PS-00463-2024

(913575264). En una conversación de más de 28 minutos, primero habló con una empleada identificada como A.A.A., quien le confirmó que la llamada inicial había sido realizada por un comercial de SEVERAL ENERGY, S.L. (en adelante Several), una empresa colaboradora externa de GESTERNOVA. Según A.A.A., GESTERNOVA "no tiene control sobre lo que hacen los agentes o colaboradores externos". La parte reclamante añade que advirtió a su interlocutora que había recibido un correo desde la dirección contratación@gesternova.com, con el logo de dicha entidad y con todos los enlaces redirigidos a la misma, sin que la misma pudiera explicar cómo disponía de sus datos personales y bancarios. Posteriormente, la reclamante fue transferida a otra empleada, quien tampoco pudo aclarar el origen de los datos, aunque anuló el precontrato y aseguró que escalaría la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/47 reclamación para proporcionar una respuesta. No obstante, la parte reclamante expone que hasta la fecha no ha recibido ninguna comunicación adicional por parte de GESTERNOVA. Por otra parte, la parte reclamante indica que figura en la Lista Robinson, y que ha llamado con posterioridad al número origen (***TELÉFONO.1) en varias ocasiones habiendo obtenido como respuesta que el número se encuentra fuera de servicio. Junto a la reclamación aporta: . Correo electrónico dirigido el 12/4/2023 a las 18:38 desde contratacion@gesternova.com a ***EMAIL.1, en el que figuran nombre, DNI, teléfono, email, CUPS, dirección, últimos cuatro dígitos de la cuenta bancaria. Adicionalmente figura el código de agente “***REFERENCIA.1” y el código de contratación “***REFERENCIA.2”. El correo electrónico solicita revisar y confirmar los datos para proceder a la contratación “de luz” con GESTERNOVA. En este correo se indica “Oferta válida durante 3 días (en confirmaciones posteriores a dicho plazo, los precios podrías ser revisados…”. . Captura de pantalla de la llamada recibida el 12/04/2023, a las 18:32 horas, con el número llamante ***TELÉFONO.1. . Captura de pantalla que muestra varias llamadas realizadas al número ***TELÉFONO.1, según la reclamante realizadas desde el número de su marido. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 02/06/2023 se dio traslado de dicha reclamación a GESTERNOVA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En fecha 05/07/2023 se recibe contestación de la entidad reclamada. De ésta se extrae el siguiente contenido: La entidad reclamada comienza explicando la operativa seguida en la promoción de sus productos y la captación de clientes, la cual describe como basada en el empleo de agentes comerciales externos e independientes. Según sostiene, estos agentes no trabajan en exclusiva para GESTERNOVA, sino que operan con diversas comercializadoras en el mercado energético, lo que les permite proponer aquellas tarifas que mejor se ajustan a las necesidades del cliente, de modo que el servicio que prestan se configura como un asesoramiento al individuo a medida de su caso particular, para lo que utiliza bases de datos propias o externas de individuos que permiten ser contactados. En esta primera fase, afirma que los agentes actúan como responsables del tratamiento de los datos personales de los interesados, utilizando sus propios medios y bases de datos, sobre las que la reclamada asegura no tener acceso ni control. Sostiene que solo cuando un interesado manifiesta interés por una oferta concreta de GESTERNOVA, los agentes pasan a actuar como encargados del tratamiento, accediendo a un sistema proporcionado por aquella con un usuario autorizado, para recoger los datos personales necesarios del solicitante con el fin de gestionar el inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/47 del proceso de contratación de los productos de suministro energético con GESTERNOVA. La entidad resalta que no comparte bases de datos con estos agentes ni realiza aportaciones de datos personales a su favor. Destaca que no puede tramitarse una solicitud sin unos datos mínimos, de modo que la solicitud de oferta está ligada a la comunicación de dichos datos, y que para garantizar los derechos de los interesados cualquier solicitud de contratación queda sometida a un sistema de confirmación explícita por parte del interesado, quien debe validar la oferta recibida mediante un correo electrónico que GESTENOVA envía a la dirección facilitada por el interesado, con carácter previo al inicio de cualquier proceso de tratamiento de los datos. Este correo, según declara, avisa que, de no recibir respuesta en un plazo de tres días, los datos serán automáticamente bloqueados y eliminados, incluye un mecanismo para la rectificación de datos, identifica al agente que ha tramitado la solicitud y se facilitan los medios directos de comunicación con la compañía. En cuanto a los hechos objeto de la reclamación, confirma que el día 12/04/2023 remitió un correo electrónico a la dirección de la reclamante solicitando la confirmación de sus datos para la verificación de una solicitud de contratación, no iniciándose la contratación sin esta confirmación previa. Según indica, no tenía ninguna información previa relativa a la reclamante y los datos contenidos en este correo, incluidos nombre, DNI, número de cuenta bancaria y otros identificadores personales, fueron proporcionados por el agente externo no exclusivo Several. La parte reclamada niega haber tenido conocimiento previo de dichos datos antes de su incorporación al sistema de gestión de ofertas y subraya que los mismos no fueron utilizados ni tratados con otros fines debido a la falta de confirmación por parte de la reclamante. Manifiesta que no hubo respuesta a la solicitud de confirmación, por lo que en 3 días los datos fueron bloqueados de manera automática, y que la reclamante no contactó con la entidad para aclarar ningún extremo. Aunque, GESTERNOVA informa que pudo relacionar la llamada de un tercero al departamento comercial de la que no tiene grabación, que, según las notas disponibles, se identificó como esposo de la reclamante y realizó manifestaciones sobre el proceso de contratación “centradas en el argumento de que, tras una llamada de unos segundos, le dijeron que se iba a enviar una oferta y que lo que se le ha enviado es directamente un contrato que aceptar, solicitando una aclaración”. Manifiesta que, tras recibir la reclamación, procedió a requerir a Several información relativa al origen de los datos de la reclamante y a las circunstancias de la llamada comercial. En respuesta, Several únicamente aportó una transcripción de la conversación telefónica mantenida con la reclamante, que consta reseñada en el Hecho Probado Tercero. Según GESTERNOVA “En la misma se deja constancia de que la Reclamante, en cualquier caso, conoce al interlocutor y está de acuerdo en la recepción de la oferta de Gesternova por la Reclamante, si bien se interpreta que puede haber una confusión en cuanto al significado de la comunicación de Gesternova. Es decir, dando veracidad a lo alegado por la persona que se identifica como su marido, parece haber entendido que el mail de la oferta que pone revisa datos y confirma tu solicitud es un envío encubierto de un contrato que sería vinculante por la mera aceptación del mail C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/47 Gesternova”. Indica la reclamada que, tras las comprobaciones realizadas de confirmación de la petición de oferta, se sugiere a Several que contacte con su cliente para aclarar la situación, que esta entidad manifestó que le ha sido imposible contactar con la reclamante y que ella era consciente de que la falta de confirmación suponía una negativa y decaimiento de la oferta. GESTERNOVA afirma haber revisado sus procedimientos internos, implementando medidas adicionales para reforzar el cumplimiento normativo. Entre estas medidas, menciona el envío a Several, en mayo de 2023, de un argumentario actualizado que detalla las directrices que deben seguir los agentes en el momento de la contratación. (…) Concluye que solo puede corroborar que la reclamante nunca contactó con GESTERNOVA y que ésta tuvo noticia de la incidencia por una llamada realizada por un tercero a su teléfono de atención al cliente. En su respuesta, GESTERNOVA finaliza señalando las medidas adoptadas para mitigar los riesgos para los derechos de los interesados, que incluye: . Envío de una circular informativa a los empleados. . Instrucción operativa para la realización de llamadas de telemarketing y proceso de contratación a distancia por teléfono de acuerdo con el artículo 66 de la Ley 11/2022 de la General de Telecomunicaciones y Circular 1/2023, de 26 de junio, sobre la aplicación del artículo 66.1.

1. b)de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, con realización de auditorías sobre los procesos de contratación. . Modelo de control relativo a comunicaciones comerciales. . Revisión del procedimiento de homologación de proveedores. . Nuevo modelo de contrato con agentes no exclusivos para incorporar controles relativos al tratamiento de datos como responsables del tratamiento. . Plan de formación La parte reclamada adjunta al escrito una copia del Contrato de Agencia suscrito el 19/07/2022 entre GESTERNOVA y Several, así como copia de los correos electrónicos que ambas entidades se remitieron con motivo de la reclamación que ha motivado las presentes actuaciones, cuyo contenido consta reseñado en los Hechos Probados Séptimo y Octavo. TERCERO: Con fecha 23/07/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/47 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1.Por los Servicios de Inspección de la AEPD se verifica que, a fecha de realización de la llamada de este expediente, la entidad Orange es el operador del número de la reclamante (***TELÉFONO.2), quien confirma la recepción de la llamada en cuestión. Según Orange, la línea se encuentra instalada en ***DIRECCIÓN.1, siendo su titular B.B.B.. 2. Con respecto al número reclamado (***TELÉFONO.1), el operador Aire Networks del Mediterráneo, S.L.U. ha confirmado la existencia de la llamada de 12/04/2023, a las 18:32 horas, con una duración de 83 segundos, y refiere que la titularidad de la línea llamante correspondía a Leaddesk, S.L. Por su parte, esta entidad ha informado de su condición de proveedor de servicios de telecomunicaciones de Voz sobre IP (VoIP) y que el número referido en dicha fecha era utilizado por su cliente Business Power Consultores, S.L. 3. En fecha 08/04/2024 se envió requerimiento, vía electrónica, a Business Power Consultores, S.L., el cual resultó expirado por caducidad. Se envió, en fecha 26/04/2024, reiteración mediante vía postal a la dirección encontrada en la página de Axesor, que resultó devuelta por “Desconocido”. Asimismo, en fecha 17/09/2024 se reenvió reiteración a la dirección proporcionada por la AEAT, siendo notificada en fecha 27/096/2024. No obstante, dicha entidad no ha facilitado a esta AEPD respuesta alguna. 4. En ámbito de la investigación realizada por la AEPD, se requirió información a la entidad Several, la cual en su contestación de 17/04/2024 indicó lo siguiente. . En relación con la ejecución de filtrados previos a las llamadas a través de listas de exclusión (Listas Robinson): “Conforme a los protocolos internos aprobados, en nuestra operativa, no se realizan consultas de listados de exclusión del tipo "Listas Robinson", pues los contactos comerciales que realizamos se dirigen a contactos de bases de datos propias, adquiridas mediante contratos de compraventa y certificados de legalidad en su procedencia, o a contactos obtenidos de registros directos de interesados en nuestra página web, donde se informa y se obtienen los logs y los consentimientos oportunos.” . En relación con los contactos mantenidos con la parte reclamante: “En el caso de la hoy denunciante, y tras búsqueda en nuestro sistema, sólo consta un contacto telefónico realizado en el mes de octubre de 2020, donde, a resultas de una consulta realizada, se le informó en base a ese contacto previo existente y exclusivamente sobre el producto consultado. Del correo recibido por la hoy denunciante por parte de Gesternova, se deduce que el contacto fue directo Gesternova se dirige a la denunciante en su condición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/47 de responsable, sin informar de la procedencia u origen de los datos.” . Adjunta, entre otros documentos, copia del Contrato suscrito el 19/07/2022 entre GESTERNOVA y Several. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad GESTERNOVA es una empresa constituida en el año 2005, con un volumen de negocios de 631.849.080 euros en el año 2023. SEXTO: Con fecha 22 de enero de 2025, se acordó el inicio de procedimiento sancionador a GESTERNOVA, por la presunta infracción de los artículos 6.1, 13 y 14 del RGPD, tipificadas en el artículo 83.5 del RGPD, y por infracción del artículo 48.1.
