PS-00502-2024

1/47  Expediente N.º: EXP202306737 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: CONTENIDO ANTECEDENTES..........................................................................................................5 PRIMERO: Con fecha 29 de marzo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a GAOLANIA SERVICIOS, S.L. con NIF B98717457 (en adelante, GAOLANIA SERVICIOS o la parte reclamada).............................................................................5 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a GAOLANIA SERVICIOS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.......................................................6 TERCERO: Con fecha 29 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación.........................................................7 CUARTO: Con fecha 16 de agosto de 2023, la reclamante interpone un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202306737, en el que muestra su disconformidad con la resolución impugnada.............................................................7 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD.............................8 SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad GAOLANIA SERVICIOS es una empresa constituida en el año 2015, y con un volumen de negocios de 172.191.969 euros en el año 2023....................................13 SÉPTIMO: Con fecha 18 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD........................................................13 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/47 OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el 6 de enero de 2025 en el que solicita el archivo del presente procedimiento sancionador y formula, en síntesis, las consideraciones siguientes:................................................................................................................ 14 DÉCIMO: Notificación de la propuesta de resolución...............................................14 UNDÉCIMO: Alegaciones a la propuesta de resolución...........................................14 HECHOS PROBADOS................................................................................................15 PRIMERO: La parte reclamante era titular de un contrato de electricidad con ***EMPRESA.1, con número de CUPS ***REFERENCIA.1 y dirección de suministro “***DIRECCIÓN.1”, según consta en la factura enviada por ***EMPRESA.1 el 4 de enero de 2023 a su correo electrónico, aportada junto con la reclamación..............15 SEGUNDO: El 26 de enero de 2023 se produjo un cambio de titularidad y de suministradora del contrato de energía eléctrica de la reclamante, a favor de GAOLANIA, tal y como indicó la propia GAOLANIA en su escrito de 14 de junio de 2023, de respuesta al traslado de la reclamación.....................................................15 TERCERO: De acuerdo a lo indicado en el escrito de GAOLANIA de 14 de junio de 2023, “El departamento de calidad de ***EMPRESA.2 realiza una llamada de verificación de datos, el día 27 de enero de 2023, (…) en la que se confirma que [el interlocutor] proporciona un CUPS distinto al aportado inicialmente, según grabación con Referencia “2_Llamada de catas calidad ***EMPRESA.2” concretamente en el minuto 7 y 31 segundos:..........................................................................................16 CUARTO: Según indica la reclamante en correo electrónico enviado el 28 de enero de 2023 a ***EMAIL.1, cuya copia se acompaña a la reclamación, el 27 de enero de 2023 a las 10:23hs recibió un SMS de ***EMPRESA.1 en su móvil con el siguiente texto: “Info ***EMPRESA.1: Su distribuidora ha aceptado el cambio de comercializador solicitado por usted, lo que implica la baja con ***EMPRESA.1. Info en ***TELÉFONO.1”.................................................................................................16 QUINTO: El 30 de enero de 2023 la reclamante envió un correo electrónico a ***EMAIL.3, cuya copia se acompaña a la reclamación, con el asunto “Solicitud de desistimiento CUPS: ***REFERENCIA.1” y el siguiente contenido: “(…) les confirmo que han cometido un error al comunicar a ***EMPRESA.1 el cambio de titularidad y de compañía suministradora (pasando a ser ustedes) de la vivienda sita en ***DIRECCIÓN.1. La titular del suministro de esa vivienda continúa siendo mi madre, A.A.A., que reside en dicha vivienda. ELLA NUNCA HA SOLICITADO CAMBIO DE TITULARIDAD NI DE COMPAÑÍA COMERCIALIZADORA DE ENERGÍA ELÉCTRICA, y desea mantener el contrato suscrito con ***EMPRESA.1. Acogiéndonos al periodo de desistimiento, rogamos comuniquen a ***EMPRESA.1 que A.A.A. desea mantener el mismo contrato con ***EMPRESA.1, correspondiente a la CUPS: ***REFERENCIA.1. (…)”.......................................................................17 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/47 SEXTO: El 3 de febrero de 2023 se envió un correo a la reclamante desde ***EMAIL.2, cuya copia se acompaña a la reclamación, con el siguiente contenido: “Buenas tardes, Tras conversación mantenida le confirmo que esta solicitado la reposición ya que por parte de la distribuidora ha venido rechazada se ha solicitado de nuevo. Estamos a la espera de que se autorice la reposición.”