← España

PS-00476-2021

1/9  Expediente Nº: PS/00476/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26 de abril de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BASER COMERCIALIZADORA DE REFERENCIA, S.A. con CIF A74251836 (en adelante, la parte reclamada). El motivo en que basa la reclamación es que un tercero ha contactado con la entidad reclamada con la que tiene contratado el suministro de electricidad, solicitando un aumento en la potencia contratada, en base a una supuesta autorización que él no otorgó. Aporta entre otra la siguiente documentación: - Grabación de voz de fecha 3 de febrero de 2021 en la que una mujer llama a la entidad reclamada, reclamando sufrir cortes de luz. Se le solicita identificarse con su DNI a lo que responde si facilita el suyo o el del titular del contrato que es su hermano. Facilita el nombre y apellidos y DNI del titular. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, el 3 de junio de 2021, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 2 de julio de 2021 presentó en la oficina telemática de registro el escrito de alegaciones a la solicitud de información en el procedimiento E/06494/2021, pero que la plataforma habilitada por la AEPD no le permitió incorporar archivos de audio para su defensa, por lo que se adjuntan documentos en formato digital legible, de los cuales se desprende que la entidad reclamada recibió la llamada de una mujer que aseguró vivir en la dirección del suministro, pero que el contrato estaba a nombre de su hermano, por lo que la entidad reclamada tras requerirle el DNI, nombre y apellidos del titular, respondió a las preguntas planteada por esa mujer, relativas a la potencia contratada. La entidad reclamada le informa a su interlocutora que la potencia contratada es de 1,4 KW, a lo que ésta señala que alguien ha cambiado la potencia contratada pues era de 1,8 KW. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 La entidad reclamada le informa que a través de la página web el titular cambió la potencia contratada de 1,8 KW a 1,4 KW en fecha 1 de febrero de 2021. La entidad reclamada le informa que puede hacer nuevamente el cambio de potencia el cual se realiza a requerimiento suyo. Por todo ello, la entidad reclamada manifiesta que el departamento de atención al cliente se ajustó al Protocolo, al solicitar el DNI del titular, el nombre y apellidos, el número de teléfono y dirección de suministro, por lo que no consideró necesario solicitar información adicional prevista en el Protocolo, como la dirección de correo electrónico ni los números de la cuenta o del contrato. TERCERO: Con fecha 20 de septiembre de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite de la reclamación presentada por la parte reclamante. CUARTO: Con fecha 10 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifiesta que ha actuado en todo momento de conformidad con el protocolo que consiste en verificar que el sujeto que llama dispone del nombre, apellidos y DNI del titular del contrato, dirección del punto de suministro, número de teléfono o la dirección de correo electrónico y, en caso de que la persona que llama no disponga de la información correspondiente al número de teléfono o dirección de email, adicionalmente, se le solicitan los cuatro últimos dígitos de la cuenta bancaria en la que esté domiciliado el contrato de suministro respecto del que desea o el número de contrato. Se manifiesta que la persona que llamó conocía perfectamente todos los datos solicitados por lo que superó el Protocolo, siendo por ello considerada representante del titular del contrato y se procedió a gestionar el cambio de potencia solicitado. Se considera que las modificaciones de la potencia contratada de suministro eléctrico en la dirección de suministro se constituyen como “elemento de presión” utilizado por el reclamante para tratar de resolver un conflicto de índole familiar relacionado con la falta de pago del alquiler de la vivienda, por la vía de hecho, y así queda constatado, por la entidad reclamada al aportar laudo arbitral por tales hechos. SEXTO: Con fecha 15 de diciembre el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, así como los documentos aportados por el reclamado en fecha 23 de noviembre de 2021. SEPTIMO: Con fecha 13 de enero de 2022 se formuló propuesta de resolución, proponiendo lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Que por la Directora de la Agencia Española de Protección de Datos se sancione a BASER COMERCIALIZADORA DE REFERENCIA, S.A., con CIF A74251836, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 100.000 euros (cien mil euros). Que por la Directora de la Agencia Española de Protección de Datos se sancione a BASER COMERCIALIZADORA DE REFERENCIA, S.A., con CIF A74251836, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 50.000 euros (cincuenta mil euros). OCTAVO: Notificada la propuesta de resolución, el reclamado presentó escrito de alegaciones en el que, en síntesis, reitera las ya alegadas, incidiendo en que la hermana del denunciante ha actuado como su representante y por tanto, sus actos deben desplegar los mismos efectos que si hubieran sido realizados por el denunciante. De modo que el tratamiento realizado sobre los datos personales del reclamante deberá tener, en todo caso, su base jurídica en la ejecución del contrato, con base en el artículo 6.1.