2. b)de la Ley 9/2014, de 9 de mayo, General e Telecomunicaciones (en adelante LGTel 9/2014), tipificada en el artículo 78.11 de la misma norma. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por cada una de las infracciones imputadas, sin perjuicio de lo que resulte de la instrucción, sería: . Por la vulneración del artículo 6.1 del RGPD, 500.000 € (quinientos mil euros); . Por la vulneración del artículo 13 del RGPD, 50.000 € (cincuenta mil euros); . Por la vulneración del artículo 14 del RGPD, 50.000 € (cincuenta mil euros); . Por la vulneración del artículo 48.1.
3. b)de la LGTel 9/2014, 20.000 € (veinte mil euros); Asimismo, se advirtió que la infracción, de confirmarse, podrá conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio, GESTERNOVA solicitó ampliación del plazo y copia del expediente, y, con fecha 20/01/2025 presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. Sobre el rol de Responsable del Tratamiento de Several. Señalan que ha quedado demostrado el rol de Several como Responsable del Tratamiento durante la actividad consistente en promocionar por su cuenta y riesgo los servicios energéticos de Contigo Energía (GESTERNOVA), conforme a lo indicado en el Expositivo II del contrato de agencia. Solo cuando Several comunica los datos del posible cliente a Contigo Energía y acredita el interés del mismo para recibir la oferta comercial pasa a actuar como Encargado del Tratamiento para promover y concluir el contrato en nombre y cuenta de Contigo Energía. Una vez Several cedió los datos de la Reclamante y aportó la confirmación al envío de la oferta, adquirió la condición de Encargado del Tratamiento de Contigo Energía. Several tenía la condición de Responsable del Tratamiento en el momento de realizar la llamada objeto de reclamación, así como de cualquier tratamiento de datos que se hubiera realizado con anterioridad a la misma, correspondiendo a dicha entidad acreditar el cumplimiento de las obligaciones aplicables a los Responsables del Tratamiento según el RGPD y en el resto de normativa vigente. En base a ello, invoca el principio de culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/47 Por otra parte, destaca que el contrato formalizado por ambas entidades es de agencia, lo cual recalca que el elemento que califica la figura de un Agente Comercial es su condición de intermediario independiente que actúa de forma autónoma, y cita un precedente que GESTERNOVA considera similar, resuelto por esta AEPD con archivo de actuaciones (EXP202305638). El hecho de la llamada objeto de reclamación y los tratamientos de datos previos a la misma, incluida la recogida de datos directamente de la interesada, fueron realizados por Several en calidad de Responsable del Tratamiento independiente comporta que no pueda ser imputable a Contigo Energía ninguna infracción del art. 13 del RGPD. Asimismo, dado que la llamada objeto de reclamación fue realizada por Several en virtud del servicio de asesoría energética que prestaba a la Reclamante en calidad de Responsable del Tratamiento independiente, tampoco puede ser imputable a Contigo Energía ninguna infracción del art. 48.1.b de la LGTel 9/2014. Igualmente, por los hechos aquí descritos, no procede sancionar a Contigo Energía por infracción del art. 6.1. del RGPD, dado que sí existía una base de legitimación para el tratamiento de los datos de la Reclamante por su parte, esto es el consentimiento al tratamiento de sus datos, tal y como se desprende de la grabación aportada. 2. Sobre la legitimación de Contigo Energía para el envío de la oferta comercial por correo electrónico y la ausencia de infracción del art. 6.1 del RGPD Señalan que la grabación de la llamada mantenida demuestra que los datos personales de la Reclamante habían sido obtenidos previamente por Several como prestador de un servicio de asesoría energética en el que actúa como Responsable del Tratamiento de los datos de la Reclamante. De la documentación aportada al expediente se desprende que GESTERNOVA el día 12/04/2023 envío a la dirección de correo electrónico de la reclamante ***EMAIL.1 un correo electrónico de confirmación de datos para la verificación del inicio de la contratación del producto "***PRODUCTO.1" de suministro de energía, correo que contiene la identificación del agente ("***REFERENCIA.1"), y los siguientes datos de la reclamante: nombre, DNI, teléfono, email, CUPS, dirección, últimos cuatro dígitos de la cuenta bancaria. Pues bien, en el proceso de contratación intervienen dos entidades: primero, la parte reclamada GESTERNOVA en su condición de responsable del tratamiento; segundo, Several en su condición de empresa colaboradora y encargada del tratamiento. En cuanto al modus operandi de la contratación, de las actuaciones de investigación se desprende que el mismo se lleva a cabo de la siguiente forma: - El agente contacta con el/los posible/s cliente/s informando/les de la/s oferta/s, lo que se conoce como llamadas de captación, informando al posible cliente de la oferta y, habiendo mostrado interés por un producto de GESTERNOVA. Posteriormente, la confirmación de la solicitud de contratación por parte de GESTERNOVA se realiza de manera directa por medio de un correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/47 - electrónico enviado por GESTERNOVA a la dirección de correo facilitada por el interesado y se solicita la confirmación expresa de su interés en recibir la oferta solicitada. por último, se le envía el contrato a fin de que sea firmado con la nueva comercializadora. 3. Sobre el cumplimiento de diligencia debida de GESTERNOVA al contratar a sus Agentes Comerciales y la ausencia de infracción por parte de Contigo Energía del art. 14 del RGPD Respecto a la obligación de informar al interesado sobre “la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público” (art. 14.2.f del RGPD), resulta de aplicación la excepción recogida en el art. 14.5.a del RGPD (que indica que las disposiciones de los apartados 1 a 4 del art. 14 del RGPD no serán aplicables cuando el interesado ya disponga de la información), en tanto que resulta razonable pensar que la Reclamante, al haber sido informada por parte de Several que recibiría en su correo electrónico una comunicación con el asunto “Correo Gesternova”, esta podría asumir que fue la propia Several la que le facilitó a Contigo Energía (en esos momentos conocida como “Gesternova”), los datos necesarios para enviar la oferta comercial por correo electrónico. Se aporta como ANEXO V el correo electrónico enviado a la Reclamante por info@gesternova.com en fecha 12/04/2023, así como el documento adjunto al mismo, “Condiciones Particulares”. En este sentido, una vez acreditado que Contigo Energía facilitó a la Reclamante la información correspondiente al tratamiento de sus datos personales, no resulta imputable a Contigo Energía ninguna infracción de los arts. 13 y 14 del RGPD, tipificados en el art. 83.5.a del RGPD, ambas tipificadas en el art. 83.5.b del RGPD. 4. Sobre las malas prácticas realizadas por Several. Las prácticas empleadas por Several han dificultado en sobremanera la gestión de la reclamación sobrevenida, en concreto:
4. i)complicando indebidamente la entrega de información necesaria para dar una respuesta a la Reclamante;
5. ii)negándose a través de su colaborador BUSINESS POWER CONSULTORES, S.L. a contestar a los requerimientos de información de la Agencia; y iii) mintiendo a esta Agencia a la hora contestar el requerimiento de información que recibieron. Lógicamente la Agencia envió un requerimiento de información a BUSINESS POWER CONSULTORES, S.L., en fecha 8 de abril de 2024, solicitando aspectos fundamentales para la resolución del presente expediente. Es necesario realizar un inciso para resaltar que lo anterior supone que el presente procedimiento se encuentra viciado desde un punto de vista formal, en la medida en que la AEPD ha iniciado el procedimiento sancionador de manera indebida, sin haber agotado las vías necesarias para esclarecer los hechos, pues, como la propia Agencia indica, las actuaciones de investigación previas siguen en curso. En este caso, la reclamación fue admitida a trámite el 23/07/2023 y las actuaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/47 previas de investigación se han prolongado hasta la notificación del inicio del procedimiento sancionador, esto es, el 23/01/2025, tras el transcurso de exactamente dieciocho meses, justo en el límite del plazo máximo legal. El procedimiento sancionador se ha iniciado sin que la propia AEPD disponga de información completa y concluyente sobre el rol de los intervinientes y la posible responsabilidad de los mismos, al no haberse dado contestación por parte de BUSINESS POWER CONSULTORES, S.L., a los requerimientos de esta Agencia. Por tanto, ha quedado sobradamente acreditado que la AEPD no disponía de todos los elementos necesarios para adoptar una decisión informada y la apertura del procedimiento sancionador se ha debido al transcurso del plazo establecido, por lo que el inicio es prematuro e improcedente y ello debe suponer el archivo de las actuaciones y del presente expediente. Se acredita que fue Several quien registró los datos de la Reclamante en los sistemas de Contigo Energía. Ante este cúmulo de declaraciones falsas, así como todas las malas prácticas por parte de Several (que hemos podido identificar), queda acreditado que desde Contigo Energía se llevaron a cabo los controles adecuados sobre los aspectos que estaban bajo su obligada vigilancia (exigir al Agente Comercial acreditación del interés de los clientes en recibir una oferta comercial), siendo que tanto la llamada comercial objeto de reclamación, como todos los tratamientos de datos llevados a cabo previamente por Several, al realizarlos éste en calidad de Responsable independiente, no se encuentran bajo el ámbito de actuación de Contigo Energía y, por tanto, no se le puede imputar responsabilidad alguna por los incumplimientos cometidos por Several. 5. Sobre el principio de prevalencia de la ley especial sobre la general, y la aplicación de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico Si bien esta representación considera debidamente acreditado que Contigo Energía contaba con la habilitación jurídica suficiente para realizar el envío de la oferta comercial al correo electrónico de la Reclamante, en el supuesto de que, sorpresivamente, esta Agencia no considere el contenido de la conversación mantenida con la Reclamante (cuya transcripción se aporta acompañada, además de la grabación de la misma), de forma supletoria procedemos a exponer que el tratamiento datos realizado por Contigo Energía y que consiste en el envío de la oferta comercial por correo electrónico está regulado por lo establecido en la LSSI, siendo que, cualquier infracción vinculada a esta práctica deba ser, en su caso, sancionada por lo establecido en esta ley especial, en tanto en cuanto, ésta desplaza a la aplicación del RGPD. La LSSI establece, en su artículo 21, una prohibición general de “envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. La Directiva ePrivacy introdujo en la Unión Europea el principio de “opt-in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/47 correos electrónicos con fines comerciales. Ello implica que, en la materia que nos ocupa, resulta de aplicación el principio de especialidad, en virtud del cual el principio de licitud del RGPD y la exigencia de concurrencia de una de las bases de legitimación del tratamiento a las que se refiere el artículo 6 del RGPD han de ceder ante la regla especial contenida en el artículo 21 de la LSSI, toda vez que, en caso contrario, esta última norma quedaría vacía de contenido. Es decir, no habrá que acudir en primer lugar a la LOPD que traspone la Directiva 95/46/CE, sino a la normativa específica sobre la materia, en este caso el artículo 21 de la LSSI, que viene a ser trasposición del artículo 13 de la Directiva 2002/58/CE, precepto que ha resultado infringido por la actora al no contar para la remisión de los citados correos electrónicos con el consentimiento de sus destinatarios y no constar la existencia de una relación contractual anterior, con los requisitos establecidos en el artículo 21.2 LSSI que justifique el envío del mensaje, único supuesto que exime de la obtención del consentimiento en estos supuestos. Tal y como señala esta Agencia en sus Informes Jurídicos 173/2018 y 164/2018, este criterio ha sido reiterado, entre otras, por las sentencias de la Audiencia Nacional (