...........................17 SÉPTIMO: El 9 de febrero de 2023 el reclamante envió un correo electrónico a ***EMAIL.2 y ***EMAIL.3, cuya copia se acompaña a la reclamación, con el asunto “CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “(…) Nosotros nunca hemos solicitado cambio de titularidad ni de comercializadora. Nuestros datos son: Titular (antes de que ustedes lo cambiaran): A.A.A., con DNI ***NIF.1. Domicilio donde se suministra la electricidad: ***DIRECCIÓN.1. CUPS: ***REFERENCIA.1. Aunque nosotros no deberíamos solicitar desistimiento de algo que no hemos realizado, lo cierto es que hoy cumple el plazo de 14 días en el que se puede ejercer el derecho de desistimiento. En este caso sería REPOSICIÓN de titular y comercializadora. La comercializadora ***EMPRESA.1 nos dice que si ustedes no solicitan la reposición, ésta no podrá producirse. No tenemos constancia de que GAOLANIA SERVICIOS, S.L. haya solicitado realmente la reposición, a pesar de las reiteradas solicitudes que les hemos hecho por escrito y por teléfono. Por favor, B.B.B., ruego nos remita copia de la solicitud de reposición que hayan dirigido a la Distribuidora i-DE, Redes Eléctricas Inteligentes, S.A.U., y póngase en contacto conmigo hoy mismo para informarme de lo que está sucediendo. (…)”...................................................................................17 OCTAVO: El 9 de febrero de 2023 se envió un correo electrónico a la reclamante, cuya copia se acompaña a la reclamación, desde ***EMAIL.2, con el asunto “CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “Buenas tardes, Hemos solicitado de nuevo a la distribuidora el dia 06/02/23 la reposición de su contrato. Los numeros de solicitud son ***REFERENCIA.2 y ***REFERENCIA.3 Un saludo.”..............................................17 NOVENO: El 10 de febrero de 2023 se envió un correo electrónico a la reclamante, cuya copia se acompaña a la reclamación, desde ***EMAIL.4, con el asunto “[REF_***REFERENCIA.4] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “Buenas tardes: La reposición de su suministro con CUPS ***REFERENCIA.1 ha sido solicitada y estamos a la espera de respuesta por parte de ***EMPRESA.1 DISTRIBUCIÓN ELÉCTRICA S.A. Le mantendremos informada.”......................................................................................18 DÉCIMO: El 3 de marzo de 2023 la reclamante envió un correo electrónico, cuya copia se acompaña a la reclamación, a ***EMAIL.3, con el asunto “[REF_***REFERENCIA.5] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “Buenas tardes: El pasado 26/02/2023 GAOLANIA SERVICIOS, S.L. solicitó a i-DE el cambio de titularidad y de comercializadora introduciendo por error el nº de CUPS ***REFERENCIA.1, que corresponde a nuestro suministro en ***DIRECCIÓN.1. Al notificarnos ***EMPRESA.1 que se habían producido tales cambios de titularidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/47 comercializadora, reclamamos a GAOLANIA que subsanase inmediatamente dichos errores, para que el servicio volviera al mismo punto en el que se encontraba antes de su intervención. Aunque GAOLANIA nos comunica que reiteradamente han solicitado la reposición del servicio, ***EMPRESA.1 insiste en que NO HAN RECIBIDO DICHAS SOLICITUDES DE GAOLANIA, Y QUE YA LES HAN COMUNICADO A GAOLANIA CÓMO DEBEN PROCEDER. NO ENTIENDEN PORQUÉ GAOLANIA NO CONTESTA CON LOS DOCUMENTOS QUE LES INDICAN (C1-08 o C2-08). En el correo del pasado 27/02 se le indicó a GAOLANIA el procedimiento a seguir para solicitar la reposición del suministro.”......................18 UNDÉCIMO: El 7 de marzo de 2023 se envió un correo a la reclamante, cuya copia se acompaña a la reclamación, desde ***EMAIL.4, con el asunto: “[REF_***REFERENCIA.5] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “Buenos días, Le informamos que la reposición ha sido solicitada, tal y como nos ha solicitado.”.....................................18 DÉCIMO SEGUNDO: El 14 de junio de 2023 se envió un correo a la reclamante, cuya copia se acompaña al escrito de GAOLANIA de 14 de junio de 2023, desde ***EMAIL.5, con el asunto “DISCULPAS DE CALIDAD ***EMPRESA.2” y el siguiente contenido: “Sirva el presente email para reiterarles nuestras más sinceras disculpas por parte del Dpto. de Calidad de ***EMPRESA.2. Lamentamos enormemente la situación vivida que les ha causado el dictado erróneo del CUPS por parte de un cliente nuestro. Tengan la certeza de que se están tomando las medidas oportunas para evitar que casos similares se vuelvan a producir. Reciban un cordial saludo y estamos a su disposición”........................................................................................18 DÉCIMO TERCERO: El 14 de junio de 2023 se envió un correo a varios destinatarios del dominio ***DOMINIO.1, cuya copia se acompaña al escrito de GAOLANIA de 14 de junio de 2023, con el asunto “SIEMPRE verificar antes de lanzar contrato a distribuidora” y el siguiente contenido: “Buenos días equipo de verificación, Os recuerdo que es PRIORITARIO que, cuando se haga la verificación de datos con un cliente sobre su contrato, esta se realice ANTES de que el contrato sea lanzado para tramitar a la Distribuidora, tal y como se explica en la operativa del departamento. Saludos.”..........................................................................................18 FUNDAMENTOS DE DERECHO.................................................................................19 I Competencia......................................................................................................19 II Cuestiones previas............................................................................................19 III Obligación incumplida. Exactitud......................................................................20 IV Sobre el cambio de calificación jurídica efectuado en el trámite de propuesta de resolución y las alegaciones aducidas al acuerdo de inicio..................................24 V Alegaciones a la propuesta de resolución.........................................................24 PRIMERA: Relativa a la vulneración del principio de exactitud del tratamiento de datos del artículo 5.1 RGPD.................................................................................24 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/47 