← España

PS-00508-2022

1/28 Expediente Nº: EXP202102778 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 31 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FACTOR ENERGÍA, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202102778 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de agosto de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FACTOR ENERGÍA, S.A. con NIF A61893871 (en adelante, FACTOR ENERGIA). Los motivos en que basa la reclamación son los siguientes: -La parte reclamante ha recibido un mensaje publicitario por vía postal, procedente de FACTOR ENERGÍA, donde se dirigen a él por su nombre y apellidos, y le hacen una recomendación personalizada en base a las características de su punto de suministro y de sus hábitos de consumo. - Considerando que la compañía anunciante está tratando de forma ilegal sus datos, ya que él no guarda ninguna relación con la misma, el afectado se ha puesto en contacto con ella para solicitar información, y su Delegado de Protección de Datos le ha contestado que los datos proceden del Sistema de Información de Puntos de Suministro (SIPS). Éste, según le han explicado, es la base de datos que las empresas distribuidoras de energía eléctrica y gas natural ponen a disposición de las empresas comercializadoras, a los efectos de poder realizar ofertas en el mercado. - Según ha podido averiguar de Internet, la parte reclamante explica que el sistema SIPS viene regulado en el Real Decreto 1435/2002 y el intercambio de información que tiene lugar en su contexto lo gestiona la Comisión Nacional de los Mercados y la Competencia (CNMC). Este organismo ha asegurado por escrito al afectado que no dispone de los datos de usuarios de electricidad desde que, con fecha 27 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/28 noviembre de 2015, se aprobó el Real Decreto 1074/2015, que modificaba distintas disposiciones en el sector eléctrico. Dicho decreto incorporó la prohibición de que las empresas comercializadoras y la CNMC pudieran acceder a cualquier información que directamente identificara al titular del punto de suministro. -La parte reclamante sigue estimando que se está produciendo un tratamiento ilegal de sus datos personales. O bien la empresa los está obteniendo de otra fuente, o bien los está extrayendo del SIPS, pero, si es así, ni su empresa distribuidora debería proporcionar estos datos, ni la CNMC consultarlos, y tampoco las demás empresas distribuidoras deberían de poder acceder a ellos para ningún tratamiento, mucho menos para acciones comerciales. Junto a la notificación se aporta: -Anverso de una comunicación comercial enviada por FACTORENERGIA, con su traducción al castellano, en la que se observan recuadros en color rojo que corresponderían a datos anonimizados. -Correo electrónico enviado desde la dirección: DPO@factorenergia.com que incluye una hoja de cálculo con datos anonimizados. -Correo electrónico que la parte reclamante envió a la Comisión Nacional del Mercado, y respuesta del Delegado de Protección de Datos, desde la dirección dpd@cnmc.es SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a FACTOR ENERGIA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04/10/2021, como consta en el acuse de recibo que obra en el expediente. Con fecha 05/10/2021 se recibe en esta Agencia escrito de respuesta indicando que se ha recibido notificación con traslado de reclamación y solicitud de información, pero no se adjunta copia de la reclamación presentada y documentos anexos (en su caso), sino únicamente un extracto de la información relevante de la misma, y por tanto interesa al derecho de quien suscribe tener acceso y obtener copia completa de dicha reclamación, con el objetivo de poder evacuar el requerimiento de información de la forma más detallada, completa y veraz posible, comprobando la identidad y correcta identificación del reclamante, así como los hechos descritos en la solicitud de información y en la reclamación presentada. TERCERO: Con fecha 4 de noviembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/28 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Documentación relevante aportada por la parte reclamante: - Copia del anverso de una comunicación comercial con encabezado de FACTOR ENERGIA. Escrita en catalán, se encuentra anonimizada (no contiene los datos del destinatario ni referencia a la fecha). La parte reclamante facilita traducción y referencia a la inclusión de las siguientes categorías de datos: nombre, apellidos, dirección del destinatario, dirección del punto de suministro. La comunicación recomienda un tipo de instalación eléctrica de autoconsumo (placas solares) en base a “un estudio de tus datos y hábitos de consumo eléctrico”. - Transcripción de parte de la respuesta al ejercicio del derecho de acceso dirigida por FACTOR ENERGIA a la parte reclamante, fechada el 2 de agosto de

  1. Con respecto al origen de los datos tratados expresa: “[…] sus datos personales, y concretamente los relativos a condiciones técnicas de su punto de subministro, tales como el CUPS (número identificativo del punto de subministro), tarifa de acceso, potencia, etc. (detallados en el Excel adjunto) han estado obtenidos de forma lícita a través del Sistema de Información de Puntos de Subministro (SIPS), que es la base de datos que las empresas distribuidores de energía eléctrica y gas natural ponen a disposición de las empresas comercializadoras, a los efectos de poder realizar ofertas en el mercado. En cuanto a los hábitos de consumo a los que hacemos referencia en la comunicación comercial, tal como indicamos a pie de la misma en el apunte 2, son datos estimados y estandarizados, no específicamente personalizados de acuerdo con las características concretas ni de su hogar ni de sus hábitos concretos de consumo.” - Transcripción de los datos facilitados a la parte reclamante por FACTOR ENERGIA como respuesta al derecho de acceso. No es la hoja de cálculo original, sino el listado de categorías de datos que le habrían sido facilitados. Incluye las categorías nombre, apellidos, y dirección del punto de suministro, además de datos técnicos (tarifa, potencia, etc.). - Correo electrónico de respuesta del DPD de la CNMC a la parte reclamante de fecha 16 de agosto de 2021 que contiene los siguientes párrafos: “En estricto cumplimiento de la normativa de aplicación que usted bien señala, la CNMC no dispone de los datos de usuarios de electricidad desde que con fecha 27 de noviembre de 2015 se aprobó el Real Decreto 1074/2015 por el que se modifican distintas disposiciones en el sector eléctrico. Dicho RD incorporó la prohibición de que las empresas comercializadoras y la CNMC pudieran acceder a cualquier información que directamente identifique al titular del punto de suministro. Por lo tanto, y en el supuesto de que se estuviesen intercambiando datos de este tipo entre empresas del sector, estos datos no provienen en ningún caso de la CNMC. La CNMC sólo dispone de los datos de usuarios