PS-00541-2023

1/26  Expediente N.º: EXP202304821 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 21 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra NATURGY IBERIA, S.A. con NIF A08431090 (en adelante, la parte reclamada o Naturgy). Los motivos en que basa la reclamación son los siguientes: - Afirma que el 1 de diciembre de 2022, su compañía de luz le informó que lo habían dado de baja a solicitud de su nueva comercializadora (Naturgy). - Tras dicho conocimiento procedió a realizar diversas llamadas a Naturgy, a través de las cuales le indicaron que lo habían dado de alta en luz, gas y contratos anexos, proporcionándole asimismo un correo electrónico para presentar su reclamación, al no estar conforme con dicha alta. - Señala que, mediante correos electrónicos fechados el 1 y el 16 de diciembre, presentó una reclamación electrónica ante la supuesta nueva compañía (Naturgy), solicitando la autorización para la cesión de sus datos, que a su juicio fueron utilizados ilegalmente. - Indica que, ante la reiterada emisión de facturas, presentó una reclamación por escrito ante Naturgy, indicando que no pagaría ningún recibo hasta que se acreditara la veracidad del supuesto contrato de gas, luz y servicios anexos. Asimismo, les solicitó abstenerse de realizar amenazas, avisos o coacciones hasta que se resolviera la reclamación. - Sostiene que, a pesar de la reclamación planteada, Naturgy efectuó una domiciliación bancaria ante su entidad y emitió diversos cargos. - Que recibió un correo electrónico donde se le informaba que cedieron sus datos en virtud de un contrato activo (que no existe, ya que no hubo prestación de consentimiento y, por lo tanto, es nulo de pleno derecho). - A pesar de las reclamaciones planteadas, afirma haber sido amenazada por escritos fechados el 11 y 13 de enero si no pagaba las facturas indebidamente emitidas. - El 26 de enero recibió el supuesto contrato que firmó, del cual manifiesta que el mismo ha sido realizado a través de un teléfono desconocido y de una IP cuya procedencia desconoce. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 - Por último, concluye que, considerando esta actuación una estafa, el 7 de febrero de 2023 presentó una denuncia de estos hechos ante la Policía Nacional. Junto a su reclamación, adjunta la siguiente documentación: -Correos electrónicos intercambiados entre la parte reclamante y el Servicio de Atención al Cliente de la parte reclamada entre el 1 y el 16 de diciembre de 2022, con el nombre de asunto “Contrato fraudulento”. -Hoja de Reclamación presentada por la parte reclamante ante el Instituto Galego do Cosumo e da Competencia el 22 de diciembre de 2022. -Correo electrónico enviado por la Oficina de Garantía de Servicio al Cliente de la parte reclamante a la parte reclamada en fecha 26 de enero de 2023, con el nombre de asunto “(...)”, al que se adjuntan dos archivos: 1.- Escrito de la Oficina de Garantía de Servicio al Cliente de la parte reclamante, de fecha 25 de enero de 2023, dirigido a la parte reclamante. 2.- Contrato de Suministros Dual y Servicios de Naturgy, de fecha 26 de octubre de 2022, con datos personales de la parte reclamante. Se adjunta al mismo certificación de fecha 26 de octubre de 2022, expedida por la entidad Aviva Voice Systems & Services, S.L., que actúa en su condición de Tercer Parte de Confianza. -Denuncia ante la Policía Nacional de Santiago de Compostela Atestado nº ***ATESTADO.1, de fecha 7 de febrero de 20XX. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a estos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación a Naturgy, para que procediera a su análisis y diera respuesta en el plazo de un mes El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19 de abril de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 19 de mayo de 2023, Naturgy dio respuesta al mismo manifestando: 1) “Que la contratación se realizó por medio de una herramienta en la que, durante el proceso de contratación, si el cliente manifiesta su intención de contratar un producto, se le envía un SMS, que contiene un enlace a una web en la que es mostrada al cliente la información de los productos ofrecidos y condiciones contractuales, y donde debe pulsar en un “botón” para dar su consentimiento para la contratación y el adeudo SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su voluntad de contratar, así como la IP desde la que se realiza. Todo el proceso de contratación, desde el envío del SMS, contenido del mismo, acceso a la web C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la contratación, es certificado por una Tercera Parte de Confianza, la entidad Aviva Voice Systems & Services, S.L. Así, tal y como se recoge en la primera página de la certificación expedida por Aviva para la contratación de los Servicios Objeto de la Reclamación, el día 26 de octubre de 2022, a las 13:31h. se remitió un SMS al número de teléfono móvil ***TELÉFONO.1. Dicho SMS contenía un enlace a la web en la que se mostraba la información de los productos ofertados, así como las condiciones de contratación, y se solicitaba el consentimiento para contratar. A continuación, siendo las 13:31h., se accedió a la citada web, y desde la dirección ***IP.1 se pulsó en el botón “Contratar” contenido en dicha página web, mediante el que se confirma la voluntad de contratar”. 