SEGUNDA: Análisis de las circunstancias que gradúan la sanción. La propuesta de resolución omite todas aquellas circunstancias que atenúan la responsabilidad del responsable de tratamiento.............................................................................30 TERCERA: El agravante valorado por la propuesta de resolución ya ha sido incluido para valorar la infracción..........................................................................40 CUARTA: Adopción de nuevas medidas internas adicionales...............................41 VI Tipificación de la infracción y calificación a los efectos de la prescripción........42 VII Sanción que se acuerda imponer a GAOLANIA..............................................43 ANTECEDENTES PRIMERO: Con fecha 29 de marzo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a GAOLANIA SERVICIOS, S.L. con NIF B98717457 (en adelante, GAOLANIA SERVICIOS o la parte reclamada). Los hechos que se pusieron en conocimiento de esta autoridad eran: Quien reclama manifestó que, teniendo contrato de suministro de electricidad con la empresa comercializadora ***EMPRESA.1 y siendo su distribuidora ***EMPRESA.3, tuvo conocimiento de que la entidad GAOLANIA SERVICIOS había solicitado el cambio de titularidad de su suministro y el cambio a la comercializadora GAOLANIA SERVICIOS, sin su consentimiento. Junto al escrito, se aportó: - Correo electrónico enviado a ***EMPRESA.1 por quien reclama en fecha 28 de enero de 2023, indicando que el 27 de enero de 2023 recibió un mensaje de texto en el que ***EMPRESA.1 le informaba de la baja con ellos tras aceptarse la solicitud de cambio de comercializadora, y señalando quien reclama que no había solicitado dicho cambio. - Correos electrónicos enviados a quien reclama por ***EMPRESA.1 en respuesta al correo anterior, en fechas 28 y 30 de enero de 2023, indicando lo siguiente: “1) no podemos ponernos en contacto con usted para comunicarlo , ya que la misma ley de protección de datos nos impide la consulta de sus datos sin su consentimiento 2) No podemos ejercer ningún tipo de fuerza a la hora de retener un contrato dada la legislación vigente, la cual nos obliga a ceder los datos a otra compañía a petición expresa de la distribuidora empresa responsable de la supervisión y el mantenimiento del suministro. En este caso ***EMPRESA.4. Si se ha producido un cambio de compañía sin su consentimiento, ha de acudir a la empresa encargada de realizar el cambio y presentar la reclamación pertinente con ellos, dado que en caso de solventarse dentro de los 14 días que se establece para un desistimiento, su contratación volvería con nosotros” (sic). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/47 - Correos electrónicos enviados a GAOLANIA SERVICIOS por quien reclama en fechas 30 de enero, 9 de febrero y 3 de marzo de 2023, indicando no haber solicitado contratación alguna de 10 de febrero de 2023, solicitando el desistimiento de los cambios de titularidad y compañía, así como la restitución de su contrato. - Correos electrónicos enviados por GAOLANIA SERVICIOS a quien reclama de fechas 3, 9, 10 de febrero y 7 de marzo, informando de la solicitud de la reposición a su distribuidora ***EMPRESA.3. - Correos electrónicos enviados por quien reclama a ***EMPRESA.3 en fecha 9 de febrero de 2023 solicitando la restitución de la titularidad del suministro a ***EMPRESA.1. - Contestación de ***EMPRESA.3 en fecha 17 de febrero de 2023 indicando lo siguiente: “debemos indicarle que es su comercializadora quien debe registrar de manera correcta cualquier tipo de modificación junto con la documentación acreditativa en los contratos que ellos mismos gestionan, por lo que lamentamos no poder ayudarle en un trámite que excede de nuestra competencia, y para el que no tenemos protocolo ni posibilidad técnica” (sic). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a GAOLANIA SERVICIOS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 14 de junio de 2023 se recibe en esta Agencia escrito de respuesta de GAOLANIA SERVICIOS, manifestando lo siguiente: 1. Que la solicitud de cambio de comercializadora a favor de GAOLANIA SERVICIOS fue gestionada por llamada telefónica en que una tercera persona (cliente de la entidad) informó el Código Universal de Punto de Suministro (CUPS), dato indispensable para llevar a cabo el cambio de comercializadora ante la distribuidora. Como prueba documental se ha adjuntado transcripción de la conversación mantenida aportándose su CUPS: (…). 2. Que en la llamada realizada por el responsable a la mencionada tercera persona (cliente) realizada 24 horas después, para la verificación de datos, se proporciona un CUPS distinto: (…). 3. Que paralelamente por el responsable del tratamiento se gestiona el cambio de comercializadora a través de la empresa distribuidora. Si bien una vez detectado el error: "se dirige de nuevo a la distribuidora para anular el cambio". 4. Casualmente el CUPS dictado erróneamente pertenece a otra vivienda (por lo que la entidad distribuidora pudo admitirlo a trámite); viéndose afectada la propietaria de esta vivienda (la reclamante). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/47 5. Que se concluye que los hechos que han dado lugar a la reclamación derivan de un "error humano del cliente al dictar el número de contador de la vivienda (CUPS)". 