finales de gas (BD de puntos de suministro), y las comercializadoras sí que los obtienen legalmente a través de nuestro organismo, pero el uso que hagan de ellos es, lógicamente, responsabilidad suya en exclusiva. No obstante, el usuario puede oponerse a que sus datos sean puestos a disposición de otras comercializadoras de gas indicándoselo expresamente a la compañía que le da suministro.” Los antecedentes que constan en los sistemas de información son los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/28 FACTOR ENERGIA presentó dos escritos (de 5 de octubre de 2021 y de 3 de noviembre de 2021) en los que manifiesta: - Que en julio de 2021 Dª. B.B.B. ejerció el derecho de acceso desde el correo electrónico de la parte reclamante. - Que no se pudo atender con normalidad dicho ejercicio dado que el día 24 de junio de 2021 los sistemas informáticos de FACTOR ENERGIA fueron afectados por un virus que provocó gran impacto al encriptar los sistemas y datos de la compañía. - Que el día 2 de agosto de 2021 se envió respuesta al derecho ejercido, si bien, manifiesta que “la persona que se encargó de dar respuesta a la solicitante fue un empleado en prácticas dado que la fecha coincidía con el periodo vacacional de parte del personal de la compañía, y que tal respuesta adolece de cierta falta de exactitud y/o concreción”. - Que los datos personales relativos a nombre, apellidos, y dirección postal fueron obtenidos de fuentes de acceso público. Añade que no puede concretar la fuente de acceso público como consecuencia de la afectación del virus informático. - Que fueron obtenidos del SIPS de forma lícita los datos relativos a las condiciones técnicas del punto de suministro. Añade que puede descargar el SIPS “de las empresas distribuidoras y la CNMC periódicamente en su calidad de comercializadora y que no incluye los datos personales de la solicitante relativos al nombre y apellidos ni a su dirección postal”. - Que se encuentra todavía (a fecha del escrito -3 de noviembre de 2021-) inmersa en el proceso de recuperación de archivos. Además, adjuntó la siguiente documentación relevante: - Correos electrónicos intercambiados el día 30 de junio de 2021 entre el responsable de informática de FACTOR ENERGIA y el INCIBE en los que se refiere el ataque de ransomware sufrido por la entidad. - Escrito firmado por B.B.B. ejerciendo el derecho de acceso frente a FACTOR ENERGIA el día 2 de julio de 2021 desde la dirección de correo electrónico de la parte reclamante. - Correo electrónico dirigido el día 2 de agosto de 2021 por FACTOR ENERGIA a B.B.B. (a la dirección de correo electrónico de la parte reclamante) en respuesta al ejercicio del derecho de acceso referido en el punto anterior. Facilita copia del original en catalán y traducción al castellano. Incluye los siguientes párrafos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/28 “Por otro lado, queremos aclarar que en ningún caso hemos realizado un estudio preciso y exacto con su datos y hábitos de consumo concretos, sino que, tal y como se indicaba al pie de la mencionada comunicación (apunte 2), sus datos son estimados y estandarizados, no personalizados ni calculados según las características concretas ni de su casa, ni de sus hábitos de consumo, en el bien entendido de que nuestra intención era poner de relieve las ventajas que ofrece el autoconsumo fotovoltaico. […] Concretamente, en relación al art. 5.1 a) a que se refiere, en nuestra comunicación se indicaba que sus datos han sido tratados de manera lícita, leal y transparente en todo momento, ya que fueron recogidas de fuentes a las cuales tenemos acceso como comercializadora y de fuentes accesibles al público, cumpliendo con los requisitos exigidos por el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). […] Específicamente, en nuestra web, se indica dentro de las finalidades de tratamiento de datos personales por lo que respecta a ”No clientes", la finalidad siguiente: "Informar sobre servicios, promociones y productos relacionados con nuestra actividad”. […] Sus datos personales, y concretamente los relativos a condiciones técnicas de su punto de suministro, tales como el CUPS (número identificativo del punto de suministro), tarifa de acceso, potencia, etc. (detallados en el Excel adjunto) han sido obtenidos de forma lícita a través del Sistema de información de Puntos de Suministro (SIPS), que es la base de datos que las empresas distribuidoras de energía eléctrica y gas natural ponen a disposición de las empresas comercializadoras, a los efectos de poder realizar ofertas en el mercado. En cuanto a los hábitos de consumo a los cuales hacemos referencia en la comunicación comercial, tal como indicamos al pie de la misma en el apunte 2, son datos estimados y estandarizados, no especialmente personalizados según las características concretas ni de su hogar, ni de sus hábitos concretos de consumo. […] De ser posible, el plazo previsto de conservación de los datos personales, o, de no ser posible, los criterios utilizados para determinar este plazo: mientras usted no ejerza alguno de sus derechos” Refiere asimismo en este escrito la dirección de www.factorenergia.com para consulta de la política de privacidad. internet ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/28 - FACTOR ENERGÍA, S.A. con ***DIRECCIÓN.1 (BARCELONA) NIF A61893871 con domicilio en RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Además de la documentación aludida anteriormente, se recoge información de las siguientes fuentes: - Escrito procedente de FACTOR ENERGIA con fecha de 28 de junio de 2022, en adelante Escrito#
  2. - Escrito procedente de FACTOR ENERGIA con fecha de 19 de julio de 2022, en adelante Escrito#
  3. - Diligencia con información de relevancia para las presentes actuaciones (Diligencia Referencias). Sobre el envío de publicidad postal a personas que no son clientes de FACTOR ENERGIA Manifiesta FACTOR ENERGIA (Escrito#2) que el envío de comunicaciones postales a no clientes no es una práctica frecuente de la compañía, sino que se realiza “en ocasiones y dirigido a un número reducido de destinatarios”. Expresa además que “en la mayoría de las ocasiones los datos son obtenidos de los propios interesados. De forma más residual, y en menor volumen, se ha remitido comunicación comercial por vía postal a no clientes cuyos datos fueron obtenidos de fuentes de acceso público sin restricciones”. Especifica FACTOR ENERGIA (Escrito#2) las condiciones que han de cumplirse para su utilización con fines de mercadotecnia: - “

(1)que el destinatario no haya ejercido anteriormente el derecho de oposición”. - “
(2)que las fuentes a consultar se encuentren actualizadas”. Respecto a este punto aclara FACTOR ENERGIA que estas fuentes de acceso público se corresponden con “repertorios o guías telefónicas cuya consulta puede ser realizada, por cualquier persona y sin restricciones, no impedida por una norma limitativa”. Con fecha 22 de julio de 2022 se dirigió un escrito a FACTOR ENERGIA solicitando concreción en relación estas fuentes de acceso público que utiliza. Al día de firma del presente informe no se ha recibido respuesta al respecto. - “
