← España

PS-00533-2022

1/19  Expediente Nº: EXP202207418 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENFOKA SISTEMAS GLOBALES, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: EXP202207418 (PS/0533/2022) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 11/06/22, Dª. A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra la entidad, ENFOKA SISTEMAS GLOBALES, S.L. con CIF.: B87671186 (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). La reclamación va dirigida contra la empresa inmobiliaria: ENFOKA ASSET MANAGERS SL., en los siguientes términos: El día 7 de Abril veo un cargo en mi cuenta de XXX, XX € de una compañía de luz que desconocía (más del doble de lo que suelo pagar) y devuelvo el recibo ya que pienso que es una estafa. Inmediatamente llamo a la inmobiliaria y les pregunto que, si ellos saben algo sobre esto, y me dicen que sí, que es un cambio masivo que han realizado a todos los inquilinos para que figure la luz a nuestro nombre. Lo que yo les respondo que a mí no se me ha informado de dicho cambio y mucho menos he dado yo mi consentimiento para que me cambien de compañía y hagan un contrato a mi nombre. Intercambio una serie de email con ellos, en los cuales siempre se acogen a que es una práctica legal (que puede ser) pero yo lo que les digo es por qué no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 me avisaron del cambio y porque no esperaron a mi consentimiento. Yo les comento que yo pago la parte proporcional a lo que he estado pagando hasta el momento y ellos ni contestan a eso. Llame a la compañía eléctrica Holaluz comentándoles el incidente y pidiéndole el contrato de luz que supuestamente yo había firmado y ellos se negaron a dármelo. Al día siguiente llame sin decirles nada sobre esto y me enviaron el contrato, entonces fue cuando vi que había firmado por mí, una tal B.B.B.”. Al escrito de reclamación, se acompaña la siguiente documentación: - Copia del contrato de arrendamiento fechado el 24/05/21, donde figura como arrendador: D. C.C.C., y como arrendataria: Dª A.A.A., del domicilio sito en Madrid, ***DIRECCIÓN.1. En dicho contrato figura como mandatario verbal, D.D.D., con domicilio en ***DIRECCIÓN.2. - De las Cláusulas del contrato, tienen relevancia para el presente caso, las siguientes: - o

(3)RENTA: Precio La renta comenzará a devengarse el 01 de junio de 2021: El Arrendatario satisfará al Arrendador, como precio del arrendamiento de la Vivienda, la cantidad de (…) mediante transferencia bancaria a la cuenta que se indica a continuación: Número de cuenta: *** XXXX, Titular: C.C.C.. o
(5)GASTOS: Serán de cuenta del Arrendatario los gastos relativos al consumo de luz, agua y teléfono, así como cualquier otro servicio de comunicaciones o televisión que contrate el Arrendatario. o
(8)COMUNICACIONES: Toda comunicación entre las partes relativa a este contrato deberá hacerse por escrito, sea por correo electrónico, carta postal o fax a las direcciones indicadas en el siguiente apartado. Copia del intercambio de una serie de correos electrónicos que se realizaron el día 11/04/22, entre la arrendataria y la representante de la inmobiliaria ENFOKA, donde la arrendataria pide explicaciones del porqué la han cambiado de compañía eléctrica sin su consentimiento o su deseo de volver a la antigua compañía eléctrica: C/ Jorge Juan, 6 28001 – Madrid o “También estoy esperando la última factura de este último mes, de la nueva compañía que me habéis cambiado sin consentimiento. También el contrato, para saber que voy a pagar, porque este aumento en la factura, etc., etc.(…)”. o “Lo que pasa es que no quiero este cambio de compañía, ya que veo excesivo el cargo. Cómo podría volver a la misma compañía de antes. Y quien se hará cargo del exceso de recargo (…)”. o (…) Dicho esto, me gustaría seguir con Iberdrola como hasta ahora. www.aepd.es sedeagpd.gob.es 3/19 o - “(…) Habéis firmado un contrato con mis datos, mi firma, mis datos bancarios sin que yo lo consintiera, ni estuviera al corriente de ello. Eso no es de obligado cumplimiento. Es ilegal totalmente (…)”. Siendo las respuestas de la inmobiliaria ENFOKA a estas cuestiones las siguiente: o “(…) De acuerdo con Lau los suministros tienen que encontrase a nombre de los arrendatarios, por su parte la LOPD, establece que no se requerirá el consentimiento de los afectado para