6. Que se ha aportado copia de la comunicación remitida tanto a la tercera persona como a la reclamante informando del error producido y de las acciones realizadas para su resolución. TERCERO: Con fecha 29 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. Posteriormente, mediante resolución de fecha 10 de agosto de 2023, se procedió al archivo de la reclamación al entender que la misma había sido atendida y considerarse, en consecuencia, que no procedía la apertura de un procedimiento sancionador. CUARTO: Con fecha 16 de agosto de 2023, la reclamante interpone un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202306737, en el que muestra su disconformidad con la resolución impugnada. Con fecha 13 de febrero de 2024 se dictó resolución estimando el recurso de reposición interpuesto por la reclamante, del cual destaca lo siguiente: “En el presente caso, no se produjo una comprobación adecuada del número de CUPS, sino que, por el contrario, el Departamento Comercial de GAOLANIA SERVICIOS, S.L. procedió a solicitar el cambio de comercializadora a ***EMPRESA.1 el 27 de enero, antes de que se produjera de forma efectiva la verificación de datos. Por tanto, se utilizó el CUPS correspondiente al domicilio de la parte recurrente (***DIRECCIÓN.1), que era ajena a la contratación, y no el correspondiente al que aparecía en el contrato firmado por tercero (***DIRECCIÓN.2), completamente distinto. No se produjo comprobación alguna de que el CUPS correspondiese al contrato, ni mediante la dirección ni mediante la llamada de verificación que GAOLANIA SERVICIOS, S.L. afirma haber realizado, sino que se tramitó el cambio directamente, ocasionando un perjuicio a la parte recurrente, ajena a la contratación que se estaba realizando. Por tanto, en el presente caso, procede la estimación del recurso interpuesto.” QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/47 Se comprobó que GAOLANIA ha aportado en la entrada ***REFERENCIA.7 Anexo 1 con la copia del contrato firmado con la tercera persona de 26/1/2023 con el CUPS de la reclamante, Anexo 2 con copia de la comunicación remitida a la reclamante en fecha 14/6/2023 informando del error producido y Anexo 3 con las instrucciones dirigidas al Departamento de Calidad en igual fecha. Se comprobó que dicho contrato está firmado el 26/1/2023, con anterioridad a la llamada de verificación de los datos de 27/1/2023. Detectado el error, GAOLANIA se dirigió de nuevo a la distribuidora para anular el cambio, como se acredita en los propios documentos aportados por la reclamante (números de solicitud de reposición ***REFERENCIA.2 y ***REFERENCIA.3). Se comprobó en la documentación de la reclamación que estos dos números se correspondían con los números de solicitud aportados por GAOLANIA a la reclamante en correo electrónico de 9/2/2023 comunicándole que han solicitado a la distribuidora el día 6/2/2023 la reposición del contrato. GAOLANIA ha manifestado que: “- Por este responsable se han adoptado una serie de medidas a fin de evitar la repetición de errores similares en el futuro:

1. a)El Dpto. de Calidad realizará llamadas de verificación a los clientes, antes de proceder al cambio de comercializadora, para confirmar que los datos aportados por este son correctos (ver ANEXO 3 de 14/6/2023). Adicionalmente, se está analizando la viabilidad de estas otras:
2. b)Solicitar al cliente foto o copia del documento donde se encuentre el CUPS para que sea corroborado por personal de ***EMPRESA.2.
3. c)Solicitar a todos los clientes una verificación adicional en el momento de la firma del contrato.” Respecto de la respuesta al requerimiento de fecha 8 de mayo de 2024 por GAOLANIA: 1. Se aporta copia del Registro de las Actividades de Tratamiento de datos personales, en lo relativo a las actividades de tratamiento de datos personales realizadas en el contexto de la contratación de servicios con GAOLANIA SERVICIOS S.L., en el ANEXO 1. Se comprueba en la página 11 que para el tratamiento de Clientes el nivel de riesgo identificado es Moderado. El riesgo de suplantación de identidad solo está considerado para los niveles Elevado y Muy elevado. En el caso reclamado, se produce el cambio erróneo de comercializadora y de titular en base a un CUPS erróneo que corresponde a otro titular distinto de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/47 2. Se aporta descripción del procedimiento de cambio de comercializadora a GAOLANIA SERVICIOS S.L. para una persona física particularizando las diferencias en el caso de que se produzca o no un cambio de titularidad. a. Normativa y protocolos vigentes que regulen el procedimiento. “Como normativa aplicable a las partes intervinientes y el proceso de cambio de comercializador, destacamos la Directiva (UE) 2019/944 del Parlamento Europeo y del Consejo, de 5 de junio de 2019, el Real Decreto 1955/2000, de 1 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de energía eléctrica y la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico. Sin embargo, resulta esencial la Resolución de 20 de diciembre de 2016, emitida por la Sala de Supervisión Regulatoria de la CNMC, por la que aprueba los nuevos formatos de los ficheros de intercambio de información entre distribuidores y comercializadores. Esta resolución fue posteriormente modificada en 2019. Esta Resolución establece los procesos entre comercializadora-distribuidora, formatos de intercambio de ficheros y pasos que deben seguirse para ejecutar contrataciones, cambios y desistimientos. Los ficheros de intercambio de información a los que se refiere la resolución indicada son documentos estandarizados, aprobados por la Comisión Nacional de los Mercados y la Competencia, que regulan el flujo de comunicaciones o mensajes entre los agentes afectados para ejecutar un proceso comercial. Estos ficheros definen los procedimientos de comunicación entre distribuidores y comercializadores de luz y gas y se regulan en los anexos I y II, respectivamente, de la citada resolución. Nada tiene que ver la documentación y procesos para dar un alta de punto de suministro respecto a la contratación para el cambio de comercializadora. A su vez, el cambio de comercializadora puede realizarse sin cambios