2) Naturgy indica que a raíz de la primera reclamación formulada por el reclamante en fecha 1 de diciembre de 2022, Naturgy inició una investigación pormenorizada de lo ocurrido, con el resultado de que esta contratación fue gestionada por la empresa Soluciones Empresariales Integrales 2022 S.L., (en adelante SEI), que actúa en calidad de encargado del tratamiento. También indica Naturgy que ha verificado que el encargado del tratamiento no había registrado en sus sistemas la grabación de la llamada de contratación de los servicios objeto de la reclamación, por lo que Naturgy ha requerido al encargado del tratamiento que aporte dicha grabación, sin que hasta la fecha haya sido entregada por SEI. 3) Que la contratación realizada a través de SEI, encargado del tratamiento, revistió un carácter fraudulento, pues "solamente perseguiría la obtención ilícita de una comisión por la consecución de nuevas contrataciones." 4) Considera que la conducta del encargado del tratamiento "no ha obedecido, directa o indirectamente, a ninguna instrucción o mandato de Naturgy, y se habría realizado en clara contravención de las instrucciones y buenas prácticas que Naturgy exige a sus empresas colaboradoras y, además de un grave incumplimiento de las obligaciones contractuales, constituiría un fraude contra Naturgy". 5) Que se han adoptado una serie de medidas contra dicho encargado del tratamiento, resolviendo de forma inmediata el contrato que tenía suscrito con esa entidad. 6) Así mismo se han adoptado otra serie de medidas "para que el Reclamante no sufra ningún perjuicio económico como consecuencia de lo ocurrido", dando de baja todas las contrataciones, anulando las facturas que pudieran haberse generado en el periodo de tiempo en que los contratos estuvieran en vigor. En cuanto a la solicitud recibida interesando el abono de ciertos importes en concepto de indemnización, por Naturgy se señala que contestó a la parte reclamante: "que no era posible atender su petición de indemnización. Además, dicha reclamación de cantidad por parte del Reclamante debería ser sustanciada, en su caso, ante las autoridades judiciales o arbitrales competentes al margen de la AEPD". TERCERO: En fecha 31 de mayo de 2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 CUARTO: En fecha 5 de junio de 2023 la parte reclamante interpone un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202304821, en el que muestra su disconformidad con la resolución impugnada, solicitando que continúe la tramitación de la reclamación inicial presentada. Adjunta al mencionado recurso escritos que le remitió Naturgy el 11 y el 13 de enero de 2023 reclamando el pago de una deuda. QUINTO: En fecha 31 de octubre de 2023 se notificó el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se ha verificado mediante escrito de respuesta de fecha 13 de noviembre de 2023. SEXTO: En fecha 23 de noviembre de 2023 se estimó el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 31 de mayo de 2023, por la que se acordaba el archivo de la reclamación referida a Naturgy, a fin de que prosiga su tramitación. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad NATURGY IBERIA, S.A. es una gran empresa constituida en el año 1976, y con un volumen de negocios de 3.873.110.000 euros en el año 2022. OCTAVO: Con fecha 12 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. NOVENO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación de plazo para presentar alegaciones, que le fue concedido y presentó escrito de alegaciones el día 8 de abril de 2024 en el que, en síntesis, se reitera en los argumentos expuestos en su respuesta al trámite de traslado, en síntesis manifiesta: <<SEI no únicamente no siguió las instrucciones de NATURGY, sino que se apartó por completo de ellas, constituyendo su conducta un absoluto fraude contra NATURGY, quien resulta un perjudicado más en la medida en que SEI solamente perseguía la indebida obtención de una comisión por venta de producto por una contratación que se ha demostrado que se llevó a cabo mediante prácticas irregulares por parte de sus agentes y que, lejos de reportar beneficio económico alguno a NATURGY, causó un perjuicio económico al Reclamante que NATURGY tuvo que subsanar reintegrándole las facturas correspondientes a la energía consumida en el punto de suministro así como un perjuicio reputacional. NATURGY aplicó medidas contundentes tan pronto como tuvo conocimiento de los hechos con el objetivo de perseguir y sancionar este tipo de conductas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 Tal y como mi mandante manifestó en la Respuesta al requerimiento de información, y dado que NATURGY es absolutamente intolerante con las prácticas realizadas por SEI, NATURGY aplicó las siguientes medidas de forma inmediata: (

1. i)Solicitar explicaciones a SEI y resolver de forma anticipada e inmediata el contrato de colaboración con dicha empresa. Se adjunta el burofax de resolución enviado como DOCUMENTO Nº 2. (