(3)que se haya consultado el listado de exclusión publicitaria Lista Robinson (a la que estamos suscritos) y comprobar que el interesado al que se le enviará la publicidad no conste en ella”. Sobre esto señala FACTOR ENERGIA que consulta el sistema de exclusión publicitaria de forma previa al envío y adjunta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/28 (documento 1 del Escrito#2) copia de las facturas de suscripción al servicio lista Robinson de Adigital de 2021 y 2022. - “
(4)cumplir con el deber de información al afectado conforme con el RGPD y la LOPDGDD”. Más adelante en el presente informe se detalla la información incluida en las comunicaciones comerciales que, en relación con el origen de los datos personales expresa que “proceden de fuentes obtenidas lícitamente y/o fuentes de acceso público disponibles sin restricciones”. En relación con el volumen de destinatarios de la campaña publicitaria, manifiesta FACTOR ENERGIA (Escrito#2) lo siguiente: “En relación a lo anterior, hacer constar que en el mes de junio de 2021 se hizo una campaña publicitaria por vía postal para dar a conocer las ventajas de incorporar el autoconsumo en el suministro de electricidad. Dentro del grupo de destinatarios había un segmento de la campaña dirigido a clientes (ya clientes de suministro de electricidad, con un modelo de comunicación) y otro grupo de destinatarios dirigido a no clientes […]: Junio 2021: campaña de envío de publicidad del autoconsumo para obtener ahorro en el coste de la luz. Nº de destinatarios: 42.670 destinatarios (en total) En relación a lo anterior, referir que dicha campaña tenía como ámbito territorial la comunidad autónoma de Cataluña (no todo el territorio nacional).” Información consignada en el Registro de Actividades de Tratamiento (RAT): Adjunta FACTOR ENERGIA (documento 1 adjunto al Escrito#1) la información incluida en el Registro de Actividades de Tratamiento (RAT) sobre la “Actividad de gestión de no clientes”. El registro incluye la siguiente información: - Categorías de datos personales: nombre y apellidos, DNI/NIF, dirección/mail, teléfono, CUPS. Incluye la siguiente anotación: “Se incluyen todas las categorías de datos posibles que puede contener según la fuente o lead de contacto.” - Finalidad: captación de nuevos clientes / gestionar y atender solicitudes de información, peticiones u ofertas comerciales, presupuestos, etc. / informar y enviar ofertas sobre servicios, promociones y productos relacionados con nuestra actividad. - Base jurídica: consentimiento del interesado / interés legítimo -siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales-. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/28 El interés legítimo como base jurídica del tratamiento: En relación con la utilización del interés legítimo como base jurídica para el tratamiento de los datos personales de personas que no son clientes con la finalidad de enviarles publicidad por vía postal, facilita FACTOR ENERGIA (documento 3 adjunto al Escrito#1) un informe de ponderación de intereses de fecha 12 de febrero de
  1. Incluye los siguientes párrafos: “2.
  2. Evaluación del beneficio obtenido por Factor Energía Por parte de Factor Energía, el tratamiento de los datos personales de los interesados (potenciales clientes/no clientes) para la finalidad de mercadotecnia directa, anteriormente indicada, pretende alcanzar mediante correo postal a aquellos interesados no clientes con el fin de que conozcan los servicios ofrecidos por Factor Energía, logrando que se encuentren interesados en contratar a Factor Energía como su nueva comercializadora eléctrica. En este sentido, los beneficios que obtiene Factor Energía del tratamiento de dichos datos personales consisten en conseguir:  Un aumento de la contratación de sus servicios;  Una mayor captación de clientes;  Un aumento de visibilidad en el competitivo mercado de las comercializadoras eléctricas. 2.
  3. Evaluación del interés o derechos y libertades del interesado […] La acción de mercadotecnia directa por correo postal que se pretende realizar se hará en base a datos personales obtenidos conforme a la normativa de protección de datos aplicable (datos identificativos y datos de contacto) y con datos estandarizados y anonimizados de carácter técnico. Para poder configurar las distintas ofertas comerciales se tendrán en consideración datos públicos no protegidos obtenidos del Catastro, así como información estadística y no personal de carácter técnico obtenida a través del Sistema de Información de Puntos de Suministro (SIPS) utilizando el código postal de residencia. De este modo se obtendrá información genérica para realizar una estimación estandarizada de la tensión, tarifas y potencias contratadas en determinadas zonas geográficas, que permitirá realizar las comunicaciones publicitarias remitidas por correo postal, pues se considera lógico y apropiado que la publicidad de una comercializadora eléctrica incluya información sobre posible ahorro en el consumo eléctrico. Los datos personales de los interesados tratados con la finalidad de mercadotecnia directa se refieren únicamente a los datos necesarios para enviarles la comunicación por correo postal (datos identificativos y datos de contacto). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/28 El tratamiento no tendrá en ningún caso efectos jurídicos o similares sobre los interesados, ya que la finalidad de mercadotecnia directa por correo postal no afecta al acceso a servicios, ni a la ejecución de un contrato. Desde Factor Energía se considera que el envío de comunicaciones publicitarias por correo postal tiene una afectación mínima sobre los interesados que se verán impactados exclusivamente por un canal de contacto: el correo postal. Dicho canal debe ser considerado un método menos agresivo e invasivo que otros canales utilizados habitualmente para el envío de publicidad, como las llamadas comerciales y/ o el envío de correos electrónicos. Asimismo, este tipo de campañas se prevén como acciones puntuales, que podrá reforzarse con la realización de otras campañas similares posteriores (habiendo transcurrido como mínimo el plazo de seis