6. i)1707/2010, de 29 de abril; (
7. ii)3986/2010, de 17 de septiembre y con referencia; y (iii) 3713/2016, de 16 de septiembre. En conclusión, citando de nuevo el Informe Jurídico 164/2018, “el régimen aplicable a las comunicaciones comerciales por medios electrónicos, en cuanto normativa específica, prevalece frente al régimen general del Reglamento de protección de datos, sin que la aprobación del mismo implique obligaciones adicionales”. A mayor abundamiento, la prevalencia de las disposiciones de la Directiva ePrivacy, que es la norma –como ya se ha señalado– de la que deriva el artículo 21 de la LSSI, frente al régimen del RGPD es algo que esta Agencia ya ha señalado incluso en otros ámbitos. Véanse, por ejemplo, los Informes Jurídicos 46/2021 y 40/2023 de esta Agencia, referentes, respectivamente, al Anteproyecto de la Ley 11/2022, General de Telecomunicaciones, y al artículo 66.1.b de la misma, regulador del derecho a no recibir llamadas no deseadas con fines de comunicación comercial. Informe Jurídico 46/2021 “Por lo tanto, la Directiva 2002/58/CE y, consecuentemente, los preceptos del presente anteproyecto que transponen dicha Directiva, vienen a configurar un régimen especial, al que se someterían únicamente los tratamientos que la misma regula, frente al régimen general de protección de datos que se recoge en el RGPD. Por este motivo, las disposiciones del mismo serán de aplicación a todos los tratamientos llevados a cabo dentro del ámbito de aplicación del derecho de la Unión y que no estén regulados específicamente por la Directiva, tal y como se desprende del ámbito de aplicación establecido en el artículo 2 del Reglamento y en los términos que especifica su artículo 95. Asimismo, dicho carácter de norma especial es igualmente predicable respecto de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cuyas disposiciones deben ser tenidas en cuenta al constituir la ‘lex generalis’ aplicable para garantizar el derecho fundamental a la protección de datos de carácter personal”. En virtud de cuanto antecede, cabe concluir que, en tanto que la normativa específica aplicable es la LSSI –y no el RGPD–, el régimen sancionador aplicable a la licitud del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/47 envío de las comunicaciones comerciales será el de la LSSI, por lo que no resultaría conforme a derecho una sanción fundamentada en una infracción del art. 6 del RGPD en lo que refiere al envío por parte de Contigo Energía de una oferta comercial por correo electrónico. FINALES. Sobre las circunstancias atenuantes aplicables al procedimiento de referencia. Manifiesta vulneración del principio de proporcionalidad que debe regir el procedimiento sancionador. Señalando que no se han valorado adecuadamente las siguientes circunstancias: (
8. i)la falta de imputabilidad y culpabilidad, en la medida en que el tratamiento de los datos se encontraba bajo la responsabilidad de un tercero; (
9. ii)no se ha tenido en consideración que únicamente se ha visto afectado un único interesado persona física; (iii) no ha quedado acreditado perjuicio alguno para el titular de los datos, lo que impide valorar la existencia de un daño efectivo que justifique la imposición de una sanción de tan alta cuantía; y (
10. iv)esta parte ha colaborado activamente con la AEPD, facilitando en todo momento la información y documentación requerida con el objetivo de esclarecer los hechos y mitigar cualquier posible impacto sobre los derechos del afectado, lo anterior se considera un elemento atenuante que debería reflejarse en la graduación de la sanción, tal y como establece también el artículo 83.2.f del RGPD. Y señala, que el artículo 83.2 del RGPD establece una serie de criterios esenciales para la graduación de las sanciones administrativas, entre los que destacan: i. La naturaleza, gravedad y duración de la infracción (artículo 83.2.a RGPD): en este caso, solo se han visto afectados los datos personales de una única persona física, por lo que el impacto ha sido mínimo y no continuado, ya que no se ha probado que la conducta infractora haya persistido en el tiempo. ii. El nivel de los daños y perjuicios sufridos por el afectado (artículo 83.2.a RGPD): la falta de acreditación de un daño real o material debe ser un factor determinante a la hora de graduar la sanción, puesto que el propio RGPD exige que se valore el impacto efectivo sobre los derechos del interesado, sin que se haya demostrado que el afectado haya sufrido ningún perjuicio económico, reputacional o de cualquier otra índole. iii. El grado de responsabilidad del responsable del tratamiento (artículo 83.2.b RGPD): como ha quedado acreditado en las anteriores alegaciones, la responsabilidad no recae sobre esta parte, por lo que la falta de culpabilidad y actuación negligente de un tercero son factores que se deberían haber tenido en cuenta como elementos atenuantes de la cuantía de las sanciones. iv. Las medidas adoptadas para mitigar el daño (artículo 83.2.c RGPD): desde que esta parte tiene conocimiento del presente expediente sancionador, se ha actuado con la máxima diligencia, dando contestación a todos los requerimientos de información remitidos y acreditando en todo momento la implementación de sus protocolos y medidas de seguridad. v. El grado de cooperación con la autoridad de control (artículo 83.2.f RGPD): la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/47 cooperación con la AEPD es un factor determinante que debe ser ponderado en la graduación de las sanciones, y, en este caso, es incuestionable que la colaboración por esta parte ha sido total, facilitando todo tipo de documentación requerida a la mayor brevedad posible. Expone una serie de circunstancias que entiende que deberían valorarse a la hora de proponer una sanción para GESTERNOVA y que se detallan a continuación: • La reclamación presentada no refleja la realidad de los hechos acontecidos, en tanto que
11. i)la llamada objeto de reclamación fue recibida de su asesor energético, el cual le asistía con aspectos vinculados al servicio de suministro de luz en su domicilio;
12. ii)ella misma solicitó recibir en su correo electrónico la información correspondiente a una oferta comercial, comunicación que posteriormente fue objeto de reclamación. • Al responder al requerimiento de información recibido, Several ha aportado a esta Agencia declaraciones falsas con tal de ocultar su incumplimiento del RGPD, y redirigir la responsabilidad hacia Contigo Energía. Several ha actuado en calidad de Responsable del Tratamiento durante la recogida de los datos de la Reclamante y la posterior realización de la llamada comercial. En este sentido, el control y vigilancia del cumplimiento normativo en estas actuaciones queda fuera de la responsabilidad de Contigo Energía. • En relación con el punto anterior, varias de las infracciones que se imputan a Contigo Energía corresponden a actuaciones que no están bajo su obligado control y vigilancia, por lo que no se le puede atribuir responsabilidad sobre las mismas. • Que en todo momento Contigo Energía actuó de buena fe, y con la diligencia debida, en tanto que en todo momento ha seguido los controles establecidos en su protocolo de contratación, dado que la comunicación comercial dirigida a la Reclamante se realizó una vez Several acreditó que la misma estaba interesada en recibir la oferta comercial. • Que Contigo Energía ha tomado la decisión de actualizar los contratos con todos sus Agentes Comerciales, de forma que los roles y responsabilidades respecto al tratamiento de datos personales queden definidos de forma más expresa. Se aporta como ANEXO X la nueva cláusula de protección de datos personales a incluir en los contratos de agencia. Que en caso de que esta Agencia mantenga que el envío por parte de Contigo Energía de la comunicación electrónica no contaba con un fundamento jurídico, considere que resultaría de aplicación la sanción establecida en la LSSI, en tanto que, tal y como se ha expuesto en el presente escrito, al ser una ley especial desplaza de su aplicación al RGPD, que es una ley general. • En este procedimiento solo se han visto afectados los datos relativos a una persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/47 • Contigo Energía no ha accedido a ningún dato de categoría especial, sino que se han limitado a los estrictamente necesarios para realizar una oferta comercial propia del sector eléctrico. • Por parte de Contigo Energía se puso fin al tratamiento de datos de la Reclamante cuando transcurridas 72 horas, ésta no expresó su conformidad con la oferta comercial enviada. • Se ha colaborado en todo momento con esta Agencia Española de Protección de Datos. Solicita que se dicte resolución en la que se determine el archivo de las actuaciones, por no haber cometido GESTERNOVA, ninguna infracción de la normativa vigente, o, en su defecto, revise la multa propuesta, reduciendo su importe a la luz de las circunstancias atenuantes expuestas. Junto a su escrito de alegaciones, entre otra documentación, aporta: . Grabación de la llamada telefónica realizada por un agente de Several a la reclamante el 12/04/2022. . Política de Privacidad de Several para usuarios de su web. . Borrador de contrato de suministro eléctrico cumplimentado con los datos personales de la reclamante y orden de domiciliación de recibos. . Extracto del “Área de Agentes”, con el que GESTERNOVA manifiesta acreditar “que los datos de la Reclamante fueron incluidos en el sistema por Several (Código de agente: ***REFERENCIA.1), en fecha 12 de abril de 2023, a las 18:37, el mismo día y a la misma hora en la que la Reclamante recibió la llamada comercial. Para mayor detalle, el extracto indica que la dirección IP en la que se realizó esta comunicación de datos es ***IP.1, cuyas coordenadas se encuentran en la zona centro de Granada, y en concreto, en el mismo código postal en el que Several tiene sus oficinas. De esta forma, se acredita que fue Several quien registró los datos de la Reclamante en los sistemas de Contigo Energía”. . Nueva cláusula de protección de datos personales a incluir en los contratos de agencia. Incluye un apartado dedicado al “Régimen aplicable durante la ejecución del contrato” con el contenido siguiente: “Para la correcta prestación de los servicios de promoción de productos y servicios de CONTIGO ENERGÍA, el AGENTE tendrá acceso a datos de carácter personal responsabilidad de CONTIGO ENERGÍA y, además, comunicará a CONTIGO ENERGÍA datos personales que ha recabado en calidad de Responsable del tratamiento independiente. Sin perjuicio de las obligaciones legales que le correspondan cuando actúe como Encargado del tratamiento, o como Responsable del tratamiento, así como las que se recogen en la presente cláusula, el AGENTE se compromete a respetar y acogerse a la Circular de Comunicaciones comerciales a distancia que CONTIGO ENERGÍA establezca, copia de la cual se entrega con este Contrato, y que el AGENTE declara conocer. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/47 I. Comunicación de datos personales recabados por el AGENTE como Responsable del tratamiento a favor de CONTIGO ENERGÍA En el marco del cumplimiento del objeto del CONTRATO DE AGENCIA, el AGENTE comunicará los datos personales de aquellos potenciales clientes interesados en contratar los productos y servicios a GESTERNOVA, S.A. El AGENTE recabará los datos de estos potenciales clientes, en calidad de Responsable del Tratamiento independiente de CONTIGO ENERGÍA, y en todo caso, se compromete a cumplir las obligaciones establecidas en el Reglamento (UE) 2016/679 de relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, (en adelante, “RGPD”), en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”) y en cualesquiera otras obligaciones legales aplicables en materia de protección de datos. Así mismo, y previo a comunicar los datos a favor de CONTIGO ENERGÍA, el AGENTE garantiza que: • ha comprobado que el interesado no está dado de alta en los sistemas de exclusión publicitaria (Lista Robinson); • los datos que comunicará a CONTIGO ENERGÍA se han obtenido de forma lícita e informada, y cuenta con los consentimientos de los interesados necesarios para el tratamiento de sus datos, y para su comunicación a CONTIGO ENERGÍA con finalidades comerciales; • ha proporcionado a los interesados la información relativa al tratamiento de datos personales de conformidad con el artículo 13 del RGPD, y en caso de la realización de llamadas comerciales, que ha cumplido con las “garantías adicionales” incluidas en el artículo 6 de la Circular 1/2023 de la Agencia Española de Protección de Datos; • ha grabado de forma íntegra las llamadas comerciales realizadas, y que cuenta con las medidas adecuadas para su conservación; • ha realizado las evaluaciones de impacto que correspondan, y que ha adoptado las medidas de seguridad adecuadas conforme al análisis de riesgos efectuado, a los efectos de asegurar la confidencialidad, integridad y disponibilidad de los datos; El AGENTE garantiza que dispone, y en su caso conservará, evidencia del cumplimiento de las obligaciones anteriores. (…) II. Tratamiento de datos personales por parte del AGENTE por cuenta de CONTIGO ENERGÍA Una vez el AGENTE hubiera comunicado los datos personales de los potenciales clientes a CONTIGO ENERGÍA, para la realización de las actividades destinadas para promover y concluir la contratación, el AGENTE tendrá la consideración de Encargado del tratamiento de CONTIGO ENERGÍA, comprometiéndose a cumplir con las obligaciones previstas en el Anexo III Acuerdo de Encargo de Tratamiento de Datos Personales”. OCTAVO: Con fecha 19 de diciembre de 2025 se formuló propuesta de resolución, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/47 proponiendo lo siguiente: - Que se sancione a GESTERNOVA, S.A., con NIF A84337849, por las infracciones siguientes con las multas que en cada caso se indican: o o Por la vulneración del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
13. a)del mismo Reglamento, con multa de 200.000 € (doscientos mil euros); Por la vulneración del artículo 13 del RGPD, tipificada en el artículo 83.5
14. b)del mismo Reglamento, con multa de 20.000 € (veinte mil euros). Ello arroja una cantidad total de 220.000 euros (doscientos veinte mil euros). - Que se acuerde el ARCHIVO de las actuaciones seguidas contra la entidad GESTERNOVA, S.A., por las presuntas infracciones de los artículos 14 del RGPD y artículo 48.1.
15. b)de la LGTel 9/2014. - Que se ordene a GESTERNOVA, S.A. que, en virtud del artículo 58.2.
16. d)del RGPD, en el plazo máximo de seis meses, acredite haber procedido al cumplimiento de medidas con el alcance expresado en el Fundamento de Derecho XI de la propuesta de resolución. La notificación de esta propuesta de resolución fue debidamente entregada a la parte reclamada en la misma fecha del 19/12/2025 a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular alegaciones. NOVENO: Con fecha 07/01/2026, se recibió escrito de alegaciones a la propuesta de resolución en el que GESTERNOVA solicita de nuevo el archivo del expediente. En este escrito, básicamente, reitera sus alegaciones anteriores, en el mismo orden en el que fueron expuestas en sus alegaciones a la apertura del procedimiento y respondidas en la propuesta de resolución; excepto en lo relativo a la cuantía de la multa propuesta, sobre la que nada alega GESTERNOVA en este nuevo escrito de alegaciones, salvo su revisión por aplicación del régimen sancionador previsto en la LSSI. Después de una alegación previa, dedicada a exponer brevemente los antecedentes del procedimiento, y una primera alegación relativa a la condición de responsable del tratamiento que GESTERNOVA atribuye a la entidad Several, en las que se reproducen literalmente los mismos argumentos contenidos en las alegaciones formuladas a la apertura del procedimiento, GESTERNOVA plantea en sus alegaciones a la propuesta de resolución las cuestiones siguientes: 1. Sobre la legitimación de GESTERNOVA para el envío de la oferta comercial por correo electrónico y la ausencia de infracción del art. 6.1 del RGPD. Considera que la propuesta de resolución emitida no valora correctamente las evidencias aportadas, entre ellas lo estipulado en el contrato suscrito con Several, según el cual esta entidad recaba los datos bajo su cuenta y riesgo, en la condición de responsable del tratamiento que conlleva la prestación de servicios propios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/47 asesoría energética, para posteriormente comunicarlos a GESTERNOVA a través del “Área de Agentes”, acompañando a modo de confirmación del interés de la Reclamante en recibir una oferta de sus servicios la transcripción de la conversación mantenida con la misma. Según detalla, GESTERNOVA proporciona a sus agentes comerciales credenciales para acceder al “Área de Agentes”, un sistema web dispuesto para que los agentes puedan dar de alta los datos personales de aquellas personas que están interesadas en contratar con dicha entidad. Según explica, esta base de datos se nutre con la información aportada por los propios agentes en flujos responsable–responsable. Cuando un agente registra los datos del potencial cliente en el “Área de Agentes”, se está produciendo una comunicación de datos, y es en ese momento en el que GESTERNOVA asume el rol de responsable del tratamiento. Añade que, en este caso, consta que los datos de la reclamante fueron incluidos en el sistema por Several (Código de agente: ***REFERENCIA.1), en fecha 12 de abril de 2023, a las 18:37, el mismo día y a la misma hora en la que la Reclamante recibió la llamada comercial. Insiste en señalar que en ningún momento se puede indicar, tal y como sostiene la AEPD, que Several llevase a cabo la llamada a la reclamante en nombre de GESTERNOVA, cuestión que no se deduce ni se puede deducir en ningún momento del contenido de la citada llamada, y que la transcripción de dicha llamada evidencia la existencia de una relación previa de la reclamante con Several, en virtud de la cual Several recabó sus datos y, posteriormente, los comunicó a GESTERNOVA para que se enviase la tarifa por la que la potencial clienta había mostrado interés. A este respecto, destaca GESTERNOVA que si no existe constancia de ningún contacto previo entre la reclamante y Several es porque la AEPD nunca recibió la información requerida a la entidad que realizó la llamada, Business Power Consultores, S.L., vinculada a Several. Several, prestando su servicio de asesoría energética, presentó a la Reclamante la tarifa de GESTERNOVA, pero podría haberle presentado la de cualquier otra comercializadora con las que colabora. De hecho, el Agente no actúa ni trabaja en régimen de exclusividad para Contigo Energía, pudiendo así ofrecer a sus clientes los servicios de la comercializadora que mejor considere. Este hecho desvirtúa por sí solo por la posibilidad de que el Agente pueda ser considerado encargado de tratamiento de GESTERNOVA o que los datos los hubiese recibido Several de la propia GESTERNOVA, la cual solo trata los datos de los potenciales clientes en el momento del alta en el “Área de Agentes”. Añade al respecto: “En este sentido, el único tratamiento que ha llevado a cabo Contigo Energía consiste en el envío de la oferta comercial al correo electrónico de la Reclamante, el cual, se ha realizado después de confirmar que estaba de acuerdo en recibirla”. 2. Sobre las malas prácticas realizadas por Several Invoca nuevamente los principios de indubio pro-reo y presunción de inocencia al entender que el procedimiento se incoa sin haber esclarecido los hechos que fundamentan la imputación, por la falta de respuesta de la entidad Business Power Consultores, S.L. al requerimiento de información que le fue realizado por los Servicios de Inspección de la AEPD, que ha impedido acreditar que esta entidad, que realizó la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/47 llamada a la línea de la reclamante, no tiene relación con GESTERNOVA y que está vinculada a Several, con la que comparte domicilio. Considera que estas circunstancias acreditan que la recogida de los datos de la reclamante se llevó a cabo por Several, como responsable del tratamiento independiente de GESTERNOVA y responsable de las infracciones de los artículos 6 y 13 del RGPD. Por otra parte, reitera que Several mintió en su respuesta a la AEPD, cuándo informó que el único contacto que mantuvo con la reclamante tuvo lugar en octubre de 2020 y que, prueba de ello es la grabación de la llamada que consta incorporada a las actuaciones, de la que puede extraerse que hubo otras llamadas y correos electrónicos, lo que indica que Several ya contaba con los datos de la reclamante, a la que identifica como clienta de sus servicios de asesoramiento energético, y que no es GESTERNOVA el origen de dichos datos. 3. Sobre el principio de prevalencia de la ley especial sobre la general y la aplicación de la LSSI. Reitera GESTERNOVA que este supuesto se encuentra en el ámbito de aplicación de la LSSI, y lo hace reproduciendo literalmente los argumentos ya expresados en su escrito de alegaciones a la apertura del procedimiento sobre la aplicación de la citada LSSI en virtud del principio de especialidad; para añadir que la AEPD ha negado sin ningún razonamiento ni motivación que el correo electrónico remitido a la reclamante no responde al concepto de comunicación comercial según la definición contenida en dicha norma. Considera dicha entidad que las comunicaciones comerciales no se limitan a la publicidad, sino que también abarcan cualquier acto vinculado a la promoción o venta de productos y servicios. En el presente caso, el correo enviado a la reclamante contenía un documento que reflejaba la oferta económica de la contratación de estos servicios, lo que evidencia que la comunicación está directamente relacionada con la fase de promoción de los servicios de GESTERNOVA, pues presenta la oferta económica y los términos y condiciones que deben ser revisados y confirmados para formalizar la contratación. Por tanto, cumple plenamente con la definición legal de comunicación comercial. Respecto a que las comunicaciones comerciales no se limitan únicamente a actos publicitarios, destaca la definición que hace el Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios, el cual establece en su artículo 27.c que, “se entiende por comunicación comercial todo acto, conducta o manifestación, incluida la publicidad, no meramente informativa, que se relacione directamente con la promoción o venta de bienes y servicios”. 4. Sobre la adopción de medidas Considera que sus protocolos de contratación y, por consiguiente, el tratamiento de datos personales llevado a cabo por GESTERNOVA está plenamente ajustado a las disposiciones que regulan la protección de datos de carácter personal. Para sostener esta afirmación alega nuevamente que la recogida de datos de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/47 reclamante la realizó Several en calidad de responsable del tratamiento independiente y que GESTERNOVA únicamente trató estos datos después de que Several, en un flujo responsable-responsable, se los comunicara. Una vez le hubieron cedido los datos de la Reclamante, atendiendo a lo indicado por ésta en la llamada telefónica que aportó Several como evidencia, GESTERNOVA procedió al envío de la oferta comercial al correo electrónico que la propia Reclamante confirmó. No obstante, lo anterior, si bien entiende que dicha entidad que no existen infracciones de los artículos 6 y 13 del RGPD que deban ser corregidas, señala que se ha tomado la decisión de actualizar los contratos con todos sus agentes comerciales de forma que los roles y responsabilidades respecto al tratamiento de datos personales queden definidos de forma más expresa. Añade que aportó como Anexo X de las Alegaciones al Acuerdo de Inicio de Procedimiento Sancionador la nueva cláusula de protección de datos personales a incluir en los contratos de agencia. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La reclamante es usuaria de la línea de telefonía móvil número ***TELÉFONO.2. SEGUNDO: Con fecha 19/07/2022, las entidades GESTERNOVA, dedicada a la comercialización de energía eléctrica, y Several formalizaron un contrato de agencia, en virtud del cual esta última se compromete a promover la comercialización, venta, contratación y renovación de los productos ofertados por aquella comercializadora. Del contenido de este contrato, que se declara reproducido en este acto, cabe destacar lo siguiente: “(…)”. TERCERO: Con fecha 12/04/2023, a las 18:32 horas, la reclamante recibió en su línea de telefonía número ***TELÉFONO.2 una llamada con origen en la línea ***TELÉFONO.1, con una duración de 83 segundos. La transcripción de esta llamada, cuya grabación ha sido aportada a las actuaciones por GESTERNOVA, es la siguiente: “[R] ¿Sí? [A] Hola, muy buenas, ¿C.C.C.? [R] Si, soy yo. [A] ¿Qué tal? Mira, soy D.D.D.. Soy el chico que le lleva el contrato de la luz, que tiene en ***DIRECCIÓN.1. Correcto, ¿verdad? [R] Sí, sí. [A] Mira, te comento, es que había subido… Le enviamos la notificación al correo porque había subido el precio del kilovatio, ¿vale? Ahora … Vamos, el mes pasado, en marzo. Entonces, ahora, para aplicarle el descuento de… de la tarifa, estamos enviando de nuevo a los clientes al correo electrónico la… la nueva, que se le quedaría el precio a 0,23. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/47 [R] Vale, pues, ¿me lo mandan por correo, por favor? [A] Vale, sí. ¿Es este que tenemos de “***EMAIL.1”, ¿verdad? [R] Eso es, eso es. [A] Exacto. Pues mira, yo te lo voy a enviar, ¿vale?, y es, vamos, el mismo procedimiento. Te metes en el correo, que te va a poner “Correo Gesternova”, ¿vale? Que te… que es el nombre este de la tarifa que estamos enviando. Cuando te metes dentro… [R] Ya, pero es que… [A] Dime, dime. [R] No, pero bueno, esto lo… Me… Me llamáis mucho, diciendo que sois de mi asesoría energética, y cosas así, y yo no tengo nada que ver con este tipo de cosas, entonces… [A] Pero… [R]…yo soy muy consciente de… dime, dime. [A] Sí, pero me refiero, que el correo a donde le enviamos la última actualización, ¿no? [R] Vale, pues mándemelo al correo, perfecto, ya lo miro yo. [A] Vale, vale, pues en eso quedamos. Venga C.C.C., gracias. [R] Muchas gracias, eh. Adiós. [A] Venga, buenas tardes”. CUARTO: En la misma fecha del 12/04/2023, a las 18:38 horas, la reclamante recibió un correo electrónico con el asunto "REVISE Y CONFIRME sus datos para contratar electricidad con Gesternova", remitido desde la dirección contratacion@gesternova.com a ***EMAIL.1. En este correo, firmado por el Servicio de Atención al Cliente de GESTERNOVA, se le asignaba un código de solicitud y se incluían todos sus datos personales (entre ellos, su nombre completo, DNI, dirección de correo electrónico y teléfono), datos de suministro (CUPS), datos de instalación (dirección completa y datos de contacto para la gestión -nombre y teléfono de la reclamante), datos de pago (cuatro últimas cifras de la cuenta bancaria para la domiciliación de pagos) y producto contratado (nombre del producto, potencias punta y valle, precio). Previamente al detalle de esa información se indica “A continuación le mostramos un resumen de los datos que nos ha proporcionado durante el proceso de contratación. Para que podamos comenzar a tramitar su solicitud debe confirmar que los siguientes datos son correctos”. Adicionalmente figura el código de agente “***REFERENCIA.1” y el código de contratación “***REFERENCIA.2”. El correo electrónico solicita revisar y confirmar los datos para proceder a la contratación “de luz” con GESTERNOVA. En este correo se indica “Oferta válida durante 3 días (en confirmaciones posteriores a dicho plazo, los precios podrías ser revisados…”. QUINTO: La reclamante no respondió al correo electrónico reseñado en el Hecho Probado Cuarto. SEXTO: Con fecha 23/04/2023, la reclamante formuló reclamación ante esta AEPD con motivo de los hechos reseñados en los Hechos Probados Tercero y Cuarto, manifestando que no facilitó ningún dato personal con ocasión de la llamada telefónica recibida en fecha 12/04/2023. SÉPTIMO: Con motivo de la reclamación formulada por la reclamante ante la AEPD, las entidades GESTERNOVA y Several trataron el asunto en diversos correos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/47 electrónicos, de los que cabe destacar lo siguiente: 1. Correo electrónico remitido por GESTERNOVA a Several, de fecha 13/04/2023, en el que se indica: “Necesitamos la llamada de esta contratación con urgencia… En paralelo, el cliente indica que le dijeron que no se preocupara que la mandarían la oferta por correo y directamente le mandaron el revisa y confirma, ¿podéis contactar con él para aclarar la gestión realizada?”. Y correo de respuesta al anterior, enviado desde la dirección ***EMAIL.2 al destinatario ***EMAIL.3 el día 14/04/2023, en el que se indica: “Intentamos contactar con el cliente y no contesta. Me dice el comercial que efectivamente le envió el revise y confirma para que viera la oferta y si le interesaba que lo confirmase y si no que no le diera a nada. Pero el cliente no ha confirmado nada”. 2. Correo electrónico dirigido el día 15/06/2023 desde GESTERNOVA a varias personas de Several, con el asunto “Reclamación presentada por C.C.C.”, en la que se solicita información concreta sobre la reclamación: “. Fuente de obtención de los datos del cliente así como legitimación para el tratamiento de dichos datos en nombre y por cuenta de Gesternova. En su caso, incluid por favor el soporte documental que acredite dicha base de legitimación (por ejemplo, contrato, consentimiento dado por el cliente, etc.). . Llamadas previas realizadas con dicho cliente en nombre y por cuenta de Gesternova. . Si han contactado con dicho cliente previamente en nombre y por cuenta de otra entidad cliente suya. . Script o argumentario utilizado actualmente para contactar con los clientes. . Cualquier otra información que consideréis necesaria para esclarecer los detalles del incidente”. Y respuesta al correo anterior, dirigida el día 16/06/2023 por el DPD de Several a GESTERNOVA, informando que, “analizada la información disponible, y como encargados del tratamiento, tan solo podemos acreditar que en el proceso de toma de contacto” se ha respetado la normativa de protección de datos personales. 3. Comunicación de GESTERNOVA, de fecha 21/06/2023, en la que se solicitan información adicional sobre la reclamación. En esta comunicación se indica: “Desde hace más de 15 días, les hemos venido solicitando una relación descriptiva de los hechos concretos y evidencias relativo a una reclamación de la AEPD. Sin embargo, la comunicación recibida, y emitida por su DPO, no alude o explica su actuación, de promoción y generación de la oferta comercial relevante. Además, deja sin respuesta nuestro requerimiento específico, sobre cuestiones cruciales que permitan aclarar los datos y su origen, así como los detalles del tratamiento, que en la fase pre-contractual realizan como encargados de tratamiento de GESTERNOVA. (…) Para poder dar respuesta al requerimiento realizado por la AEPD, le solicitamos que… nos informen sobre los siguientes detalles: • Tipología de datos de los que SEVERAL ENERGY disponía de la reclamante como agente no exclusivo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/47 ejecutando labores de asesoramiento de productos de suministro energético y en qué condición jurídica los trataba (en nombre propio o por cuenta de un tercero). • Identificación del origen de cada uno de los datos incorporados en la oferta generada y enviada a la reclamante. • Cronograma y descripción de las comunicaciones con el sujeto afectado que SEVERAL ENERGY realizó de forma previa con la reclamante. • En la medida en que en el proceso de contratación hubiese intervenido sub-agentes, evidencia del acuerdo de encargo del tratamiento suscrito por SEVERAL ENERGY con el mismo. • Cualquier otra circunstancia relevante del tratamiento de datos del sujeto afectad De acuerdo con el apartado 8 de la cláusula octava del contrato de agencia suscrito el 19 de julio de 2022 (el “Contrato”), le solicitamos que, en relación con la actividad que realizan, faciliten asimismo evidencias de los distintos tipos de legitimación posible de la aportación de los datos para la realización de nuestras ofertas comerciales.” Adicionalmente ordenan a Several la suspensión de actividades comerciales en el marco del contrato. En respuesta a la anterior comunicación, en fecha 23/06/2023, Several remite un correo electrónico a la dirección dpo@gesternova.com, en el que se ponen de manifiesto las controversias que ambas entidades mantienen respecto del caso de la reclamante y su resolución. Several manifiesta que no se le han proporcionado los datos solicitados. 4. Correo electrónico, de fecha 26/06/2023, remitido por GESTERNOVA a Several, en el que reitera su pregunta sobre “cuál es el origen de los datos de la reclamante, que Several tenía en su poder y conocía antes de realizar la llamada comercial identificada por dicha reclamante”. 5. (…) 6. Correo electrónico dirigido el día 28 de junio de 2023 por el DPD de Several al DPD de GESTERNOVA, que incluye el siguiente texto en relación con la reclamación: “Partiendo ya desde un punto en el que entendemos que la cooperación y la coordinación entre ambos son básicos para una defensa de este asunto, tras hablar con mis representados (Several Energy), y obtener la información relativa a categoría de datos tratados, base de legitimación y evidencias de las que disponemos, estoy en condiciones de informaros de lo siguiente que pueda ser utilizado como argumento de respuesta al requerimiento de la AEPD: 1. Nuestro sistema de recogida de datos en origen, en este caso concreto y por razones absolutamente desconocidas por nuestro administrador de sistemas, no ha conservado el "log" referente a la hoy denunciante. Esto nos coloca en una situación donde no hay una base de legitimación de consentimiento expreso. 2. No obstante, lo anterior, y conforme a la conversación de la que disponemos, de ésta se deduce, de boca de la hoy denunciante, de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/47 existencia de una conversación previa, que ampararía un interés legítimo de la entidad y conforme a LSSI, un contacto legal. 3. De la conversación de la que disponemos, también se llega a evidenciar que es la propia denunciante la que acaba solicitando el envío de las condiciones ofertadas, lo que reforzaría igualmente ese supuesto interés legítimo. 4. Que de la conversación tampoco se deduce que exista una situación de vulneración de derechos y libertades, y así, la afectada, en ningún momento llega a protestar o a solicitar que no vuelva a ser contactada. 5. (…)”. OCTAVO: Con fecha 31/05/2023, GESTERNOVA remitió un correo electrónico a Several, desde la dirección ***EMAIL.3 al destinatario E.E.E., acompañando el “consentimiento legal modelo que debe constar en todas las grabaciones”. En el anexo se plasma el argumentario que debe seguir el agente de Several, según el cual debe advertir al interesado que la conversación será grabada para “que quede constancia en su interés en contratar el suministro de luz con Gesternova Energía” y solicitar su consentimiento; confirmar los datos para poder validar el contrato; así como describir la oferta y condiciones del contrato, pidiendo al cliente la conformidad con las mismas. Se añade: “El responsable del tratamiento es Gesternova Energía, la cual tratará sus datos para atender su solicitud y gestionar la relación contractual. Podrá conocer el resto de finalidades del tratamiento de sus datos, así como la forma en la que pueden ejercer sus derechos en materia de protección de datos a través de la Política de Protección de Datos. Para la finalización de este contrato le vamos a remitir un email al correo electrónico que nos has facilitado, para que nos confirme la contratación y al que deberá aceptar el hipervínculo. ¿De acuerdo?”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/47 Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; La figura del “responsable del tratamiento” se define en el artículo 4.7 del RGPD como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de la investigación practicada resulta acreditada la existencia de un tratamiento de datos personales, de acuerdo con lo establecido en los artículos 4.1 y 4.2 del RGPD, realizado por la parte reclamada. III Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1. Sobre el rol de Responsable del Tratamiento de Several Afirma la parte reclamada, que tanto la llamada objeto de la reclamación como los tratamientos de datos previos a la misma fueron realizados por SEVERAL en calidad de Responsable del Tratamiento independiente y que la recogida de datos directamente de la interesada la realizó SEVERAL también en calidad de Responsable del Tratamiento independiente a GESTERNOVA. Sobre esta cuestión, conviene precisar en primer término que nada en el contrato formalizado por Several y Gesternova establece ese reparto de responsabilidades, como bien queda reseñado en el Hecho Probado Segundo, en el que se recogen los aspectos sustanciales del contrato sobre esta cuestión, según los cuales Several actúa como encargada del tratamiento de GESTERNOVA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/47 Por otra parte, hay que señalar, que las Directrices del CEPD 07/2020 del Comité Europeo de Protección de Datos (CEPD), Versión 2.0, adoptadas el 7 de julio de 2021 (en adelante Directrices 07/2020) destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato). Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” Asimismo, las referidas Directrices 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices 07/2020 destacan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” En el presente caso, GESTERNOVA actúa como responsable del tratamiento en tanto que es quien define los fines y medios, de acuerdo con el artículo 4.7 del RGPD. Por su parte, el artículo 4.8 del RGPD entiende por “encargado de tratamiento” “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En este caso, SEVERAL actuaría como encargada del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/47 Las Directrices 07/2020 indican dos condiciones fundamentales para ser considerado encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