  1. b)del RGPD, entendiendo que la modificación del contrato, realizada por la hermana del reclamante, al actuar como su representante, ha sido en realidad a instancias del titular del contrato, es decir del reclamante. La entidad reclamada manifiesta además que siguió su protocolo de seguridad y que no está obligada a efectuar ninguna comprobación adicional sobre la existencia y alcance del mandato o representación cuestionados en este supuesto. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante tiene un contrato de suministro de electricidad con la entidad reclamada, la cual ha realizado un cambio en las condiciones contractuales (aumento de la potencia contratada) sin contar con su consentimiento. SEGUNDO: La entidad reclamada manifiesta que recibió la llamada de una mujer que aseguró vivir en la dirección del suministro, por lo que tras solicitar los datos del titular, procedió a cambiar la potencia contratada. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 II La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en su artículo 4.11 define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En este sentido, el artículo 6.1 de la LOPDGDD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por su parte el artículo 6 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En segundo lugar, para estudiar el correcto protocolo de actuación seguido por la entidad reclamada hemos de acudir al artículo 32 del RGPD “Seguridad del tratamiento”, donde se establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  9. a)la seudonimización y el cifrado de datos personales;
  10. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  11. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  12. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. III En el presente supuesto se denuncia a la entidad reclamada por la modificación de las características de un contrato de suministro celebrado con el reclamante sin contar con su consentimiento. La entidad reclamada ha presentado alegaciones al acuerdo de inicio, así como a la propuesta de resolución, expresando su disconformidad con este procedimiento sancionador, por considerar que ha actuado en todo momento de conformidad con el protocolo, que consiste en verificar que el sujeto que llama dispone del nombre, apellidos y DNI del titular del contrato, dirección del punto de suministro, número de teléfono o la dirección de correo electrónico y, en caso de que la persona que llama no disponga de la información correspondiente al número de teléfono o dirección de email, adicionalmente, se le solicitan los cuatro últimos dígitos de la cuenta bancaria en la que esté domiciliado el contrato de suministro respecto del que desea o el número de contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 En este caso concreto siguiendo el protocolo establecido por la entidad reclamada, se solicitó el DNI del titular, el nombre y apellidos, el número de teléfono y dirección de suministro. En este sentido, ha de considerarse que el protocolo de la entidad reclamada, no alcanza los niveles de seguridad exigidos para garantizar que el tratamiento de los datos personales sea acorde a la normativa de protección de datos, ya que los datos requeridos por la entidad reclamada en su protocolo de seguridad son datos (DNI, nombre y apellidos, teléfono y dirección) que podrían estar al alcance de terceros. Ha de indicarse que conocer el DNI del titular, el nombre y apellidos, el número de teléfono y dirección de suministro, para la hermana del reclamante a la que este le ha arrendado la vivienda objeto del suministro, no puede conllevar a la presunción de representación, ya que su relación familiar y contractual le permite conocer tales datos, sin necesidad de que implique un consentimiento del titular del contrato de suministro para llevar a cabo su modificación. Así las cosas, se ofrecen indicios evidentes de dos circunstancias claras:  La entidad reclamada ha vulnerado el artículo 32 del RGPD, por no disponer de un protocolo de seguridad adecuado que permita constatar que se está actuando en representación del reclamante, ya que su protocolo de seguridad exige DNI del titular, el nombre y apellidos, el número de teléfono y dirección de suministro, datos que pueden estar al alcance de terceros sin que su conocimiento implique que se está actuando en nombre del titular del contrato.  La entidad reclamada, al no tener un protocolo de seguridad adecuado, ha modificado la potencia contratada sin contar con el consentimiento de su titular, es decir, del reclamante, lo cual supone una infracción del art. 6 del RGPD. IV El artículo 72.1
  13. b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y en particular, las siguientes:
  14. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” El artículo 73 de la LOPDGDD, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
  15. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  16. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  17. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  18. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; Así las cosas, en atención a lo que resulte de la instrucción, se podrá ordenar a la parte reclamada que en el plazo designado proceda a realizar las actuaciones necesarias para que el tratamiento de los datos personales utilizados se ajuste a las disposiciones del RGPD. VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD, considerando como agravantes:  La negligencia del reclamado al modificar el contrato celebrado con el reclamante (artículo 83.2 b), sin tener la certeza de que la persona que llamó solicitando el cambio representaba al titular del suministro, ya que los datos exigidos en su protocolo podrían estar al alcance de cualquier tercero.  La vinculación de la actividad del infractor con la realización de tratamiento de datos personales art. 76.2.
  19. b)LOPDGDD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a BASER COMERCIALIZADORA DE REFERENCIA, S.A., con CIF A74251836, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 100.000 euros (cien mil euros). SEGUNDO: IMPONER a BASER COMERCIALIZADORA DE REFERENCIA, S.A., con CIF A74251836, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una multa de 50.000 euros (cincuenta mil euros). TERCERO: NOTIFICAR la presente resolución a BASER COMERCIALIZADORA DE REFERENCIA, S.A.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  20. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  21. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.