o con cambios de titularidad. Antes de la contratación se solicita a la parte contratante todos los datos necesarios para el proceso de cambio de comercializadora. Recabados los datos por el cliente, se procede al protocolo del fichero A5_29 (Solicitud de información de un punto de suministro previo a la contratación). Este proceso solicita los datos técnicos del punto de suministro que se pretende contratar en tiempo real y lo coteja con los datos facilitados por el potencial cliente. Una vez comprobado, se procede conforme al protocolo correspondiente que permite el intercambio de información entre el comercializador entrante, el comercializador saliente y la distribuidora para un cambio de comercializador o para una activación en un punto de suministro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/47 Estos protocolos son los únicos cauces para realizar los cambios de comercializadora y se realizan en formato electrónico conforme a las previsiones establecidas por la CNMC. La distribuidora verifica los datos y puede pausar la tramitación, cancelar la tramitación o solicitar información adicional si se detecta un error en la tramitación. La empresa distribuidora es la que conoce con exactitud datos de anterior titular-datos CUPS- etc. Finalmente, es la distribuidora la que autoriza el cambio y procede a ejecutar el cambio efectivo en el punto de suministro. Por otro lado, ***EMPRESA.2 establece manuales internos de formación para la utilización correcta de los ficheros de cambio de comercializador. En el presente punto de suministro, ***EMPRESA.2 remitió solicitud con código C2-01 CT (cambio de comercializadora con cambio de titular) en fecha de 26/01/2023:” Se comprueba que aporta copia de pantalla con esa información donde aparece el CUPS terminado en (...) que corresponde al reclamante. Se comprueba que no hay ningún dato relativo a los datos del titular ni a la dirección del punto de suministro. El CUPS es el campo que identifica unívocamente el punto de suministro. “El mismo día ***EMPRESA.2 recibe confirmación de la distribuidora con código C2-02A CT (aceptación del cambio):” Se comprueba que aporta copia de pantalla con esa información donde aparece el CUPS terminado en (...). Se comprueba que no hay ningún dato relativo a los datos del titular ni a la dirección del punto de suministro. b. Identificación de quién puede iniciar la petición del cambio y mecanismos de acreditación de las circunstancias que lo avalen. “Una persona con acceso a los datos del punto de suministro podría tramitar un nuevo contrato bajo su responsabilidad. Todos los datos deben ser facilitados por la parte contratante. El cliente garantiza la veracidad y corrección de los datos facilitados y asume las consecuencias derivadas de los datos erróneos o incorrectos indicados en la petición. El certificado de firma electrónica avanzada acredita el teléfono empleado para la firma y el correo electrónico utilizado para la descarga de los documentos contractuales, junto con la IP empleada para la firma del contrato.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/47 c. Listado de intervinientes que participan en el procedimiento con la descripción de las actuaciones que realiza cada uno. “Según el Anexo I de la Resolución de 20 de diciembre de 2016, emitida por la Sala de Supervisión Regulatoria de la CNMC, intervienen: (
4. i)Comercializador en vigor: Comercializador de energía activo en un punto de suministro. A efectos de desistimiento de contratos, es el comercializador que solicita al distribuidor el desistimiento de una contratación de acceso previa. (
5. ii)Comercializador entrante: Nuevo comercializador que solicita al distribuidor el cambio de comercializador a su favor o un alta de un nuevo suministro. (iii) Comercializador saliente: Comercializador que deja de suministrar al consumidor una vez que el proceso de cambio haya finalizado y sea efectivo el cambio de comercializador. (
6. iv)Distribuidora: Propietaria de la red de distribución en la que se sitúa el punto de suministro, es la encargada del sistema de información de los puntos de suministro, y la encargada de la lectura en los puntos de consumo. Realiza gestiones imprescindibles para la tramitación de las solicitudes de cambio de comercializador. También encontramos sus respectivas definiciones y detalle de sus obligaciones en la Ley del Sector Eléctrico.” d. Especificación de los canales existentes para solicitar el cambio. “El único canal existente y habilitado para solicitar el cambio está detallado en el apartado a. y se recoge expresamente en la Resolución de 20 de diciembre de 2016, emitida por la Sala de Supervisión Regulatoria de la CNMC. La distribuidora y la comercializadora únicamente intercambian información a través de ese canal telemático.” e. Listado de los datos y, en su caso, copia de los documentos que debe aportar el titular del punto de suministro para solicitar el cambio. “Los datos que el cliente debe facilitar para tramitar el contrato son los siguientes: (
7. i)nombre y apellidos (
8. ii)DNI/CIF, (iii) teléfono, (
9. iv)correo electrónico, (
10. v)CUPS (