la cesión de datos derivados de un imperativo legal, por consiguiente, te informamos que nosotros hemos cedido tus datos con la exclusiva finalidad de dar cumplimento legal a la normativa de la LAU. Respecto a tu consulta de cambiarte de compañía a Iberdrola, por nuestra parte no tenemos inconveniente, siempre que el titular del contrato no sea el arrendador (…)”. o “(…) En concreto, el artículo 6.1.c) establece que el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. La conclusión lógica es que, si el tratamiento se basa en una obligación legal, la comunicación o cesión de datos está legitimada. Si el tratamiento es necesario para la ejecución de un contrato (art. 6.1.b), la cesión de datos se considera que es necesaria para la ejecución de dicho contrato. o (…) Respecto a tu consulta de cambiarte de compañía a Iberdrola, por nuestra parte no tenemos inconveniente, siempre que el titular del contrato no sea el arrendador. Desconocemos si es posible que escojas la misma tarifa que tenías anteriormente, deberás consultarlo con Iberdrola (…)”. Copia de las Condiciones Particulares del contrato de suministro eléctrico de HOLALUZ-CLIDOM, S.A. (Holaluz) donde se puede leer, entre otras, la siguiente información: C/ Jorge Juan, 6 28001 – Madrid o Datos del Cliente (Deudor): A.A.A.; NIF: ***NIF.1; Teléfono: ***TELÉFONO.1; Dirección postal: ***DIRECCIÓN.1; e-mail: ***EMAIL.1 Domiciliación bancaria: **** XXXX. o Datos del firmante: B.B.B. NIF: ***NIF.2 Fecha contrato: ***FECHA.1. o
(7)FACTURACIÓN: Emitiremos la factura cada mes y te la haremos llegar por correo electrónico, dentro de los 15 días naturales posteriores a la finalización del mes (…). o
(8)PAGO: El Cliente se compromete a pagar las facturas emitidas por Holaluz. El pago se realizará por domiciliación bancaria a la cuenta indicada por el Cliente (…)”. www.aepd.es sedeagpd.gob.es 4/19 SEGUNDO: Con fecha 08/07/22, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada y a la comercializadora de electricidad HOLALUZ, para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. TERCERO: Con fecha 21/07/22, la parte reclamada envía a esta Agencia escrito de contestación a la solicitud realizada, en el cual se indica lo siguiente: “El 24 mayo de 2021 se firma el contrato de arrendamiento con la arrendataria indicándose en dicho contrato de arrendamiento en el punto
  1. Gastos “que serán a cuenta del arrendatario todos los gastos relativos al consumo de luz, agua y teléfono, así como cualquier otro servicio de televisión y comunicaciones”. (Se adjunta contrato de arrendamiento como Anexo I) Para mayor abundamiento, el Art.20.3 de la LAU establece que “Los gastos por servicios con que cuente la finca arrendada que se individualicen mediante aparatos contadores serán en todo caso de cuenta del arrendatario” En cumplimiento de lo establecido en la LAU y el propio contrato de arrendamiento, Enfoka instó a la arrendataria en numeras ocasiones para que modificase la titularidad del suministro eléctrico a su nombre, todas ellas sin éxito. Por ello, el pasado mes de febrero se envió un e-mail informando de que se procedería a cambiar la titularidad. (Se adjunta e-mail como Anexo II) Tras la realización de dicho cambio Enfoka reitera a la arrendataria la necesidad de proceder al cambio de suministros por imperativo legal, uno de los supuestos en los que la LOPD establece base legal. (Se adjunta cadena de e-mails con la arrendataria como Anexo III) A continuación, procedemos a dar contestación a los siguientes puntos:
  2. La decisión adoptada a propósito de esta reclamación. Tras el cruce de los e-mails anteriormente detallados, se informa a la arrendataria que de acuerdo con LAU los suministros tienen que encontrase a nombre de los arrendatarios según se establece en la LAU y en el propio contrato de arrendamiento. Por su parte, la LOPD, establece que no se requerirá el consentimiento expreso de los afectados para la cesión de datos derivados de un imperativo legal, por consiguiente, le informamos que nosotros cedimos sus datos con la exclusiva finalidad de dar cumplimento legal a la normativa de la LAU, en cuanto a la petición de cambiar de compañía eléctrica se le indica que tiene total potestad para elegir la compañía que ella quiera, siempre que sea titular del contrato. La compañía eléctrica no exige permanencia alguna.