17. a)ser un ente independiente del responsable del tratamiento; y
18. b)tratar datos personales por cuenta del responsable.” Ambas condiciones concurren en el supuesto analizado. Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Las referidas Directrices 07/2020 resaltan que nada impide que el encargado del tratamiento (en este caso, SEVERAL) ofrezca un servicio previamente definido: “84. Tal como se ha indicado previamente, nada impide que el encargado del tratamiento ofrezca un servicio previamente definido, pero el responsable del tratamiento debe adoptar la decisión final de aprobar el modo en que se efectuará el tratamiento, al menos en lo relativo a los medios esenciales.” Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula obligaciones concretas para el encargado del tratamiento, directamente exigibles a este. En lo que aquí interesa, estacamos lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. (…) 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
19. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable…; (…)
20. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/47 En relación con lo dispuesto en la letra
21. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. (…)”. El cumplimiento de las obligaciones previstas en el artículo 28 del RGPD no es una obligación meramente formal, sino que tiene un contenido material. En el presente caso, la relación jurídica entre GESTERNOVA y SEVERAL figura en un contrato suscrito entre ambas entidades el día 19 de julio de 2022 y consta en el mismo que GESTERNOVA actúa como responsable del tratamiento y SEVERAL es el encargado del tratamiento. El contrato tiene por objeto la regulación de las condiciones bajo las cuales SEVERAL prestaría servicios de captación de clientes y comercialización de los productos de GESTERNOVA de acuerdo con las instrucciones y protocolos determinadas por esta última, que es quien determina los fines y los medios. En consecuencia, tal y como se ha determinado previamente, de acuerdo con el carácter funcional de los conceptos de responsable y encargado del tratamiento, en relación con los hechos que motivan la presente actuación sancionadora, GESTERNOVA tiene la condición de responsable del tratamiento, mientras que SEVERAL es el encargado del tratamiento. 2. Sobre la legitimación de GESTERNOVA para el envío de la oferta comercial por correo electrónico, y la ausencia de infracción por parte de Contigo Energía del art. 6.1 del RGPD Señala que la grabación de la llamada comercial demuestra que los datos personales de la Reclamante habían sido obtenidos previamente por Several como prestador de un servicio de asesoría energética en el que actúa como Responsable del Tratamiento de los datos de la Reclamante. Indican, que ante la evidencia aportada (por segunda vez) resulta evidente que Contigo Energía estaba legitimado al envío de la oferta comercial, en tanto que Several, durante la ejecución del servicio de asesoría energética que presta a sus clientes (en calidad de Responsable del Tratamiento), obtuvo el permiso/solicitud de la Reclamante para que esta pudiera recibir la oferta comercial a su correo electrónico. Sostiene, que ha quedado acreditado que Contigo Energía envió la oferta comercial, según lo consentido por la interesada, y que resulta de manifiesto el cumplimiento de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de 20 comercio electrónico (en adelante, “LSSI”), la cual es la norma aplicable al envío de comunicaciones comerciales, en tanto que, siguiendo el principio que rige nuestro ordenamiento jurídico de “ley especial desplaza a ley general”, ésta desplaza la aplicación del RGPD. Añade que el hecho de que la reclamante indicara su interés en recibir la oferta comercial de “Gesternova”, así como el hecho de que no resulta de aplicación el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/47 RGPD para este supuesto, comporta que no pueda ser imputable a Contigo Energía ninguna infracción del art. 6 del RGPD, tipificada en el art. 83.5.a del RGPD. En el presente supuesto, tal como reconoce GESTERNOVA en su escrito de contestación a esta Agencia de fecha 5 de julio de 2023, consta acreditado que el día 12 de abril de 2023 se remitió un correo electrónico a la dirección de la reclamante solicitándole la confirmación de sus datos para la formalización de una contratación de suministro de electricidad. Según indica, los datos contenidos en este correo, incluidos nombre, DNI, número de cuenta bancaria y otros identificadores personales, fueron proporcionados por el agente externo SEVERAL. Manifiesta que, tras recibir la reclamación, procedió a requerir a SEVERAL información relativa al origen de los datos de la reclamante y a las circunstancias de la llamada comercial. En respuesta, SEVERAL aportó una transcripción de la conversación telefónica mantenida con la reclamante, argumentando que esta constituía evidencia suficiente de un interés legítimo para contactar con ella. Sin embargo, GESTERNOVA afirma desconocer el origen de los datos de la reclamante sometidos a tratamiento para el envío del correo electrónico antes indicado, no existiendo ninguna evidencia de que tales fueran facilitados por la reclamante y tratados con su consentimiento. Interesa destacar que la reclamante únicamente fue advertida sobre el envío de una oferta. Sostiene que esos datos los recaba SEVERAL que tiene sus propias bases de datos, ignorándose como se obtuvieron los datos de carácter personal de la parte reclamante, sin que conste ninguna evidencia al respecto. Esta circunstancia viene a agravar la responsabilidad de GESTERNOVA en orden a garantizar el cumplimiento de los principios de protección de datos personales. La condición de SEVERAL como encargado del tratamiento al gestionar datos personales a través del sistema web proporcionado por GESTERNOVA manifiesta la responsabilidad de esta última como responsable del tratamiento, ya que dicha relación contractual, regulada por el artículo 28 del RGPD, obliga a GESTERNOVA a supervisar las actividades del encargado y garantizar que los datos tratados cumplan con los principios de licitud y trazabilidad. No consta ningún contacto previo de la reclamante solicitando los servicios de Several, ninguna actuación de Several como responsable, solo una llamada en la que se comenta el envío de una oferta de servicios, que posteriormente y de forma sorpresiva para la reclamante se canalizada a través de los sistemas de Gesternova, materializada en el envío de un correo a la reclamante cumplimentada con los datos de la reclamante que ésta niega haber facilitado. Al permitir el acceso al sistema para la gestión de datos, GESTERNOVA asume un control funcional sobre las operaciones realizadas en su nombre y no puede alegar desconocimiento sobre el origen de los datos incorporados al sistema, siendo su deber implementar mecanismos efectivos para verificar su legitimidad. La propia entidad GESTERNOVA ha manifestado que los agentes de SEVERAL acceden a un sistema proporcionado por aquella con un usuario autorizado, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/47 recoger los datos personales necesarios del solicitante con el fin de gestionar el inicio del proceso de contratación de los productos de suministro energético con GESTERNOVA. Dicho tratamiento, sin estar debidamente legitimado para ello, implica una falta de licitud en el tratamiento de los datos personales de la parte reclamante y, en consecuencia, una presunta vulneración del artículo 6.1 del RGPD. 3. Sobre el cumplimiento de diligencia debida de GESTERNOVA, S.A. al contratar a sus Agentes Comerciales, y la ausencia de infracción del art. 14 del RGPD El artículo 14 del RGPD se refiere a la información que se debe facilitar a los interesados cuando los datos personales no se hayan obtenido de ellos, sino de otras fuentes. El artículo 14 RGPD establece que cuando los datos personales de un interesado no se hayan recogido directamente de él, el responsable del tratamiento debe proporcionar una serie de informaciones esenciales para garantizar la transparencia. Entre ellas, se incluyen la identidad y los datos de contacto del responsable del tratamiento, los fines del tratamiento, la base jurídica, las categorías de los datos tratados, la procedencia de los datos y los derechos que asisten al interesado, entre otros aspectos. Dicho artículo obliga a que esta información deba proporcionarse en un plazo razonable, a más tardar en el plazo de un mes y en el primer contacto con el interesado, o antes de que los datos sean comunicados a un tercero. Tiene como objetivo principal garantizar que los interesados reciban la información necesaria cuando sus datos personales son obtenidos de terceros. Este requisito pretende evitar que los interesados queden en una posición de vulnerabilidad al desconocer cómo, por quién y con qué finalidad se están utilizando sus datos. El artículo 14 asegura que los derechos del interesado no se vean menoscabados por la falta de información, estableciendo que el responsable del tratamiento debe actuar de manera proactiva para proporcionar toda la información relevante en tiempo y forma. En el presente caso, sin embargo, no existe evidencia alguna según la cual los datos personales de la reclamante procedan de una base de datos personales externa a GESTERNOVA, de modo que la imputación de la infracción de este artículo 14 debe archivarse. Lo que sí consta acreditado, como ya se ha indicado, es la incorporación de los datos de la reclamante a los sistemas de información de GESTERNOVA sin que esta entidad haya acreditado haber facilitado a la misma previamente la información prevista en el artículo 13 del RGPD. 4. Sobre las malas prácticas realizadas por Several Señala, que la AEPD no disponía de todos los elementos necesarios para adoptar una decisión informada y la apertura del procedimiento sancionador se ha debido al transcurso del plazo establecido, por lo que el inicio es prematuro e improcedente y ello debe suponer el archivo de las actuaciones y del presente expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/47 Hay que destacar que en el momento que se inició el presente procedimiento sancionador, esta Agencia disponía de los elementos necesarios para iniciar el mismo, dado que ha quedado acreditado que GESTERNOVA en su condición de responsable del tratamiento debe supervisar el tratamiento, lo que incluye la realización de inspecciones y auditorías para comprobar que el encargado cumple con sus obligaciones. Las cuestiones a las que se refiere esta alegación de GESTERNOVA no forman parte de los hechos considerados para fundamentar las infracciones imputadas. 