(6)meses desde el envío de las comunicaciones de la campaña precedente). En la presente ponderación debe tenerse en cuenta la expectativa razonable de los interesados que se produjera un tratamiento de sus datos personales con esta finalidad. En este sentido, debemos tener en cuenta que es práctica habitual en el mercado enviar publicidad por correo postal a potenciales clientes, sino que además, en atención a los usos del mercado, los interesados son perfectamente conscientes de la posibilidad de que tales comunicaciones puedan aparecer en su buzón y que además pueden resultar beneficiosas o aportar un valor añadido a los interesados en su rol de consumidores en el mercado eléctrico español, ya que tales comunicaciones pueden ser de su interés o ajustarse a sus concretas necesidades, redundando a una mejora de su situación económica al descubrir una comercializadora eléctrica que se ajuste más a sus necesidades. Teniendo en cuenta todo lo anteriormente mencionado, desde Factor Energía no se encuentra en nuestra valoración ningún método alternativo que permita comunicar nuestro interés en ofrecer nuestros servicios y que así mismo nos permita cumplir con nuestras obligaciones legales (informar sobre el tratamiento de los datos personales de los interesados) y con el menor impacto para los interesados. Por todo ello, se considera que el impacto que el tratamiento tiene o podrá tener sobre los intereses, derechos fundamentales y libertades de los interesados es BAJO, y no derivaría en consecuencias adversas y negativas para ellos. 2.3. Garantías aplicadas al tratamiento Desde Factor Energía se tienen implementadas las medidas técnicas y organizativas para realizar el tratamiento manteniendo los estándares de seguridad de la Empresa Entre las garantías aplicadas directamente al tratamiento se encuentran las siguientes:  Factor Energía tiene implementadas medidas de seguridad técnicas y organizativas necesarias para garantizar la integridad, disponibilidad y confidencialidad de la información, habiendo asimismo designado un Delegado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/28 de Protección de Datos, en cumplimiento de lo establecidos en el artículo 37 del RGPD.  Las comunicaciones por correo postal se envían únicamente a interesados que no hayan ejercido su derecho de oposición y que no constan en listas de exclusión publicitaria (Lista Robinson). Aquellos interesados que constan en listas de exclusión publicitaria y/o han ejercido su derecho de oposición ante Factor Energía, no serán destinatarios de campañas publicitarias de ningún tipo.  Las comunicaciones comerciales que reciban los interesados permiten ejercer sus derechos de oposición al envío de publicidad de manera que de forma sencilla y gratuita los interesados pueden informar a Factor Energía que no desean recibir publicidad de la misma.  Estas campañas se prevén como una acción puntual, que podrán reforzarse con la realización de otras campañas similares posteriores, habiendo transcurrido como mínimo el plazo de seis
(6)meses desde el envío de las comunicaciones de la campaña precedente.  Factor Energía refuerza los canales para garantizar el adecuado ejercicio por los interesados de los derechos establecidos en la normativa de protección de datos, estableciendo tanto el cauce postal como el electrónico, sin perjuicio de que, conforme a lo establecido en la normativa de protección de datos, el interesado podrá ejercer sus derechos a través del canal que estime conveniente.  Todas las comunicaciones contienen la información sobre el tratamiento de sus datos personales conforme las exigencias de los artículos 13 o 14 del RGPD. 3. Resultado En base a todo lo expuesto, se determina que Factor Energía puede realizar el tratamiento consistente en el envío por correo postal de comunicaciones publicitarias a potenciales clientes (mercadotecnia directa). Se trata de un tratamiento que repercutirá positivamente sobre Factor Energía y que a su vez supone un impacto bajo a los derechos y libertades de los interesados.” La utilización de los datos del SIPS: Sobre la utilización de los datos del SIPS facilita FACTOR ENERGIA (documento 5 adjunto al Escrito#1) la copia del código de conducta sobre el tratamiento de datos incluidos en el SIPS de fecha 24 de abril de 2019, de la que se extraen los siguientes párrafos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/28 “Concretamente, este RD 1435/2002 contempla la posibilidad de que todos los comercializadores de energía eléctrica accedan a consultar la información disponible en el Sistema de Información de puntos de suministro (SIPS) que gestionan los distribuidores, como encargados de la lectura, y concretamente a ciertos datos allí contenidos. Por tanto, y conforme se desprende de la exposición de motivos del citado RD 1435/2002, el SIPS se configuró como una herramienta para incentivar una mayor competencia en el mercado minorista de electricidad. Con posterioridad, el Real Decreto 1074/2015, de 27 de noviembre, por el que se modifican distintas disposiciones en el sector eléctrico, introdujo algunos cambios en la regulación de la base de datos SIPS de electricidad, modificando parcialmente el art. 7 del Real Decreto 1435/2002, y concretamente eliminando la posibilidad de tener acceso las comercializadoras a ciertos datos de la base de datos SIPS de las distribuidoras y estableciendo la obligación a cargo de los comercializadores de suscribir un código de conducta y garantizar la confidencialidad de la información contenida en dicha base de datos. Por lo que respecta a la regulación del gas natural, el Real Decreto 1434/2002, de 27 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de gas natural (RD 1434/2002) estableció en su art. 43 regulación similar, si bien con algunas diferencias, no viéndose afectado el RD 1434/2002 por las modificaciones del RD 1074/2015. […] La Compañía asume el firme compromiso de cumplir con las siguientes obligaciones: […] - Tratar los Datos SIPS únicamente para los fines propios de la actividad de comercialización (de luz y gas, respectivamente), tanto en relación a clientes potenciales/no clientes como a la gestión de los clientes, independientemente de su tarifa de acceso y régimen concreto aplicable en cada caso (incluyendo los acogidos a autoconsumo en caso de electricidad), no utilizándolos con una finalidad distinta a la que justifica su cesión a la Compañía en su calidad de comercializadora por parte de la correspondiente empresa distribuidora o CNMC.” El artículo 7 del Real Decreto 1435/2002 que regula el contenido del SIPS en el sector eléctrico especifica lo siguiente: “1. Las empresas distribuidoras deben disponer de una base de datos referidos a todos los puntos de suministro conectados a sus redes y a las redes de transporte de su zona, permanentemente completa y actualizada, en la que consten al menos los siguientes datos:
  1. a)Código Universal de Punto de Suministro, esto es, el “CUPS” completo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/28 […]
  2. c)Ubicación del punto de suministro, que incluye dirección completa (tipo de vía, nombre de la vía, número, piso y puerta). Esta información debe referirse en todo momento al punto de suministro y no a la ubicación, población y provincia del titular de dicho punto de suministro que se exige en la letra
  3. aa)de este mismo artículo.
  4. d)Población del punto de suministro, que incluye el nombre de la población y el código postal. Esta información debe referirse en todo momento al punto de suministro y no a la ubicación, población y provincia del titular de dicho punto de suministro.