11. vi)dirección del punto de suministro (calle, número, aclarador, CP), (vii) datos bancarios para domiciliar el pago. La normativa no exige requisitos para remitir copia de documentos para proceder al cambio. Sin embargo, en ocasiones o ante conflictos en cambios de titularidad, se pueden solicitar documentación adicional o facturas anteriores del punto de suministro.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/47 f. En su caso, mecanismos utilizados para acreditar que el cambio de comercializadora sin y con cambio de titularidad ha sido consentido por el titular original del punto de suministro. “No se precisan desde la comercializadora entrante.” g. Listado de evidencias almacenadas para acreditar que el procedimiento se ha seguido correctamente. “***EMPRESA.2 almacena los documentos contractuales, llamadas comerciales producidas en su caso y certificados de firma electrónica avanzada que garanticen la autenticidad de la firma. Por otro lado, el historial de las comunicaciones entre la comercializadoradistribuidora para la tramitación del cambio de comercializadora puede cotejarse a través de los archivos .xml telemáticos que emiten ambas partes.” 3. Evidencias disponibles en atención a las respuestas a las cuestiones precedentes en relación con el cambio de comercializadora y de titularidad relativo al CUPS de electricidad afectado y producido en la fecha indicada, y aún no aportadas.” (…) Se comprueba que el Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, fue modificado por el Real Decreto 1074/2015, de 27 de noviembre, por el que se modifican distintas disposiciones en el sector eléctrico. En el artículo segundo del citado Real Decreto, se aprobó una modificación del artículo 7.2 del Real Decreto 1435/2002, incluyendo que: «En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro […]». Se comprueba que la CNMC aporta en el documento IS/DE/014/21 de 22/12/2022 en su Anexo II “Recomendaciones a comercializadores y distribuidores para reducir la incidencia y mitigar los perjuicios de los cruces de CUPS”, posterior a la fecha de los hechos de 26/1/2023: “A.- Recomendaciones dirigidas a comercializadores para reducir la incidencia de los cruces de CUPS. A continuación, se formulan recomendaciones encaminadas a facilitar el contraste de la información por parte de los comercializadores en caso de detectar inconsistencias, (ya sea a través del propio consumidor, o de la mensajería con el distribuidor por la que recibe información mediante el Formato P0 en electricidad o el A5_29 en gas) o por recibir rechazos en los procesos de cambio de comercializador: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/47 1. Se recomienda proporcionar una formación más adecuada al personal de los Servicios de Atención al Cliente (SAC) de los comercializadores. En particular, en el proceso de contratación para identificar y contrastar la correcta correspondencia de la dirección del punto de suministro con el CUPS y ambos con el titular del CUPS. Asimismo, deben proporcionar al consumidor información precisa y correcta y aconsejarle cómo proceder en estos casos, e igualmente identificar solicitudes posteriores de baja del contrato de acceso cuyo origen pueda ser un “cruce de CUPS”. 2. Recabar en el proceso de contratación si el consumidor afirma ser el titular del punto de suministro en la dirección indicada, y contrastar que es el usuario de justo título. 3. En todo caso, de realizarse un cambio sin modificaciones contractuales (Formatos C1 o A1_02) con rechazo posterior, se deberían comprobar nuevamente los datos con el consumidor contratante en general y, en particular, asegurarse de que la dirección del punto de suministro y el CUPS son correctos, antes del envío de una nueva solicitud de cambio de comercializador con cambio de titular (Formatos C2 o A1_41). […]” (…) Según Gaolania, en la solicitud telefónica de 26/1/2023 de cambio de comercializadora una tercera persona (cliente de la entidad, distinto del reclamante) informó el Código Universal de Punto de Suministro (CUPS), dato indispensable para llevar a cabo el cambio de comercializadora ante la distribuidora. Adjunta transcripción de la conversación mantenida aportándose el CUPS: (...) (que corresponde al reclamante). (…) Gaolania concluye que los hechos derivan de un error humano del cliente al dictar el número de contador de la vivienda (CUPS). SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad GAOLANIA SERVICIOS es una empresa constituida en el año 2015, y con un volumen de negocios de 172.191.969 euros en el año 2023. SÉPTIMO: Con fecha 18 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el 6 de enero de 2025 en el que solicita el archivo del presente procedimiento sancionador y formula, en síntesis, las consideraciones siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/47 - Punto preliminar: el recurso de reposición se dirigía contra otra compañía por motivos ajenos al Acuerdo de inicio del procedimiento sancionador, y no fue notificada su resolución a GAOLANIA SERVICIOS. - Primera alegación: ***EMPRESA.2 no puede verificar la dirección en la base de datos de la distribuidora durante el proceso de contratación. - Segunda alegación: Tratamiento del dato cups facilitado por el cliente y ausencia de infracción del artículo 6.1 del RGPD. Falta de antijuricidad y culpabilidad. Presunción de inocencia. ***EMPRESA.2 actuó de buena fe y con la máxima diligencia posible. - Tercera alegación: Vulneración del principio de proporcionalidad. Falta de graduación de la sanción. Agravantes apreciadas en el acuerdo de incoación y falta de apreciación de circunstancias atenuantes. NOVENO: Propuesta de resolución. Cambio de calificación jurídica. La propuesta de resolución introduce un cambio en la calificación jurídica que el cuerdo de apertura hizo de la conducta de la que se responsabiliza a GAOLANIA SERVICIOS. En la propuesta se estima que la conducta que es objeto de la reclamación no constituye una infracción del artículo 6.1. del RGPD, sino una vulneración del artículo 5.1.
12. d)RGPD, principio de exactitud de los datos (particularmente del dato personal del CUPS que fue objeto de tratamiento). En consecuencia, con fecha 15 de octubre de 2025 se formuló la propuesta de resolución en estos términos: “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a GAOLANIA SERVICIOS, S.L., con NIF B98717457, por una infracción del Artículo 5.1.