5. Sobre el principio de prevalencia de la ley especial sobre la general, y la aplicación de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico GESTERNOVA señala que el tratamiento datos realizado que consiste en el envío de la oferta comercial por correo electrónico está regulado por lo establecido en la LSSI, siendo que, cualquier infracción vinculada a esta práctica deba ser, en su caso, sancionada por lo establecido en esta ley especial, en tanto en cuanto, ésta desplaza a la aplicación del RGPD, por lo que no resultaría conforme a derecho una sanción fundamentada en una infracción del art. 6 del RGPD en lo que refiere al envío por parte de Contigo Energía de una oferta comercial por correo electrónico. La parte reclamada alega que Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, “LSSI”), es la norma aplicable al envío de comunicaciones comerciales, en tanto que, siguiendo el principio que rige nuestro ordenamiento jurídico de “ley especial desplaza a ley general”, ésta desplaza la aplicación del RGPD. No obstante, esta alegación debe rechazarse por cuanto el indicado correo electrónico no responde al concepto de “comunicación comercial” regulado en la LSSI, en la que se define como “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional”. FINALES. Sobre las circunstancias atenuantes aplicables al procedimiento de referencia. Dejando al margen las cuestiones alegadas por GESTERNOVA relacionadas con el fundamento de las imputaciones y otras alegaciones sustantivas, en base a las que solicita la reducción de los importes de multa propuestos, las cuales no guardan relación con lo establecido en los artículos 83.1 y 2 del RGPD y 76 de la LOPDGDD, dicha entidad considera que las sanciones a imponer deben graduarse atendiendo a los siguientes factores: . Únicamente se ha visto afectado un único interesado persona física; . GESTERNOVA no ha accedido a datos personales de categorías especiales, sino a los estrictamente necesarios para realizar una oferta comercial. . El grado de cooperación con la autoridad de control y las medidas adoptadas para mitigar el daño, por cuanto ha facilitado todo tipo de documentación requerida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/47 Esta última cuestión no puede ser tenida en cuenta en la medida en que contestar a los requerimientos de información enviados desde esta Agencia no es encuadrable en esta circunstancia atenuante. En cuanto a las dos circunstancias primeras, esto es, la afectación a un único interesado y la categoría de los datos personales tratados, nos remitimos a lo expresado en los Fundamentos de Derecho VII y X, en los que se gradúan las multas a imponer por las infracciones de los artículos 6.1 y 13 del RGPD, reduciendo las cuantías de multas determinadas en el acuerdo de apertura del procedimiento. IV Contestación a las alegaciones a la propuesta de resolución Las alegaciones ahora formuladas reproducen, en lo sustancial y en el mismo orden en que fueron expuestas, las ya presentadas en la fase inicial del procedimiento, las cuales fueron expresamente valoradas y contestadas en la propuesta de resolución, por lo que nos remitimos y ratificamos en lo ya manifestado en dicha propuesta, cuyos argumentos constan reproducidos en el Fundamento de Derecho que precede. Sin perjuicio de lo anterior, se estima oportuno realizar determinadas precisiones. 1. Después de una alegación previa, dedicada a exponer brevemente los antecedentes del procedimiento, y una primera alegación relativa a la condición de responsable del tratamiento que GESTERNOVA atribuye a la entidad Several, en las que se reproducen literalmente los mismos apartados contenidos en las alegaciones formuladas a la apertura del procedimiento, GESTERNOVA insiste (
22. i)en la existencia de legitimación para el envío a la reclamante de la comunicación comercial por correo electrónico de la que trae causa el procedimiento, (
23. ii)en la ausencia de infracción del artículo 6 del RGPD, todo ello en base a los mismos argumentos que valoró en sus escritos de alegaciones anteriores y (iii) en las malas prácticas realizadas por Several. Se refiere, en concreto, a la recogida de los datos personales de la reclamante por Several bajo su propia cuenta y riesgo, como prestador de servicios de asesoramiento energético que no actúa como agente exclusivo, los cuales fueron posteriormente comunicados a GESTERNOVA a través del “Área de Agentes”, como un flujo de información realizado de responsable a responsable. Sobre esta base, niega que la llamada a la reclamante se realizase por Several en nombre de GESTERNOVA y añade que esto hubiese podido acreditarse si la AEPD hubiese obtenido la información requerida a la entidad que realizó dicha llamada, la cual está vinculada a Several. Al realizar este planteamiento GESTERNOVA no tiene en cuenta el concreto tratamiento de datos que se sanciona, consistente en el registro de los datos personales de la reclamante en sus propios sistemas de información y en la utilización de esos datos para el envío de un correo electrónico con el propósito de que ésta confirme la contratación de los servicios de suministro de luz que aquella presta. Según ha manifestado GESTERNOVA en su escrito de alegaciones, la confirmación de la solicitud de contratación se realiza de manera directa por medio de un correo electrónico enviado por la propia GESTERNOVA a la dirección de correo facilitada por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/47 el interesado y se solicita la confirmación expresa de su interés en recibir la oferta solicitada. En este caso, este correo de confirmación se remite a la reclamante en fecha del 12/04/2023, a las 18:38 horas, con el asunto "REVISE Y CONFIRME sus datos para contratar electricidad con Gesternova", remitido desde la dirección contratacion@gesternova.com a ***EMAIL.1. En este correo, firmado por el Servicio de Atención al Cliente de GESTERNOVA, se le asignaba un código de solicitud y se incluían todos sus datos personales (entre ellos, su nombre completo, DNI, dirección de correo electrónico y teléfono), datos de suministro (CUPS), datos de instalación (dirección completa y datos de contacto para la gestión -nombre y teléfono de la reclamante), datos de pago (cuatro últimas cifras de la cuenta bancaria para la domiciliación de pagos) y producto contratado (nombre del producto, potencias punta y valle, precio). Previamente al detalle de esa información se indica “A continuación le mostramos un resumen de los datos que nos ha proporcionado durante el proceso de contratación. Para que podamos comenzar a tramitar su solicitud debe confirmar que los siguientes datos son correctos”. Adicionalmente figura el código de agente “***REFERENCIA.1” y el código de contratación “***REFERENCIA.2”. El correo electrónico solicita revisar y confirmar los datos para proceder a la contratación “de luz” con GESTERNOVA. En este correo se indica “Oferta válida durante 3 días (en confirmaciones posteriores a dicho plazo, los precios podrías ser revisados…”. Este concreto tratamiento se realiza en el marco del contrato suscrito por GESTERNOVA con Several, que intervienen bajo la condición de responsable y encargado del tratamiento, respectivamente, según la propia entidad GESTERNOVA ha admitido. Siendo así, corresponde a GESTERNOVA acreditar que dicho tratamiento de datos cumpla las exigencias previstas en el RGPD, conforme a lo establecido en su artículo 5.2, según el cual “el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (Responsabilidad proactiva)”. GESTERNOVA ha manifestado, tanto en su respuesta al trámite de traslado de la reclamación como en su escrito de alegaciones a la apertura del procedimiento que cuando un interesado manifiesta interés por una oferta concreta de GESTERNOVA los agentes pasan a actuar como encargados del tratamiento, accediendo a un sistema proporcionado por aquella con un usuario autorizado, para recoger los datos personales necesarios del solicitante con el fin de gestionar el inicio del proceso de contratación de los productos de suministro energético con GESTERNOVA. Asimismo, manifestó que en el proceso de contratación intervienen dos entidades: primero, la parte reclamada GESTERNOVA en su condición de responsable del tratamiento; segundo, Several en su condición de empresa colaboradora y encargada del tratamiento. El propio contrato suscrito por ambas entidades, de fecha 19/07/2022, en virtud del cual Several se compromete a promover la comercialización, venta, contratación y renovación de los productos ofertados por GESTERNOVA define su objeto en los términos siguientes: “PRIMERA. OBJETO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/47 1.1.- El AGENTE se compromete a promover y concluir en nombre y por cuenta de GESTERNOVA la venta y contratación de sus productos a clientes”. Y se añade: “Para la realización de las actividades objeto de este contrato, el AGENTE deberá acceder a datos de carácter personal responsabilidad de GESTERNOVA (en adelante, los “Datos”). A estos efectos, el AGENTE tendrá la consideración de encargado del tratamiento de GESTERNOVA, comprometiéndose a cumplir las siguientes obligaciones, de acuerdo a la normativa de protección de datos, en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos: 1º. Tratar únicamente los Datos conforme a las instrucciones que le facilite GESTERNOVA, y no aplicarlos a un fin distinto del desarrollo de las actividades objeto del presente contrato. (…) 9º… cualquier recogida de Datos que realice el AGENTE por cuenta de GESTERNOVA se efectuará utilizando los formularios y procedimientos proporcionados por GESTERNOVA, de forma que se garantice que todos los clientes y/o posibles clientes han sido informados y han consentido, en su caso, el tratamiento de sus datos de carácter personal por parte de GESTERNOVA”. Por tanto, no se trata de una comunicación de datos de responsable a responsable, de un flujo de información de Several a GESTERNOVA, ambos interviniendo como responsables, según defiende GESTERNOVA en este trámite, en contra de lo estipulado en el contrato que regula la relación que les vincula y en contra de sus propias manifestaciones. En todo caso, aunque así lo admitiéramos, el tratamiento realizado por GESTERNOVA con la incorporación de los datos a sus sistemas de información sin tener constancia cierta de su origen y la conformidad de la reclamante resultaría igualmente ilícito, no siendo posible admitir que ese tratamiento se hubiese llevado a cabo por GESTERNOVA sin haberse asegurado de que Several disponía del consentimiento para la comunicación de datos y su finalidad. Sobre la existencia de legitimación para el tratamiento de datos personales realizado ilícitamente por GESTERNOVA interesa destacar las cuestiones tratadas en los diversos correos electrónicos que constan reseñados en el Hecho Probado Séptimo, que muestran el interés de GESTERNOVA en conocer y documentar el origen de los datos y la realidad de la contratación supuestamente pretendida por la reclamante, todo ello con motivo de las actuaciones seguidas en esta AEPD con ocasión de la reclamación formulada, sin que conste ninguna comprobación en tal sentido previa al tratamiento de los datos. Incluso, es en fecha 31/05/2023, ya iniciadas actuaciones por esta Agencia, cuando GESTERNOVA se plantea remitir a Several el correo reseñado en el Hecho Probado Octavo para impartirle instrucciones sobre aspectos tan esenciales como el argumentario que debe seguir el agente, la grabación de la conversación telefónica que acredite el consentimiento para la contratación y el tratamiento de datos o la información que debe facilitarse al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/47 2. Alega nuevamente GESTERNOVA que resulta de aplicación al presente caso el régimen previsto en la LSSI, por el principio de prevalencia de la ley especial sobre la general. Sobre esta cuestión, GESTERNOVA, una vez más, se limita a reproducir literalmente los argumentos contenidos en su escrito de alegaciones a la apertura del procedimiento, añadiendo únicamente que la AEPD no ha explicado por qué el correo electrónico remitido a la reclamante no responde al concepto de comunicación comercial según la definición contenida en dicha norma, que no se limita a actos publicitarios e incluye cualquier acto vinculado a la promoción o venta de productos y servicios Sin embargo, en este caso, el correo electrónico en cuestión nada tiene que ver con la promoción de la imagen o servicios de una empresa que lleva a cabo una actividad comercial, en el sentido expresado en la definición de comunicación comercial recogida en la LSSI, ya reseñada en el Fundamento de Derecho anterior. No se trata en este caso del envío de una comunicación comercial, sino del registro de los datos en el sistema de información de GESTERNOVA y el uso de tales datos para enviar un correo de confirmación de una supuesta contratación de suministro eléctrico, cuya naturaleza se ajusta a la de una actuación contractual o precontractual, tal y como refiere la misma GESTERNOVA en los correos electrónicos reseñados en los hechos probados. Siendo así, el presente procedimiento no trata de un supuesto regulado por la LSSI, que no resulta, por tanto, de aplicación. 