1/6 Expediente Nº: PS/00375/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 10 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GARLEX SOLUTIONS, S.L. con NIF B67392266 (en adelante, la parte reclamada). El motivo en que basa la reclamación es que la reclamante recibe una llamada desde el número de teléfono ***TELÉFONO.1 por parte de la entidad reclamada para "renovar" su contrato de suministro eléctrico. Con posterioridad recibe un SMS con enlace a un contrato de suministro eléctrico con ALDRO ENERGÍA, S.A., en el que figuran sus datos personales desconociendo de donde han sido obtenidos, lo que supondría un tratamiento de datos personales sin el consentimiento de su titular. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 25 de mayo de 2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 25 de junio de 2021 se recibe en esta Agencia escrito de respuesta indicándose que la entidad reclamada es una entidad comercializadora de ALDRO ENERGIA, que contactó telefónicamente con la reclamante, explicando una oferta e iniciando el procedimiento de contratación a distancia del servicio de suministro eléctrico con ALDRO ENERGÍA. A continuación, se remitió un SMS con notificación certificada al teléfono móvil aportado por la reclamante, que contenía el precontrato contenido los datos proporcionados por ésta. Dicho mensaje debe de ser aceptado y contestado por el potencial cliente para finalizar la contratación, en este caso concreto la reclamante no confirma el SMS enviado el 09 de febrero de 2021, y por lo tanto no se finaliza el proceso de contratación. TERCERO: Con fecha 12 de julio de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 CUARTO: Con fecha 29 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que se contactó con la reclamante con el objetivo de ofrecerle una oferta que contenía muy buenas condiciones en su suministro de electricidad para con la empresa ALDRO ENEGRÍA, para la cual la reclamada, es entidad comercializadora. El procedimiento habitual consiste en explicar la oferta y solamente si la persona está interesada proporciona sus datos, datos que la reclamada, utiliza para poder confeccionar el precontrato que como bien dice la propia reclamante recibió vía SMS en su teléfono móvil. La entidad reclamada, no tiene acceso a los datos personales de los interesados a menos que ellos mismos los proporcionen porque les interese contratar con ALDRO ENERGÍA. Manifiesta que si se disponía de esos datos fue porque la reclamante los proporcionó. Hecho distinto es que posteriormente cambiara de opinión y no quisiera formalizar el contrato ofrecido. Circunstancia ante la cual, la entidad reclamada no dispone de dicha información porque al no formalizar el contrato, la reclamante nunca llegó a ser clienta, por tanto no se dispone de los datos que en su momento proporcionó la misma. SEXTO: Con fecha 3 de diciembre de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, así como los documentos aportados por el reclamado. SEPTIMO: Con fecha 7 de diciembre de 2021 se formuló propuesta de resolución, proponiendo que la Directora de la Agencia Española de Protección de Datos sancione a GARLEX SOLUTIONS, S.L. con NIF B67392266, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD y a efectos de prescripción, por el artículo 72.1
- b)de la LOPDGDD, con una multa de 15.000 € (quince mil euros). De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante recibió una llamada de la entidad reclamada para "renovar" su contrato de suministro eléctrico y con posterioridad recibe un SMS con enlace a un contrato de suministro eléctrico con ALDRO ENERGÍA, S.A., en el que figuran sus datos personales desconociendo cómo han sido obtenidos, ya que ella no los ha facilitado, lo que supondría un tratamiento de datos personales sin el consentimiento de su titular. SEGUNDO: La entidad reclamada es una entidad comercializadora de ALDRO ENERGIA, que contactó telefónicamente con la reclamante, para ofrecerle un contrato de suministro eléctrico con dicha empresa y que posteriormente le remitió un SMS con el precontrato con los datos proporcionados por ésta, pero sin que se hubiese finalizado el proceso de contratación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en su artículo 4.11 define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En este sentido, el artículo 6.1 de la LOPDGDD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el trata miento de datos personales que le conciernen”. Por su parte el artículo 6 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III En el presente caso, la reclamante recibió un SMS con enlace a un contrato de suministro eléctrico con ALDRO ENERGÍA, S.A., en el que figuraban sus datos personales desconociendo cómo habían sido obtenidos. La Agencia Española de Protección de Datos se dirige a la entidad reclamada, la cual explicó que es una entidad comercializadora de ALDRO ENERGIA, que contactó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 telefónicamente con la reclamante, explicando una oferta e iniciando el procedimiento de contratación a distancia del servicio de suministro eléctrico con ALDRO ENERGÍA. El procedimiento contractual para llevar a cabo la celebración de un contrato con la entidad reclamada, es remitir un sms al teléfono móvil aportado por la reclamante, remitiendo como documento adjunto un precontrato, de modo que para finalizar la contratación se requiere que dicho mensaje sea aceptado y contestado por el potencial cliente. Ha de señalarse en este punto que mientras la entidad reclamada afirma que los datos personales fueron proporcionados por la reclamante, esta última lo niega. En este sentido, la entidad reclamada ha alegado que la carga de la prueba debe recaer en la reclamante. Para dar respuesta a dicha alegación es conveniente indicar en primer lugar que el RGPD, en su artículo 4.11, define el «consentimiento del interesado» como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, el tratamiento de datos personales que le conciernen. En segundo lugar, en relación a si ha sido o no dado el consentimiento por parte del titular de los datos personales para su utilización, de conformidad con el artículo 7 del RGPD, la carga de la prueba recae en el responsable del tratamiento, al indicar que “cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Por lo tanto, para que el tratamiento de los datos de carácter personal sea lícito, se requiere del consentimiento expreso, informado e inequívoco del titular de los datos personales, es decir, de la reclamante en este caso, para que los mismos puedan ser utilizados por el reclamado. Dicho consentimiento debe ser obtenido por el responsable, en este caso la parte reclamada, en el momento en que se obtuviesen los datos personales de la reclamante. Si la entidad reclamada no puede aportar documentación que acredite que cuenta con el consentimiento de la reclamante para utilizar sus datos personales y enviarle un precontrato, se entiende que aunque obtuviese los datos de la reclamante, no obtuvo su consentimiento para su tratamiento y por tanto incurre en una infracción del artículo 6 del RGPD. Por otro lado, esta Agencia el 15 de marzo de 2021, se ha dirigido a ALDRO ENERGIA para obtener información sobre el origen de los datos personales tratados, pero no se ha obtenido respuesta al respecto. De conformidad con las evidencias de las que se dispone, se considera que los hechos denunciados, es decir, llevar a cabo un tratamiento ilícito de datos personales para remitir una propuesta de contrato, por parte de la entidad reclamada, sin contar con el consentimiento de la reclamante, ni ninguna otra causa de legitimación del tratamiento, pese a ser la reclamante la titular de los datos personales utilizados, supone una infracción del art. 6 del RGPD. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 El artículo 72.1
- b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; Así las cosas, se podrá ordenar a la parte reclamada que en el plazo designado proceda a realizar las actuaciones necesarias para que el tratamiento de los datos personales utilizados se ajuste a las disposiciones del RGPD. VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: En el presente caso estamos ante acción negligente de la entidad reclamada (artículo 83.2
- b)al cederse los datos personales del reclamante sin el consentimiento previo del titular de dichos datos. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GARLEX SOLUTIONS, S.L., con NIF B67392266, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 15.000€ (quince mil euros) SEGUNDO: NOTIFICAR la presente resolución a GARLEX SOLUTIONS, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es