  3. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Manifestamos que no hemos recibido por parte de la arrendataria ninguna solicitud para ejercer alguno de los derechos contemplados en la normativa vigente de Protección de datos. En los correos electrónicos que se han intercambiado con la arrendataria, ésta última, no hace referencia a que se eliminen o bloqueen sus datos o mostrase oposición al tratamiento.
  4. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Se firma el contrato de arrendamiento con la arrendataria el 24 mayo de 2021 y se hace efectivo el 1 de junio de
  5. (Anexo I) En numerosas ocasiones solicitamos a la arrendataria que cambiase la titularidad del suministro a su nombre, exponiéndole los motivos de por qué el contrato de suministro debía de estar a su nombre. Como consecuencia de la negativa de la arrendataria a realizar dicho cambio de titularidad, nos vemos forzados a realizarlo nosotros para dar cumplimiento a la LAU. En cumplimiento de lo dispuesto en la Ley 29/1994, de 24 de noviembre, de Arrendamientos urbanos en su artículo 20.3, por tanto, en cumplimiento de una obligación legal, comunicamos los datos de la arrendataria a la empresa Runup Business, S.L. (Qlip), con quien tenemos un contrato firmado por el cual se encargan de realizar los trámites necesarios con relación a los cambios de suministros.
  6. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Como medida adicional, a la firma del contrato de arrendamiento, los arrendatarios firman 2 documentos donde se informa que se va a proceder a comunicar sus datos con la exclusiva finalidad de llevar a cabo la tramitación del cambio de titularidad del suministro. Esta medida se realiza a sabiendas que nos basamos en la ejecución del contrato y en el cumplimiento de una obligación legal para el tratamiento de los datos. Contamos con un documento interno de seguridad, que describe las medidas de responsabilidad proactiva, tanto técnicas como organizativas, normas, procedimientos, reglas y estándares encaminados a garantizar la seguridad del tratamiento. El Documento interno de Seguridad recoge concretamente un procedimiento para realizar acciones de verificación, controles periódicos y auditorías de seguridad para verificar el nivel de cumplimiento normativo en materia de Protección de datos. CUARTO: Con fecha 09/08/22, la entidad HOLALUZ envía a esta Agencia escrito de contestación a la solicitud realizada, en el cual se indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 “Que, según la base de datos de CLIDOM, la Reclamante consta de alta en la empresa con el CUPS1 de electricidad número ***NÚMERO.1 correspondiente a la dirección C/ ***DIRECCIÓN.1 desde el 26/02/22 hasta el 31/03/
  7. Dicha alta fue llevada a cabo por parte del canal comercial Run Up Business SL con el que CLIDOM mantiene una relación contractual a la que resulta de aplicación la cláusula que se acaba de transcribir. Que se adjunta el contrato suscrito entre las partes como DOCUMENTO NÚMERO UNO. Los comerciales están facultados para subcontratar a cualesquiera otras personas o compañías para prestar los servicios. En el presente caso consta que la empresa colaboradora fue Enfoka Sistemas Globales, S.L. Debido a que el Colaborador aparentó la veracidad de la contratación objeto de la presente consulta, esta parte no pudo detectar, hasta que la Reclamante no lo ha puesto de manifiesto, que dicha contratación había sido realizada sin el consentimiento de la misma. De hecho, para esta parte era imposible sospechar esta circunstancia, ya que, en todo momento, de forma aparente, se dio cumplimiento a los requisitos de contratación establecidos por CLIDOM. En concreto, se enviaron por correo electrónico las condiciones contractuales del contrato de suministro eléctrico, ya que CLIDOM considera fundamental que todos sus clientes estén plenamente informados sobre las condiciones particulares y generales de los contratos que suscriben con esta parte. En dicho correo se solicita a los clientes que validen y, por tanto, acepten el contrato celebrado con esta parte y así fue como se produjo en este caso. Que, tras la recepción de la presente Reclamación, CLIDOM contactó con el canal comercial para la recopilación de información el pasado 13 de julio. Adjuntamos correo remitido como DOCUMENTO NÚMERO DOS. Que, las respuestas obtenidas por correo electrónico se adjuntan como DOCUMENTO NÚMERO TRES Y CUATRO. En este sentido, en primer lugar, se manifiesta que es la propia clienta quien valida el contrato de suministro eléctrico con mi representada y, por ende, que la misma conocía la contratación; y, en segundo lugar, que es la inmobiliaria Enfoka Sistemas Globales, S.L. quien recaba los datos de la Reclamante, con quien tienen formalizado un acuerdo de colaboración y el correspondiente contrato de cesión de datos. TERCERA.