  5. e)Nombre de la Provincia del punto de suministro. Esta información debe referirse en todo momento al punto de suministro y no a la ubicación, población y provincia del titular de dicho punto de suministro. […]
  6. z)Nombre y apellidos, o en su caso denominación social y forma societaria, del titular del punto de suministro. […]
  7. aa)Dirección completa del titular del punto de suministro. Esta información debe referirse en todo momento al titular del punto de suministro y no a la ubicación, población y provincia de dicho punto de suministro que se exige en la letra
  8. c)de este mismo artículo. […]
  9. ac)Empresa comercializadora que realiza actualmente el suministro […] En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a los datos recogidos en los apartados c),
  10. z)y
  11. aa)del apartado 1. Adicionalmente, las empresas comercializadoras no podrán acceder a la información del apartado ac), quedando accesible para la Comisión Nacional de los Mercados y la Competencia, en el ejercicio de sus funciones.” En relación a la utilización de los datos del SIPS eléctrico al objeto de realizar las comunicaciones comerciales a no clientes, expresa FACTOR ENERGIA que los utiliza para “obtener datos estimados y estandarizados de los hábitos de consumo de la población según las características de los hogares”. Aclara que “no se refieren a datos personalizados ni vinculados a los datos de carácter personal de las personas a quienes se dirigía la comunicación comercial o publicitaria”. Así, facilita (documento 8 adjunto al Escrito#1) una descripción del proceso de estimación que se realiza para adecuar, conjuntamente con los “instaladores”, la oferta de autoconsumo (infraestructura de placas solares, etc.). Para ello, según dispone este documento se utilizan: - Los datos públicos no protegidos del catastro (cartografía y consulta catastral descriptiva y gráfica -superficie, referencia catastral, dirección, clase de suelo, año de construcción-). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/28 Se han obtenido de la sede electrónica del catastro ejemplos de la información a disposición pública. - Información no individualizada (anonimizada) de la base de datos del SIPS de la empresa distribuidora, que permite mediante agregación por código postal, asignar una potencia instalada promedio, potencia contratada promedio, consumo anual promedio estimado a los suministros de una zona determinada, según tipología de suministro. El artículo 43 del Real Decreto 1434/2002 que regula el contenido del “Sistema de intercambio de información para la gestión del cambio de suministrador” en el sector gasista especifica lo siguiente: “2. Las empresas distribuidoras deben disponer como soporte del sistema de intercambio de información de una base de datos referidos a todos los puntos de suministro conectados a sus redes y a las redes de transporte de su zona, permanentemente completa y actualizada, en la que consten al menos los siguientes datos relativos al punto de suministro: 1.º Código de identificación del punto de suministro, esto es, el “CUPS” completo. […] 3.º Ubicación del punto de suministro: dirección, población y provincia, que incluye dirección completa (tipo de vía, nombre de la vía, número, piso y puerta), nombre de la población, código postal y nombre de la provincia. Esta información debe referirse en todo momento al punto de suministro y no a la ubicación, población y provincia del titular de dicho punto de suministro que se exige en el ordinal 16 de este mismo apartado […] 14. Datos relativos al titular del punto de suministro: persona física o persona jurídica. 15. Nombre y apellidos, o en su caso denominación social y forma societaria, del titular del punto de suministro. 16. Dirección completa del titular del punto de suministro. Esta información debe referirse en todo momento al titular del punto de suministro y no a la ubicación, población y provincia de dicho punto de suministro que se exige en el ordinal 3.º de este mismo apartado. 5. Los comercializadores inscritos en la sección correspondiente del Registro Administrativo de Distribuidores, Comercializadores y Consumidores Directos en Mercado, así como la Oficina de Cambios de Suministrador, de acuerdo con la norma reguladora de su funcionamiento, podrán acceder gratuitamente a las bases de datos de puntos de suministro de cada empresa distribuidora” Así, según dispone el sitio de internet de la CNMC (ver Diligencia Referencias): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/28 “No obstante, hay que aclarar que el SIPS eléctrico de la CNMC no dispone de información que identifique al titular de un punto de suministro. Esta información fue eliminada por el Real Decreto 1074/2015, de 27 de noviembre, por el que se modifican distintas disposiciones en el sector eléctrico. En el artículo segundo del citado Real Decreto, se aprobó una modificación del artículo 7.2 del Real Decreto 1435/2002, incluyendo que: «En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro […]». […] En el ámbito del gas natural, en el SIPS al que se accede consta la identificación del titular del punto de suministro y su dirección.” FACTOR ENERGIA figura inscrita en el Listado de Comercializadoras de electricidad y de gas de la CNMC. En relación con el deber de información al interesado: Manifiesta FACTOR ENERGIA que se cumple mediante la consignación, en la propia comunicación publicitaria, del siguiente texto: “De conformidad con la normativa de protección de datos de carácter personal, es decir, de acuerdo con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le indicamos que los datos proceden de fuentes obtenidas lícitamente y/o fuentes de acceso público disponibles sin restricciones, y que esta comunicación se efectúa según los requisitos admisibles en la normativa señalada. Puede ejercitar sus derechos de acceso, rectificación, cancelación, oposición, transparencia de la información, supresión, limitación y portabilidad dirigiéndose a FACTOR ENERGIA, SA por correo postal a la dirección av. Diagonal, 612 Entl. 08021 de Barcelona o por correo electrónico a dpo@factorenergia.com. Asimismo, tendrá derecho a dirigir sus reclamaciones ante las autoridades de protección de datos. Para más información consulte nuestra política de privacidad en nuestra web www.factorenergia.com.” Asimismo expresa que en su sitio de internet (www.factorenergia.com) se incluye la política de privacidad (documento 4 adjunto