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
22. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
23. f)del párrafo primero no será de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que Naturgy Iberia realiza, entre otros tratamientos, la recogida y conservación de los siguientes datos personales de personas físicas, tales como: nombre y apellido, documento de identidad, domicilio, número de teléfono, datos bancarios, datos de suministro, entre otros tratamientos. Naturgy Iberia realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Así ha quedado constatado, que la parte reclamada activó los contratos de gas y electricidad y los servicios de mantenimiento y se emitieron facturas entre el 22 de julio de 2022 y el 29 de agosto del mismo año, aunque posteriormente ante la reclamación efectuada ante esta Agencia por la parte reclamada, Naturgy Iberia dio de baja todos los contratos que pudieran seguir activos y procedió a anular todas las facturas que pudieran haberse generado durante el periodo de tiempo en que los contratos estuvieron activos, procediendo al reembolso del importe de todas aquellas facturas que ya hubieran sido satisfechas por la parte reclamante. En cualquier caso, la documentación que obra en el expediente evidencia que la reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello. Los datos personales de la reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento efectuado. Los datos personales de la reclamante fueron registrados en los ficheros de la reclamada y fueron tratados para la emisión de facturas por servicios asociados a la reclamante. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Resultaba por ello esencial que la reclamada acreditara ante esta Agencia que la reclamante había contratado con ella los suministros de gas y electricidad; que al tiempo de la contratación había desplegado la diligencia que las circunstancias del caso exigían para asegurarse de que la persona que tramitó la baja de los contratos de gas y electricidad, dando de alta los nuevos con la reclamante era efectivamente su titular. Es por lo que, es preciso señalar en primer lugar que, en respuesta de fecha 21 de noviembre de 2022, enviada a Naturgy Iberia, esta manifestó que: “En la grabación se identifica el B.B.B. a pesar de que en la contratación aparece el identificador de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 A.A.A. porque B utilizó las claves de agente de A. Se hace constar que esta práctica no está permitida por NATURGY. - Tras preguntar a la A.A.A., la agente reconoció haber incurrido en prácticas irregulares al realizar la contratación (sin especificar cuáles). - No pueden explicar qué tipo de colaboración en los hechos hubo entre los agentes A y B. - Reconocen que el teléfono utilizado para confirmar la contratación no pertenece a la Reclamante sino que está de algún modo vinculado a la A.A.A.. - Al ser preguntados por las medidas adoptadas tras conocer los hechos, incurren en incoherencias, señalando inicialmente respecto de la A.A.A. que habían procedido a su despido, si bien posteriormente indicaron que no lo habían hecho. - Señalan que el B.B.B. ya no trabaja en su compañía. […] - Naturgy ha dado de baja todos los contratos que pudieran seguir activos. - Naturgy ha contactado con la Reclamante para pedirle disculpas y ofrecerse a ayudarle para reponer los contratos de gas y electricidad con sus anteriores compañías comercializadoras, si bien la Reclamante ha indicado que prefería gestionar por cuenta propia el cambio a otra comercializadora. - Naturgy ha procedido a anular todas las facturas que pudieran haberse generado durante el periodo de tiempo en que los contratos estuvieron activos con Naturgy, y va a proceder al reembolso del importe de todas aquellas facturas que ya hubieran sido satisfechas por la Reclamante.” Por otra parte, en las alegaciones al acuerdo de inicio, de fecha 5 de diciembre de 2023, Naturgy manifiesta: “Dicha empresa reconoció a NATURGY que: (
24. i)Uno de sus agentes de ventas utilizó las claves de otro agente de ventas de la misma empresa para gestionar dicha contratación. (
25. ii)Dichos agentes de ventas incurrieron en prácticas irregulares para realizar dicha contratación. (iii) El teléfono utilizado para confirmar la contratación no pertenece a la Reclamante, sino que está vinculado de alguna forma a la agente de ventas de dicha empresa. (
26. iv)Debido a que NATURGY obliga a sus empresas colaboradoras a grabar la locución contractual, el agente de ventas de YELLOW THINKS habría simulado una locución contractual aceptada por la Reclamante y la habría subido a los sistemas de NATURGY”. Por tanto, Naturgy Iberia, ha reconocido la existencia de una actuación incorrecta en la gestión de los datos de la parte reclamante. No adoptó ninguna medida para comprobar la identidad de la parte reclamante. El envío del SMS al teléfono facilitado en la contratación sólo tiene la finalidad de acreditar la confirmación de la contratación y no constituye medida para evitar la suplantación de identidad. A la vista de lo anterior, la parte reclamada no logra acreditar que se actuara diligentemente y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con el ello el artículo 6 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 En este sentido el Considerando 40 del RGPD señala: “