- SOBRE LAS MEDIDAS ADOPTADAS PARA EVITAR QUE SE PRODUZCAN INCIDENCIAS SIMILARES Que CLIDOM realiza de forma aleatoria una posterior revisión de la calidad de las llamadas y las altas realizadas por los nuevos colaboradores, mediante un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 protocolo de revisión de un determinado porcentaje de las altas consistente en que los agentes de atención al cliente internos de la compañía llaman por teléfono a un porcentaje significante de los nuevos clientes aportados por los canales comerciales con los cuales se hubiese suscrito un contrato de colaboración el mes anterior. Mediante estas llamadas, CLIDOM se cerciora de que los clientes efectivamente han mostrado su consentimiento a realizar el cambio de comercializadora o el alta de suministro. CUARTA.- SOBRE EL DERECHO A LA SUPRESIÓN Que los datos que constan en la base de datos de CLIDOM, al ser los mismos incorporados por parte del Colaborador, son los siguientes: (…) Por ello, cabe reiterar que la introducción de los datos personales del Cliente fue realizado por un tercero que incumplió con las obligaciones contractuales establecidas, y por ende, siendo el mismo el responsable de cualquier perjuicio que se derive del incumplimiento. Así, la cláusula Decimosexta del Contrato de Colaboración suscrito entre CLIDOM y el Colaborador referida a la Responsabilidad establece: “16.
  8. Cada parte será responsable de los daños y perjuicios que pueda causar a la otra cuando concurra dolo o culpa grave y cuando la acción u omisión causante del daño haya ocurrido de forma reiterada, que sea probado y demostrable, que produzca daños considerables y cuantificables, que causen un grave perjuicio”. A este respecto, debemos traer a colación las obligaciones que se derivan del artículo 28 RGPD. Concretamente, regula la necesidad de “Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento”. Por ello, CLIDOM actúa y ha dado instrucciones a sus agentes para que las contrataciones sean conformes a la normativa de protección de datos y, más concretamente, que el tratamiento sea lícito, debiendo mediar los requisitos del artículo 6 RGPD, que ello incluye imprescindiblemente el consentimiento del cliente para el tratamiento de sus datos personales”. QUINTO: Con fecha 11/09/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos FUNDAMENTOS DE DERECHO I.- Competencia: De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II.- Síntesis de los hechos: Primero: Según expone la reclamante en su escrito de reclamación de fecha 11/06/22, es inquilina de una vivienda desde el 24/05/21, cuya gestión la realiza la inmobiliaria ENFOKA SISTEMAS GLOBALES, S.L. La cuestión es que, el día 07/04/22 le cargaron en su cuenta la cantidad de XXX,XX € euros de una compañía de luz por el suministro energético de la vivienda, con la que no había contratado nada (HOLALUZ) y que no era su compañía habitual (IBERDROLA). Puesta en contacto con la inmobiliaria a la que alquiló la vivienda para preguntarles el motivo la contestan que, que es un cambio masivo que han realizado a todos los inquilinos para que figure la luz a su nombre a lo que la reclamante les contesta que no se le ha informado de dicho cambio y mucho menos se le ha pedido el consentimiento para el cambio de compañía cuyo suministro debe abonar ella, También denuncia que en el contrato con la nueva compañía figura como cliente ella pero que dicho contrato fue firmado en su nombre por una tal “B.B.B.” sin su consentimiento. Segundo: Según alega la parte reclamada, dicho cambio de compañía fue realizado de acuerdo con LAU (Ley de Arrendamientos Urbanos), artículo 20.3 de la LAU y en el propio contrato de alquiler, pues los suministros tienen que encontrase a nombre de los arrendatarios y que, además, la LOPD, establece que no se requerirá el consentimiento expreso de los afectados para la cesión de datos derivados de un imperativo legal. Según alega la reclamada ante esta Agencia. “(…) En cumplimiento de lo establecido en la LAU y el propio contrato de arrendamiento, Enfoka instó a la arrendataria en numeras ocasiones para que modificase la titularidad del suministro eléctrico a su nombre, todas ellas sin éxito. Por ello, el pasado mes de febrero se envió un e-mail informando de que se procedería a cambiar la titularidad (…)”. Pero dicho e-mail no fue dirigido a la reclamante, sino que fue enviado desde la dirección De: Suministros Enfoka: suministros@enfoka.es sin constar en el mismo los destinatarios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 “Para: Fecha: 23/02/2022 10:40 Asunto: Cambio titularidad suministros Estimados: Os informamos que a partir del 23 de febrero se procederá a cambiar la titularidad a nombre de los inquilinos, de los suministros de luz y gas (aquellos inmuebles que lo tengan), según se indica en el apartado de Gastos del contrato de arrendamiento. Muchas gracias de antemano y que tengan un feliz día. Un saludo”. III.- Sobre la posible utilización de los datos personales de la reclamante sin la legitimación necesaria para ello. III.-1 Posible infracción administrativa Expone el RGPD en su considerando
(40), lo siguiente: “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato”. En ese sentido, el artículo 6 del RGPD establece que: 1.El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19