al Escrito#1). Ésta contiene apartados con información sobre: datos del responsable y contacto del DPD; finalidades de los tratamientos; bases de legitimación de los tratamientos; destinatarios; posibilidad de ejercer los derechos y presentar reclamación ante la AEPD; plazos de conservación; información adicional (indicación de implantación medidas de seguridad y garantías con encargados del artículo 28 del RGPD). Sobre el caso concreto objeto de reclamación Manifiesta FACTOR ENERGIA (Escrito#1) que los datos personales de la parte reclamante que figuran en sus sistemas son: nombre y apellidos; dirección postal. Reitera que el origen de estos datos son “fuentes públicas, sin que a la fecha podamos identificar de forma cierta su trazabilidad exacta”. Expresa que el periodo de conservación de los datos es de un año, si bien “en este caso se encuentran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/28 bloqueados y únicamente se conservan por el hecho de haber dado respuesta al requerimiento anterior relativo a expediente al margen referido y sin que la compañía realice ni vaya a realizar otro tratamiento de dichos datos.” Como se ha visto previamente, FACTOR ENERGIA señala que dispone además de los datos técnicos de los puntos de suministro extraídos del SIPS (artículo 7 del Real Decreto 1435/2002) que periódicamente descarga de las empresas distribuidoras. Con ellos, según se ha visto, obtiene “datos estimados y estandarizados de los hábitos de consumo de la población según las características de los hogares” que “no se refieren a datos personalizados ni vinculados a los datos de carácter personal de las personas a quienes se dirigía la comunicación comercial o publicitaria”. En relación con el cumplimiento del deber de información, facilita FACTOR ENERGIA (documento 7 adjunto al Escrito#1) el que manifiesta sería el reverso de la comunicación facilitada por la parte reclamante, que incluye el párrafo referido anteriormente (traducción al castellano del original en catalán): “De conformidad con la normativa de protección de datos de carácter personal, es decir, de acuerdo con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le indicamos que los datos proceden de fuentes obtenidas lícitamente y/o fuentes de acceso público disponibles sin restricciones, y que esta comunicación se efectúa según los requisitos admisibles en la normativa señalada. Puede ejercitar sus derechos de acceso, rectificación, cancelación, oposición, transparencia de la información, supresión, limitación y portabilidad dirigiéndose a FACTOR ENERGIA, SA por correo postal a la dirección av. Diagonal, 612 Entl. 08021 de Barcelona o por correo electrónico a dpo@factorenergia.com. Asimismo, tendrá derecho a dirigir sus reclamaciones ante las autoridades de protección de datos. Para más información consulte nuestra política de privacidad en nuestra web www.factorenergia.com.”) FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/28 II El artículo 6 del RGPD, Licitud del tratamiento, establece en su punto 1 que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  12. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  13. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  14. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  15. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  16. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  17. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  18. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “ 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “ 11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/28 mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En el presente caso, para analizar la validez de esta base legitimadora deben examinarse cada uno de los elementos que concurren en ella para acreditar la legalidad del tratamiento. Conviene tener en cuenta los criterios establecidos para ello en el Dictamen 06/2014, de 9 de abril, sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, del Grupo de Trabajo del artículo 29 (en adelante, Dictamen 06/2014) 1. Interés legítimo del responsable El Considerando 47 del RGPD establece lo siguiente: “El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo.” Por su parte, el Dictamen 06/2014 contiene un pronunciamiento análogo. Inicialmente indica que: “Un interés debe estar articulado con la claridad suficiente para permitir que la prueba de sopesamiento se lleve a cabo en contraposición a los intereses y los derechos fundamentales del interesado. Además, el interés en juego debe también ser «perseguido por el responsable del tratamiento». Esto exige un interés real y actual, que se corresponda con actividades presentes o beneficios que se esperen en un futuro muy próximo. En otras palabras, los intereses que sean demasiado vagos o especulativos no serán suficientes.” En este sentido, aclara el dictamen, un interés legítimo que sea pertinente debe: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/28 - Ser lícito (es decir, de conformidad con la legislación nacional y de la UE aplicable); Estar articulado con la claridad suficiente para permitir que la prueba de sopesamiento se lleve a cabo en contraposición a los intereses y los derechos fundamentales del interesado (es decir, suficientemente específico); representar un interés real y actual (es decir, no especulativo). Y posteriormente incluye una lista no exhaustiva de algunos de los contextos más comunes en los que puede surgir la cuestión del interés legítimo en el sentido del artículo 7, letra f). Entre ellos incluye la “la prospección convencional y otras formas de comercialización o publicidad”. Podría considerarse en principio que la realización de tratamiento de datos con fines de “mercadotecnia directa” y “prospección comercial y otras formas de publicidad” constituirían un principio de interés legítimo. Esto no implica que pueda considerarse todo tratamiento con dicha finalidad como amparado por la base legitimadora del interés legítimo. En efecto, aclara el Dictamen 06/2014: “La legitimidad del interés del responsable del tratamiento es solo un punto de partida, uno de los elementos que deben analizarse en virtud del artículo 7, letra f). Si el artículo 7, letra f), puede utilizarse como fundamento jurídico o no dependerá del resultado de la prueba de sopesamiento siguiente” Queda por lo tanto la realización por parte del responsable del tratamiento de la ponderación prevista en el artículo 6.1.