13. d)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 30.000 euros.” DÉCIMO: Notificación de la propuesta de resolución. La notificación, efectuada por medios electrónicos conforme a la LPACAP, se pone a disposición de GAOLANIA SERVICIOS en fecha 15 de octubre de 2025, fecha en que la notificación es aceptada por la parte reclamada como obra en el expediente administrativo el documento que acredita ambos extremos. UNDÉCIMO: Alegaciones a la propuesta de resolución. Con fecha 29 de octubre de 2025 la parte reclamada presenta sus alegaciones a la propuesta de resolución. Solicita en ellas que se acuerde el archivo del procedimiento. Subsidiariamente, acuerde la imposición de la medida menos gravosa conforme al artículo 83 del RGPD, imponiendo la sanción en su grado mínimo. GAOLANIA SERVICIOS estructura sus argumentos a través de una alegación preliminar, donde hace una descripción cronológica de los hechos, y cuatro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/47 alegaciones cuyo contenido, en lo esencial, reitera lo ya alegado en su anterior escrito, en concreto: - Primera alegación: Relativa a la vulneración del principio de exactitud del tratamiento de datos del artículo 5.1 RGPD. - Segunda alegación: Análisis de las circunstancias que gradúan la sanción. La propuesta de resolución omite todas aquellas circunstancias que atenúan la responsabilidad del responsable de tratamiento. - Tercera alegación: El agravante valorado por la propuesta de resolución ya ha sido incluido para valorar la infracción. - Cuarta alegación: Adopción de nuevas medidas internas adicionales. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante era titular de un contrato de electricidad con ***EMPRESA.1, con número de CUPS ***REFERENCIA.1 y dirección de suministro “***DIRECCIÓN.1”, según consta en la factura enviada por ***EMPRESA.1 el 4 de enero de 2023 a su correo electrónico, aportada junto con la reclamación. SEGUNDO: El 26 de enero de 2023 se produjo un cambio de titularidad y de suministradora del contrato de energía eléctrica de la reclamante, a favor de GAOLANIA, tal y como indicó la propia GAOLANIA en su escrito de 14 de junio de 2023, de respuesta al traslado de la reclamación. De acuerdo a lo indicado en tal escrito, “según la grabación de voz de la conversación mencionada, con Referencia: “1_Llamada colaborador a Don MEJ” y concretamente en el minuto 1 y 32 segundos, quien llama dicta el número del CUPS a la teleoperadora: Transcripción 1: Teleoperadora: “(…) Ahora bien, de igual manera indicarle que en su domicilio en la ***DIRECCIÓN.2. Indíqueme por favor el número CUPS (…)“ Contestación de [quien llama]: “***REFERENCIA.1 (…)” La grabación de esta llamada se aporta también junto con el escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador. Tal y como indica GAOLANIA en su escrito de 5 de marzo de 2024, “En el presente punto de suministro, ***EMPRESA.2 remitió solicitud con código C2-01 CT (cambio de comercializadora con cambio de titular) en fecha de 26/01/2023”. Se aporta captura de pantalla con tal solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/47 Y “El mismo día ***EMPRESA.2 recibe confirmación de la distribuidora con código C202A CT (aceptación del cambio)”. Se aporta captura de pantalla con tal confirmación. TERCERO: De acuerdo a lo indicado en el escrito de GAOLANIA de 14 de junio de 2023, “El departamento de calidad de ***EMPRESA.2 realiza una llamada de verificación de datos, el día 27 de enero de 2023, (…) en la que se confirma que [el interlocutor] proporciona un CUPS distinto al aportado inicialmente, según grabación con Referencia “2_Llamada de catas calidad ***EMPRESA.2” concretamente en el minuto 7 y 31 segundos: Transcripción 2: Teleoperadora: “(…) y abajo el código CUPS, c, u, p, s, ¿lo ve que empieza por ES y es un número muy largo?“ [Interlocutor]: “¿Ah! Sí, CUPS, si CUPS” Teleoperadora: “Vale pues dígamelo por favor“ [Interlocutor]: “***REFERENCIA.6” Según lo indicado por GAOLANIA en su escrito de 14 de junio de 2023, respecto de cuáles son los hechos reales que motivan la reclamación, “en este caso se corresponden a un error humano del cliente al dictar el número de contador de la vivienda (CUPS) y se confirma que se trata de un caso aislado pues nunca había sucedido algo similar en ocho años desde el nacimiento de ***EMPRESA.2.” CUARTO: Según indica la reclamante en correo electrónico enviado el 28 de enero de 2023 a ***EMAIL.1, cuya copia se acompaña a la reclamación, el 27 de enero de 2023 a las 10:23hs recibió un SMS de ***EMPRESA.1 en su móvil con el siguiente texto: “Info ***EMPRESA.1: Su distribuidora ha aceptado el cambio de comercializador solicitado por usted, lo que implica la baja con ***EMPRESA.1. Info en ***TELÉFONO.1”. Ese mismo día la reclamante contactó con ***EMPRESA.1, indicando que no había solicitado el cambio de comercializador, y se le remitió a la Distribuidora I-DE del GRUPO ***EMPRESA.1, en donde le indicaron que el día anterior se había producido un cambio de titularidad y de suministradora, a favor de GAOLANIA SERVICIOS S.L. Señala también la reclamante que ha presentado una reclamación solicitando el desistimiento de dicha baja. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/47 QUINTO: El 30 de enero de 2023 la reclamante envió un correo electrónico a ***EMAIL.3, cuya copia se acompaña a la reclamación, con el asunto “Solicitud de desistimiento CUPS: ***REFERENCIA.1” y el siguiente contenido: “(…) les confirmo que han cometido un error al comunicar a ***EMPRESA.1 el cambio de titularidad y de compañía suministradora (pasando a ser ustedes) de la vivienda sita en ***DIRECCIÓN.1. La titular del suministro de esa vivienda continúa siendo mi madre, A.A.A., que reside en dicha vivienda. ELLA NUNCA HA SOLICITADO CAMBIO DE TITULARIDAD NI DE COMPAÑÍA COMERCIALIZADORA DE ENERGÍA ELÉCTRICA, y desea mantener el contrato suscrito con ***EMPRESA.1. Acogiéndonos al periodo de desistimiento, rogamos comuniquen a ***EMPRESA.1 que A.A.A. desea mantener el mismo contrato con ***EMPRESA.1, correspondiente a la CUPS: ***REFERENCIA.1. (…)”. SEXTO: El 3 de febrero de 2023 se envió un correo a la reclamante desde ***EMAIL.2, cuya copia se acompaña a la reclamación, con el siguiente contenido: “Buenas tardes, Tras conversación mantenida le confirmo que esta solicitado la reposición ya que por parte de la distribuidora ha venido rechazada se ha solicitado de nuevo. Estamos a la espera de que se autorice la reposición.” SÉPTIMO: El 9 de febrero de 2023 el reclamante envió un correo electrónico a ***EMAIL.2 y ***EMAIL.3, cuya copia se acompaña a la reclamación, con el asunto “CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “(…) Nosotros nunca hemos solicitado cambio de titularidad ni de comercializadora. Nuestros datos son: Titular (antes de que ustedes lo cambiaran): A.A.A., con DNI ***NIF.1. Domicilio donde se suministra la electricidad: ***DIRECCIÓN.1. CUPS: ***REFERENCIA.1. Aunque nosotros no deberíamos solicitar desistimiento de algo que no hemos realizado, lo cierto es que hoy cumple el plazo de 14 días en el que se puede ejercer el derecho de desistimiento. En este caso sería REPOSICIÓN de titular y comercializadora. La comercializadora ***EMPRESA.1 nos dice que si ustedes no solicitan la reposición, ésta no podrá producirse. No tenemos constancia de que GAOLANIA SERVICIOS, S.L. haya solicitado realmente la reposición, a pesar de las reiteradas solicitudes que les hemos hecho por escrito y por teléfono. Por favor, B.B.B., ruego nos remita copia de la solicitud de reposición que hayan dirigido a la Distribuidora i-DE, Redes Eléctricas Inteligentes, S.A.U., y póngase en contacto conmigo hoy mismo para informarme de lo que está sucediendo. (…)” OCTAVO: El 9 de febrero de 2023 se envió un correo electrónico a la reclamante, cuya copia se acompaña a la reclamación, desde ***EMAIL.2, con el asunto “CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “Buenas tardes, Hemos solicitado de nuevo a la distribuidora el dia 06/02/23 la reposición de su contrato. Los números de solicitud son ***REFERENCIA.2 y ***REFERENCIA.3 Un saludo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/47 NOVENO: El 10 de febrero de 2023 se envió un correo electrónico a la reclamante, cuya copia se acompaña a la reclamación, desde ***EMAIL.4, con el asunto “[REF_***REFERENCIA.4] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “Buenas tardes: La reposición de su suministro con CUPS ***REFERENCIA.1 ha sido solicitada y estamos a la espera de respuesta por parte de ***EMPRESA.1 DISTRIBUCIÓN ELÉCTRICA S.A. Le mantendremos informada.” DÉCIMO: El 3 de marzo de 2023 la reclamante envió un correo electrónico, cuya copia se acompaña a la reclamación, a ***EMAIL.3, con el asunto “[REF_***REFERENCIA.5] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “Buenas tardes: El pasado 26/02/2023 GAOLANIA SERVICIOS, S.L. solicitó a i-DE el cambio de titularidad y de comercializadora introduciendo por error el nº de CUPS ***REFERENCIA.1, que corresponde a nuestro suministro en ***DIRECCIÓN.1. Al notificarnos ***EMPRESA.1 que se habían producido tales cambios de titularidad y comercializadora, reclamamos a GAOLANIA que subsanase inmediatamente dichos errores, para que el servicio volviera al mismo punto en el que se encontraba antes de su intervención. Aunque GAOLANIA nos comunica que reiteradamente han solicitado la reposición del servicio, ***EMPRESA.1 insiste en que NO HAN RECIBIDO DICHAS SOLICITUDES DE GAOLANIA, Y QUE YA LES HAN COMUNICADO A GAOLANIA CÓMO DEBEN PROCEDER. NO ENTIENDEN PORQUÉ GAOLANIA NO CONTESTA CON LOS DOCUMENTOS QUE LES INDICAN (C1-08 o C2-08). En el correo del pasado 27/02 se le indicó a GAOLANIA el procedimiento a seguir para solicitar la reposición del suministro.” UNDÉCIMO: El 7 de marzo de 2023 se envió un correo a la reclamante, cuya copia se acompaña a la reclamación, desde ***EMAIL.4, con el asunto: “[REF_***REFERENCIA.5] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente contenido: “Buenos días, Le informamos que la reposición ha sido solicitada, tal y como nos ha solicitado.” DÉCIMO SEGUNDO: El 14 de junio de 2023 se envió un correo a la reclamante, cuya copia se acompaña al escrito de GAOLANIA de 14 de junio de 2023, desde ***EMAIL.5, con el asunto “DISCULPAS DE CALIDAD ***EMPRESA.2” y el siguiente contenido: “Sirva el presente email para reiterarles nuestras más sinceras disculpas por parte del Dpto. de Calidad de ***EMPRESA.2. Lamentamos enormemente la situación vivida que les ha causado el dictado erróneo del CUPS por parte de un cliente nuestro. Tengan la certeza de que se están tomando las medidas oportunas para evitar que casos similares se vuelvan a producir. Reciban un cordial saludo y estamos a su disposición” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/47 DÉCIMO TERCERO: El 14 de junio de 2023 se envió un correo a varios destinatarios del dominio ***DOMINIO.1, cuya copia se acompaña al escrito de GAOLANIA de 14 de junio de 2023, con el asunto “SIEMPRE verificar antes de lanzar contrato a distribuidora” y el siguiente contenido: “Buenos días equipo de verificación, Os recuerdo que es PRIORITARIO que, cuando se haga la verificación de datos con un cliente sobre su contrato, esta se realice ANTES de que el contrato sea lanzado para tramitar a la Distribuidora, tal y como se explica en la operativa del departamento. Saludos.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/47 cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” El artículo 4.7) del RGPD, define «encargado del tratamiento» o «encargado»: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GAOLANIA SERVICIOS realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como: nombre y apellidos, teléfono, dirección y correo electrónico. GAOLANIA SERVICIOS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Exactitud El artículo 5 “Principios relativos al tratamiento” establece: “1. Los datos personales serán: (…)
14. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones indica que: “