3. Sobre la adopción de medidas Señala GESTERNOVA que ha decidido actualizar los contratos con todos sus agentes y que ha modificado la cláusula de protección de datos a incluir en dichos contratos, si bien nada ha acreditado sobre la efectiva implantación de nuevas medidas y el alcance de las mismas. 4. Finalmente, interesa a esta AEPD destacar que GESTERNOVA, en su escrito de alegaciones a la propuesta de resolución, nada alega respecto de los criterios valorados para la determinación de los importes de la multa propuestos, que esta resolución toma por válidos, salvo su revisión por aplicación del régimen sancionador previsto en la LSSI, la cual, según se ha concluido anteriormente, no es aplicable en este caso. V Obligación incumplida: infracción del artículo 6.1 del RGPD El tratamiento llevado a cabo podría ser constitutivo de una infracción del artículo 6.1 del RGPD, Licitud del tratamiento, que dispone: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
24. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/47
25. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
26. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
27. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
28. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
29. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
30. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. El Considerando 40 de la RGPD, dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» El tratamiento de datos de carácter personal requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, de las manifestaciones de las partes y de la documentación aportada al expediente se desprende que GESTERNOVA, el día 12 de abril de 2023, envío a la dirección de correo electrónico de la reclamante ***EMAIL.1 un correo electrónico de confirmación de datos para la verificación del inicio de la contratación del producto "***PRODUCTO.1" de suministro de energía, correo que contiene la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/47 identificación del agente ("***REFERENCIA.1"), y los datos personales de la reclamante que constan reseñados en el Hecho Probado Cuarto, entre ellos el nombre, DNI, teléfono, email, CUPS, dirección, últimos cuatro dígitos de la cuenta bancaria. Pues bien, en el proceso de contratación intervienen dos entidades: primero, la parte reclamada GESTERNOVA en su condición de responsable del tratamiento; segundo, Several en su condición de empresa colaboradora y encargada del tratamiento. En cuanto al modus operandi de la contratación, de las actuaciones de investigación se desprende que el mismo se lleva a cabo de la siguiente forma: - - El agente contacta con el/los posible/s cliente/s informando/les de la/s oferta/s, lo que se conoce como llamadas de captación. Posteriormente, la confirmación de la solicitud de contratación se realiza por Several a través de los aplicativos de GESTERNOVA por medio de un correo electrónico enviado a la dirección de correo facilitada por el interesado en el que se solicita la confirmación expresa de su interés en recibir la oferta solicitada. Several interviene bajo la condición de encargada del tratamiento, en nombre y por cuenta de GESTERNOVA. por último, se le envía el contrato a fin de que sea firmado con la nueva comercializadora. De conformidad con lo señalado en el proceso de contratación llevado a cabo, por GESTERNOVA afirma desconocer de donde salieron los datos de la reclamante incluidos en el correo electrónico en el que se le envía la oferta. Sostiene GESTERNOVA que esos datos los recaba Several, que tiene sus propias bases de datos, y que ignora como se obtuvieron. Sin embargo, dicha afirmación no se corresponde con la manifestación que realizó Several, según la cual “Several actúa como encargado de tratamiento en la solicitud a partir de la aportación de los datos para la generación de nuevas ofertas, así como renovaciones y oferta de productos a clientes ya existentes adicionales al suministro eléctrico de Gesternova. Esta prestación de servicios es realizada desde el servicio Web que Gesternova pone a su disposición para que pueda facilitar y/o acceder a los datos necesarios para gestionar la contratación o renovación de productos por parte de clientes de Gesternova. Adjuntamos a este escrito copia del contrato de prestación de servicios entre Gesternova y Several” La condición de SEVERAL como encargado del tratamiento al gestionar datos personales a través del sistema web proporcionado por GESTERNOVA manifiesta la responsabilidad de esta última como responsable del tratamiento, ya que dicha relación contractual, regulada por el artículo 28 del RGPD, obliga a GESTERNOVA a supervisar las actividades del encargado y garantizar que los datos tratados cumplan con los principios de licitud y trazabilidad. Al permitir el acceso al sistema para la gestión de datos, GESTERNOVA asume un control funcional sobre las operaciones realizadas en su nombre y no puede alegar desconocimiento sobre el origen de los datos incorporados al sistema, siendo su deber implementar mecanismos efectivos para verificar su legitimidad. Ello pone de manifiesto su responsabilidad directa en la gestión de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/47 Dicho tratamiento, sin estar debidamente legitimado para ello, implica una falta de licitud en el tratamiento de los datos personales de la parte reclamante y, en consecuencia, una vulneración del artículo 6.1 del RGPD. Por tanto, se considera que la conducta de la parte reclamada vulnera el principio de licitud consagrado en el artículo 6.1 del RGPD, tipificada en el artículo 83.5
31. a)del RGPD. VI Tipificación y calificación de la infracción del artículo 6.1 del RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
32. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
33. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” VII Propuesta de sanción por la infracción del artículo 6.1 del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/47 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
34. a)a
35. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
36. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
37. b)la intencionalidad o negligencia en la infracción;
38. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
39. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
40. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
41. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
42. g)las categorías de los datos de carácter personal afectados por la infracción;
43. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
44. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
45. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
46. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
47. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
48. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
49. a)El carácter continuado de la infracción.
50. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
51. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
52. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
53. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
54. f)La afectación a los derechos de los menores.
55. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
56. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/47 supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa. Procede cuantificar la sanción a imponer, considerando para ello que la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de GESTERNOVA, que en el ejercicio 2023 ascendió a 631.849.080 euros. En primer término, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2023 a 631.849.080 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 25.273.963 euros. De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la sanción a imponer en el presente caso por la infracción del artículo 6.1 del RGPD de la que se responsabiliza a GESTERNOVA, tipificada en el artículo 83.5.
57. a)del RGPD, se estiman concurrentes los siguientes factores: 1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en consideración las circunstancias siguientes: . Artículo 83.2.
58. a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . Naturaleza de la infracción: El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la disposición infringida afecta a un principio básico del derecho a la protección de datos personales, como es el de licitud y su violación entraña un riesgo importante para los derechos de los interesados. En este caso, la conducta de GESTERNOVA ha provocado, de forma directa, la lesión del bien jurídico protegido por el artículo 6 del RGPD, impidiendo su aplicación efectiva y el objetivo que pretende proteger. . Gravedad de la infracción: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/47 . El alcance del tratamiento: Interesa considerar que GESTERNOVA es una compañía que opera con alcance nacional y que la infracción es consecuencia directa de las debilidades apreciadas en los procesos de gestión de datos personales dispuestos por la propia entidad, por lo que el riesgo que ello conlleva es alto. La relación existente entre la infracción cometida y la asignación de recursos que cabe exigir a GESTERNOVA para impedirla debe analizarse en base al riesgo real y a su ámbito de actuación de alcance nacional. . Número de interesados: La infracción afecta a un único interesado, la parte reclamante. . Artículo 83.2.
59. b)del RGPD: “la intencionalidad o negligencia en la infracción”. Se observa en la conducta de GESTERNOVA una negligencia grave, por incumplimiento del deber de cuidado, más allá de lo que puede considerarse un factor neutro asociado al elemento subjetivo de la culpabilidad. Esta conclusión resulta de elementos objetivos de la conducta de GESTERNOVA, obtenidos en base a todas las circunstancias de hecho que constan detalladas en los Hechos Probados y Fundamentos de Derecho que preceden. Conectado también con el grado de diligencia que GESTERNOVA está obligada a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. . Artículo 83.2.
60. g)del RGPD: “las categorías de los datos de carácter personal afectados por la infracción”. En el tratamiento de datos ilícito se encuentran implicados los datos personales de la parte reclamante (entre ellos, su nombre completo, DNI, dirección de correo electrónico y teléfono), datos de suministro (CUPS), datos de instalación (dirección completa y datos de contacto para la gestión -nombre y teléfono de la reclamante) y datos de pago (cuatro últimas cifras de la cuenta bancaria para la domiciliación de pagos). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/47 2. Se considera el siguiente factor de graduación en calidad de agravante: . Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra
61. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros, realizados a gran escala y de forma continua. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado su objeto y volumen de negocio, la transcendencia de la conducta objeto de la presente reclamación es innegable. Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en… y su actividad”. A la hora de decidir la imposición de la multa administrativa, esta Agencia toma en consideración esta circunstancia prevista por el legislador. En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del