  19. f)RGPD, en virtud del cual el tratamiento será licito si “es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” 1. Ponderación de derechos e intereses De cara a efectuar la ponderación prevista en el Reglamento, la parte reclamada ha argumentado: - Como interés del responsable: la captación de clientes y un “aumento de su visibilidad en el mercado” - Como posible afectación de derechos de la parte reclamante. El responsable lo minimiza con diversos argumentos. Entre ellos: la escasez y menor importancia de los datos tratados (identidad y datos de contacto); la ausencia de efectos jurídicos sobre el interesado (contratación, acceso a servicios); afectación mínima en la esfera del interesado (recepción de una comunicación postal, de carácter menos invasivo que otras vías); la existencia de garantías aplicables al tratamiento; el respecto a los que ejercen su derecho de oposición; la existencia de canales para el ejercicio de derechos en materia de protección de datos, garantías que son impuestas por la Ley, no porque el responsable las otorgue graciosamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/28 1. Derechos del titular de los datos Si más arriba se ha examinado el interés legítimo alegado por el responsable del tratamiento, debe analizarse también en qué modo quedan afectados los derechos e intereses del interesado, de modo pueda concluirse el juicio de ponderación A este respecto, debe prestarse especial atención al impacto que el tratamiento puede generar al interesado. La parte reclamada se centra en declarar que este no sería significativo en función del medio utilizado (vía postal) y de la escasa o nula afectación en la esfera jurídica del titular de los datos. No obstante, no son esos los únicos parámetros a tener en cuenta. A este respecto, el Dictamen 06/2014 afirma: “El interés legítimo del responsable del tratamiento, cuando es menor y no muy apremiante, en general, solo anula los intereses y los derechos de los interesados en casos en los que el impacto sobre estos derechos e intereses sea incluso más trivial.” En el caso que nos ocupa, está claro que el interés del responsable no puede calificarse de “apremiante”, ya que conforme él mismo indica se reconduce a su interés en captar nuevos clientes. Esto hace, como indica el dictamen, que se deba ser más exigente en cuanto a los derechos afectados del reclamante. El dictamen prosigue: “El término «impacto» tal como se utiliza en este Dictamen cubre cualquier posible consecuencia (potencial o real) del tratamiento de datos. El concepto no está relacionado con la noción de violación de los datos personales y es mucho más amplio que las repercusiones que puedan derivarse de dicha violación.” Y en cuanto al tipo de afectación que el tratamiento de los datos pueda causar en su titular, declara lo siguiente: “Además de los resultados adversos que puedan preverse de manera específica, también deben tenerse en consideración las repercusiones emocionales más generales, como el enfado, el miedo y la angustia que puedan derivarse de la pérdida de control sobre la información personal por parte del interesado o del conocimiento de que dicha información personal ha sido o pueda ser mal utilizada o se vea comprometida, por ejemplo, mediante su exposición en Internet. El efecto amedrentador sobre el comportamiento protegido, como la libertad de investigación o la libertad de expresión, que pueda resultar de una supervisión o un seguimiento continuo también deberá tenerse en cuenta.” No puede olvidarse que la reclamación fue interpuesta por la parte reclamante ante el evento de haber recibido una comunicación postal de carácter promocional, que iba directamente dirigida a ella por contener sus datos de identificación y de contacto. Por ello, no puede compartirse el criterio esgrimido por la parte reclamada en el sentido de afirmar que “Dicho canal [postal] debe ser considerado un método menos agresivo e invasivo que otros canales utilizados habitualmente para el envío de publicidad, como las llamadas comerciales y/o el envío de correos electrónicos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/28 A este respecto es preciso indicar que, si bien canales como el telefónico podrían en principio ser considerados como más “invasivos”, lo cierto es que quien recibe la llamada puede estar en la creencia de que quien llama no dispone de sus datos identificativos, mientras que la recepción de una comunicación postal con datos identificativos y de contacto, hace tener al titular de los datos la certeza de que quien envía la comunicación dispone de dichos datos. Al no ser cliente de la entidad, además, surge la incertidumbre sobre cuál ha podido ser la fuente de conocimiento de los datos, que induce al titular a dudar sobre su poder de disposición de los mismos Esto nos lleva al concepto de “expectativa razonable” como criterio a tener en cuenta en el tratamiento de los datos basado en el interés legítimos 2. Expectativa razonable en el tratamiento de los datos Como se ha mencionado anteriormente, el Considerando 47 RGPD establece en relación con la base legitimadora del interés legítimo que esta pude concurrir cuando el interés del responsable no prevalezca sobre los derechos el interesado “teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable”. La expectativa razonable que pueda tener el interesado en el tratamiento de los datos es crucial en el juicio de ponderación entre intereses del responsable y derechos del interesado. El dictamen 06/2014 declara: “Las expectativas razonables del interesado en relación con el uso y la revelación de datos también resultan muy pertinentes en este sentido. Tal como se puso de manifiesto con respecto al análisis del principio de limitación de la finalidad, es importante considerar si la posición del responsable de los datos, la naturaleza de la relación o del servicio prestado, o las obligaciones jurídicas o contractuales aplicables (u otras promesas hechas en el momento de la recopilación de los datos) podrían dar lugar a expectativas razonables de una confidencialidad más estricta y de limitaciones más estrictas relativas a su uso ulterior.” El ejemplo más claro de expectativa razonable en los casos de recepción de comunicaciones publicitarias viene del hecho de haber sido previamente cliente de una empresa o al menos haberse puesto en contacto con ella para interesarse por los productos o servicios por ella comercializados. En el presente caso, la parte reclamante no ha sido cliente de la parte reclamada y tampoco se ha puesto en contacto con ella para interesarse por los servicios de la mercantil interpelada De ahí su sorpresa por la recepción de una comunicación comercial con sus datos identificativos y de contacto La parte reclamada, por su parte, alega que: “En la presente ponderación debe tenerse en cuenta la expectativa razonable de los interesados que se produjera un tratamiento de sus datos personales con esta finalidad. En este sentido, debemos tener en cuenta que es práctica habitual en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/28 mercado enviar publicidad por correo postal a potenciales clientes, sino que, además, en atención a los usos del mercado, los interesados son perfectamente conscientes de la posibilidad de que tales comunicaciones puedan aparecer en su buzón y que además pueden resultar beneficiosas o aportar un valor añadido a los interesados en su rol de consumidores” Es decir, no aporta justificación alguna de la existencia de una expectativa razonable, más allá de indicar que cualquier ciudadano puede esperar recibir una comunicación postal publicitaria en su buzón, sin ser previamente cliente ni estar interesado en los servicios de una empresa. Cabe traer a colación el Informe de la Asesoría Jurídica de esta Agencia 2018/0173, que analiza la legitimidad de acciones de mercadotecnia directa en tanto en el ámbito del uso de medios electrónicos como otros. A este respecto, incluso en el caso de que un interesado haya sido previamente cliente de una empresa, o haberse interesado por sus bienes o servicios, aclara que las actuaciones de marketing directo deben circunscribirse a bienes o servicios similares a los contratados previamente. “Como se indicaba en el informe que acaba de reproducirse, el criterio general para considerar que el tratamiento de los datos puede fundarse en la regla de equilibrio del interés legítimo del responsable sería el de que los servicios y productos ofertados fuesen los propios del responsable. En este sentido se clarificaba que, al hablar de entidades financieras de crédito, dicha publicidad debería entenderse referida a los propios productos de activo o pasivo de dicha entidad, pero no a otros productos financieros, tales como, se indicaba expresamente, los de seguros. Ello se funda en que en relación con dichos productos no existe una expectativa razonable del interesado de que sus datos sean tratados por la entidad bancaria para la oferta de productos que en principio no guardan relación con los contratados cuando se acude a ella.” Teniendo en cuenta que incluso habiendo sido previamente cliente, el criterio es restrictivo para el envío de comunicaciones comerciales (debiendo restringirse a los productos contratados), con mayor razón lo será para el supuesto en que no se haya sido cliente, en que dichos productos y servicios no existen. 