  6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2.Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  8. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3.La base del tratamiento indicado en el apartado 1, letras
  9. c)y e), deberá ser establecida por:
  10. a)el Derecho de la Unión, o
  11. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4.Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  12. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  13. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  14. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  15. d)las posibles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 consecuencias para los interesados del tratamiento ulterior previsto;
  16. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización. Por su parte, el artículo 20 de la Ley 29/1994, de 24 de noviembre, de Arrendamientos Urbanos, establece, sobre los gastos generales y de servicios individuales, lo siguiente: 1. Las partes podrán pactar que los gastos generales para el adecuado sostenimiento del inmueble, sus servicios, tributos, cargas y responsabilidades que no sean susceptibles de individualización y que correspondan a la vivienda arrendada o a sus accesorios, sean a cargo del arrendatario. En edificios en régimen de propiedad horizontal tales gastos serán los que correspondan a la finca arrendada en función de su cuota de participación. En edificios que no se encuentren en régimen de propiedad horizontal, tales gastos serán los que se hayan asignado a la finca arrendada en función de su superficie. Para su validez, este pacto deberá constar por escrito y determinar el importe anual de dichos gastos a la fecha del contrato. El pacto que se refiera a tributos no afectará a la Administración. Los gastos de gestión inmobiliaria y de formalización del contrato serán a cargo del arrendador, cuando este sea persona jurídica. 2. Durante los cinco primeros años de vigencia del contrato, o durante los siete primeros años si el arrendador fuese persona jurídica, la suma que el arrendatario haya de abonar por el concepto a que se refiere el apartado anterior, con excepción de los tributos, sólo podrá incrementarse, por acuerdo de las partes, anualmente, y nunca en un porcentaje superior al doble de aquel en que pueda incrementarse la renta conforme a lo dispuesto en el apartado 1 del artículo 18. 3. Los gastos por servicios con que cuente la finca arrendada que se individualicen mediante aparatos contadores serán en todo caso de cuenta del arrendatario. 4. El pago de los gastos a que se refiere el presente artículo se acreditará en la forma prevista en el artículo 17.4. Pues bien, según se desprende de la información y de la documentación presentada por las partes, desde que la reclamante firma el contrato de alquiler de la vivienda el 24/05/21, fue abonando las facturas del consumo de luz que la propiedad tenía contratada con la compañía IBERDROLA, hasta que el ***FECHA.1, nueve meses después de firmar el contrato, la inmobiliaria ENFOKA que gestiona los alquileres, sin autorización de la inquilina firma en nombre de ésta, un nuevo contrato de suministro de luz con la compañía HOLALUZ, a través de la empresa, Runup Business, S.L. (Qlip), ante la cual aporta, como datos de cliente, los datos de la inquilina (nombre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 apellidos, NIF, número de teléfono, dirección postal y número de cuenta corriente donde cargar los recibos), pero como dirección de correo electrónico donde enviar las facturas, el contrato y las demás comunicaciones, el correo electrónico de la inmobiliaria, (***EMAIL.1), imposibilitando con ello el acceso directo a cualquier tipo de información por parte de la inquilina referente al suministro de luz. Además de todo ello, el contrato de suministro de energía eléctrica con HOLALUZ es firmado por B.B.B. NIF: ***NIF.2, en nombre de la inquilina, sin el conocimiento y sin el consentimiento previo de ésta. En conclusión, la inquilina (la parte reclamante en este caso), venia cumpliendo, desde que firmó el contrato de alquiler el 24/05/21 con lo estipulado en dicho contrato, que en su apartado quinto especifica que, “Serán de cuenta del Arrendatario los gastos relativos al consumo de luz, agua y teléfono, así como cualquier otro servicio de comunicaciones o televisión que contrate el Arrendatario” y también con lo estipulado en el artículo 20.3 de la LAU, esto es: “Los gastos por servicios con que cuente la finca arrendada que se individualicen mediante aparatos contadores serán en todo caso de cuenta del arrendatario”, hasta que, sin previo aviso, sin comunicación y sin consentimiento de la inquilina, la inmobiliaria decide cambiar de compañía eléctrica, el ***FECHA.1, proporcionando los datos personales de la reclamante a la nueva comercializadora (HOLALUZ), produciéndola con ello, un grave perjuicio económico, pues, según denuncia, la nuevas facturas que debe abonar a la nueva compañía supera el doble de lo que venía abonado por el mismo consumo a IBERDROLA. La cuestión no radica en que la inmobiliaria utilizara los datos personales de la reclamante en base a un “requisito legal o contractual, o un requisito necesario para suscribir un contrato”, como alega, sino que utilizó después los datos personales de la inquilina para cambiar de compañía eléctrica sin su previo conocimiento, esto es, sin haberle comunicado un traspaso de datos de un destinatario a otro, que incluso supuso un grave perjuicio económico para ella y por supuesto, sin su consentimiento pues incluso se firmó el nuevo contrato de suministro de luz a su nombre. En este sentido, el considerando
(61)del RGPD, indica, sobre las obligaciones del responsable del tratamiento de los datos personales, que: “(…) Si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez (…)”. Y, por otra parte, es cierto que la LAU impone la obligación de que el arrendatario pague los suministros de agua, luz, gas, etc., para lo cual sólo sería necesario tratar el dato de la cuenta bancaria de la reclamante donde domiciliar los recibos, pero en ningún caso la LAU impone obligación de modificar la titularidad del contrato de suministro, cuestión que se realizó utilizando los datos personales de la inquilina sin su consentimiento. III.-2 Propuesta de sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 El hecho de que la parte reclama realizara una utilización de los datos personales de la reclamante sin su conocimiento y sobre todo sin su consentimiento, para firmar un nuevo contrato de suministro de energía eléctrica con otra compañía, firmando dicho contrato en su nombre, puede ser constitutivo de una infracción al artículo 6.1.) del RGPD, al realizar un tratamiento de datos personales sin la legitimación necesaria para ello. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  1. a)del RGPD. Por su parte, el artículo 72.1.
  2. b)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento”. III.-3 Graduación de la sanción La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  3. a)a
  4. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  5. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  6. b)la intencionalidad o negligencia en la infracción;
  7. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  8. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  9. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19
  10. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  11. g)las categorías de los datos de carácter personal afectados por la infracción;
  12. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  13. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  14. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  15. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  16. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  17. a)El carácter continuado de la infracción.
  18. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  19. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  21. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  22. f)La afectación a los derechos de los menores.
  23. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19
  24. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción tipificada en el artículo 83.5.
  25. a)del RGPD y 72.1
  26. b)de la LOPDGDD, en una valoración inicial, se estiman concurrentes en el presente caso los siguientes factores: En calidad de agravantes: - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que, respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.” Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 30.000 euros (treinta mil euros) por la por la presunta infracción del artículo 6.1) tipificada en el artículo 83.5.
  27. a)del citado RGPD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad ENFOKA SISTEMAS GLOBALES, S.L. con CIF.: B87671186, por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, al realizar un tratamiento de los datos personales de la reclamante sin la legitimación necesaria para ello. NOMBRAR: como Instructor a D. E.E.E., y Secretaria, en su caso, a Dª F.F.F., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
  28. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 30.000 euros (treinta mil euros) por la Infracción del artículo 6 del RGPD, en base a lo estipulado en el artículo 83.7 RGPD y 77 de la LOPDGDD. NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la ENFOKA SISTEMAS GLOBALES, S.L., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  29. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 6.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 6.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 18.000 euros (diez y ocho mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 10 de febrero de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 18000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202207418, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ENFOKA SISTEMAS GLOBALES, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  30. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.