3. Datos tratados Otro de los argumentos de la parte reclamada consiste en insistir sobre la naturaleza de los datos, que consistirían únicamente en la identidad del reclamante y su dirección postal. A este respecto debe señalarse que, si bien es cierto que no está involucrados datos de especial protección del artículo 9 RGPD, el Dictamen 06/2014 aclara que “En general, cuanto más sensible sea la información en cuestión, más consecuencias podrá tener para el interesado. No obstante, esto no significa que los datos que parezcan en sí mismos y por sí mismos inocuos puedan tratarse libremente basándose en el artículo 7, letra f). Por supuesto, incluso dichos datos, dependiendo del modo en que se traten, podrán tener un impacto significativo sobre las personas” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/28 Esto, en combinación con la ausencia de una expectativa razonable del interesado en el tratamiento de sus datos, hace que la naturaleza de los datos tratados, de por sí, no pueda justificar el interés legítimo en el tratamiento. 4. Modo en que se tratan los datos Otro aspecto a tener en cuenta en la ponderación de derechos e intereses sería el juicio de necesidad, idoneidad y proporcionalidad en el tratamiento de los datos. A este respecto el Dictamen 06/2014 indica lo siguiente: “En general, cuanto más negativo e incierto pueda ser el impacto del tratamiento, más improbable es que el tratamiento se considere, en conjunto, legítimo. La disponibilidad de métodos alternativos para conseguir los objetivos perseguidos por el responsable del tratamiento, con menos impacto negativo sobre el interesado, debería ser, sin duda, una consideración pertinente en este contexto” A este respecto, la parte reclamada alega que “desde Factor Energía no se encuentra en nuestra valoración ningún método alternativo que permita comunicar nuestro interés en ofrecer nuestros servicios y que así mismo nos permita cumplir con nuestras obligaciones legales (informar sobre el tratamiento de los datos personales de los interesados) y con el menor impacto para los interesados.” Baste con decir que le habría bastado la realización de una actividad de buzoneo, sin inclusión de datos del reclamante. Ello máxime cuando la propia parte reclamada ha aclarado que la indicación de tarifas apropiadas en función del consumo, que se incluyen en la carta, no se basan en datos concretos de la parte reclamante, sino en estimaciones por zonas. En función de esta afirmación no sería preciso que la carta vaya acompañada de datos identificativos. Con ello, el tratamiento realizado no supera el juicio de proporcionalidad, ni el principio de intervención mínima, al existir métodos que no harían necesario el tratamiento. 5. Posición del responsable y del interesado De cara al juicio de ponderación, resulta preciso prestar atención a la posición de reclamante frente a reclamado. Siendo así que en el primer caso nos encontramos con un ciudadano o usuario, mientras que la parte reclamada es una empresa comercializadora del sector eléctrico. A este respecto, el Dictamen 06/2014 aconseja prestar atención a la situación de desequilibrio entre ambos: “Dependiendo de si el responsable del tratamiento de los datos es una persona o una pequeña organización, una gran empresa multinacional o un organismo del sector público, y de las circunstancias específicas, su posición puede ser más o menos dominante respecto del interesado El hecho de si el interesado es un empleado, un estudiante, un paciente, o si existe de otro modo un desequilibrio en la relación entre la posición del interesado y la del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/28 responsable del tratamiento debe, sin duda, considerarse también relevante. Es importante evaluar el efecto del tratamiento real en las personas concretas.” 6. Conclusiones sobre la ponderación de derechos e intereses En función de los factores analizados, no puede concluirse que en el presente caso la defensa de los intereses legítimos, en comparación con la afectación de derechos del reclamante, justifique el uso de la base legitimadora del interés legítimo para el tratamiento de los datos con fines de mercadotecnia directa. Ello en función de: - Se ha determinado la existencia de un impacto en el ámbito de los derechos e intereses de la parte reclamante. Esta ha recibido una comunicación comercial de una empresa de la que no era cliente, tratando sus datos personales de nombre y apellidos y domicilio, provocando una situación de incertidumbre sobre el origen de los datos y si estos pudieran estar a disposición de otras entidades - No se ha justificado la existencia de una expectativa razonable por parte de la parte reclamante de que sus datos pudieran estar siendo tratados por esta empresa con estas finalidades. Ello sobre todo por el hecho de que, tratándose de una acción de mercadotecnia directa, no se ha justificado ni que la reclamante fuera previamente cliente ni se hubiera interesado por los servicios de la parte reclamada. - No se ha justificado la inexistencia de métodos alternativos, en aplicación del principio de intervención mínima, que no implicaran el tratamiento de datos personales, para la realización de las actividades de mercadotecnia en las condiciones en que estaban siendo efectuadas por la reclamante - Se ha determinado la existencia de una situación de desequilibrio entre la posición del reclamante (consumidor) y de la parte reclamada (empresa comercializadora del sector eléctrico) III De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 6.1 del RGPD, puesto que el tratamiento de datos llevado a cabo, esto es, la actividad de mercadotecnia mediante correo postal, dirigida a la parte reclamante con su nombre, apellidos y dirección, se ha efectuado sin causa legitimadora. IV De confirmarse, la citada infracción del artículo 6.1 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/28 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  20. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  21. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de legitimación establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” V A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -Negligencia en la infracción. (Art. 83.2.b). Hay que tener en cuenta que FACTOR ENERGIA ni siquiera ha podido demostrar la fuente de la que obtuvo los datos personales de la parte reclamante, indicando que se obtuvieron de “fuentes de acceso público”, sin que puedan precisar la fuente concreta. Ello indica, cuando menos, una considerable falta de diligencia. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamiento de datos personales. (Art. 76.1.b). FACTOR ENERGIA, empresa dedicada al comercio de energía eléctrica, maneja un elevado número de datos personales por lo que debe tener amplio conocimiento de la normativa relativa a la protección de datos y manejo de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/28 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar inicialmente una sanción de 40.000 € (CUARENTA MIL euros). VI De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  22. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FACTOR ENERGÍA, S.A., con NIF A61893871, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor a C.C.C. y, como secretario, D.D.D., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  23. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 40.000,00 euros QUINTO: NOTIFICAR el presente acuerdo a FACTOR ENERGÍA, S.A., con NIF A61893871, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/28 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  24. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,00 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 24.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (32.000,00 euros o 40.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/28 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 17 de noviembre de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 24000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/28 improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202102778, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a FACTOR ENERGÍA, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  25. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.