2. ii)Aplicar la penalización contractual a SEI prevista por incumplimiento contractual. (iii) Adoptar las medidas oportunas para que el Reclamante no sufriera ningún perjuicio económico como consecuencia de la práctica irregular de SEI, consistentes en: - Dar de baja todos los contratos que pudieran seguir activos. - Anular todas las facturas que pudieran haberse generado durante el periodo de tiempo en que los contratos estuvieron activos con NATURGY. Dado que el Reclamante había rechazado todos los cargos que le habían sido realizados, no fue necesario realizar ningún abono al Reclamante. - Contactar con el Reclamante para pedirle disculpas y ponerse a su disposición para abonarle los daños y perjuicios que pueda acreditar documentalmente y que se le hubiesen podido causar -los cuales alegaba en su recurso de reposición-. Las contrataciones irregulares llevadas a cabo por SEI en contra de las instrucciones de NATURGY no le permite ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY –tal y como éstos han reconocido- actuaron, por tanto, como responsable del tratamiento: Teniendo en cuenta que el artículo 4.8 del RGPD define la figura del encargado del tratamiento como aquella persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento, tal y como se expondrá a continuación, SEI no actuó como encargado del tratamiento en las contrataciones objeto de la presente reclamación. En otras palabras, <> significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado>>. Así se establece precisamente en el artículo 28.10 del RGPD en el que se prevé que, si un encargado del tratamiento infringe el RGPD al determinar los fines y medios del tratamiento, será considerado como responsable del tratamiento con respecto a dicho tratamiento. Por ejemplo, Procedimiento Nº: PS/00059/2020 Página 7 de 8 Asimismo, el artículo 29 del RGPD establece que <>. Del mismo modo se regula en el artículo 33.2 de la LOPDGDD: <>. Adicionalmente, el mismo Comité Europeo de Protección de Datos (‘‘CEPD’’) insistía en sus Directrices 07/2020 adoptadas el 7 de julio de 2021 que <>. Asimismo, ya insistía el CEPD en dichas Directrices en que cuando un encargado trate datos sin ajustarse a las instrucciones del responsable y ello equivalga a una decisión por la que se determinen los fines y los medios del tratamiento -como sin duda sería la determinación de la licitud del tratamiento-, se entenderá que el encargado ha incumplido sus obligaciones e incluso será considerado responsable de dicho tratamiento con arreglo al artículo 28.10 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 En cuanto a esto, el CEPD recuerda que el RGPD establece obligaciones concretas que vinculan directamente a los encargados del tratamiento, por lo que es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable. En esta misma línea se ha pronunciado AEPD en sus resoluciones: <<> de la operación de tratamiento en la que participa>>. Por tanto, es indiscutible que si un encargado trata datos personales infringiendo la normativa de protección de datos o bien actuando al margen de las instrucciones del responsable del tratamiento -tal y como hizo SEI- éste deja de tener la consideración de encargado del tratamiento pues está actuando de facto como responsable del tratamiento. Así, resulta evidente que SEI trató de forma ilícita los datos personales del Reclamante como responsable del tratamiento, pues no solo estaba actuando al margen de las instrucciones de NATURGY, sino incumpliéndolas deliberadamente con el único objetivo de cometer un fraude contra NATURGY. Por tanto, no cabe sancionar a NATURGY por un tratamiento que SEI ha realizado como responsable del tratamiento independiente. Más aún cuando el artículo 82.2 del RGPD prevé que el encargado del tratamiento responda de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable, tal y como ha ocurrido en el caso que nos ocupa. Por todo lo expuesto, SOLICITA: Que tenga por presentado este escrito, por formuladas las alegaciones que en el mismo se contienen, y previos los trámites oportunos, se archive el procedimiento>>. Adjunta a las alegaciones la siguiente documentación: - Contrato de prestación de servicios comerciales para empresas colaboradoras suscrito el 1 de mayo de 2022 entre Naturgy Iberia, S.A. y Soluciones Empresariales Integrales 2022, S.L. - Contrato de encargado de tratamiento de datos suscrito el 1 de mayo de 2022 entre Naturgy Iberia S.A. y Soluciones Empresariales Integrales 2022, S.L. - Comunicación remitida por Naturgy a Soluciones Empresariales Integrales 2022, S.L. el 15 de mayo de mayo de 2023, con el nombre de asunto “Comunicación de resolución anticipada del contrato de Colaboración por incumplimiento de la Empresa Colaboradora”. - Correo electrónico enviado por la parte reclamante a la a la Oficina de Garantía del Servicio al Cliente de Naturgy de fecha 28 de noviembre de 2023, con el nombre de asunto “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 - Correo electrónico enviado por la parte reclamante a la Oficina de Garantía del Servicio al Cliente de Naturgy de fecha 21 de febrero de 2024, con el nombre de asunto (…)”. DÉCIMO: Con fecha 11 de abril de 2024, el instructor del procedimiento acordó practicar las siguientes pruebas: “1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. 2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por NATURGY IBERIA, S.A., y la documentación que a ellas acompaña”. UNDÉCIMO: Notificada la propuesta de resolución, con fecha 12 de junio de 2024 la parte reclamada presentó escrito de alegaciones, reiterándose en los argumentos ya expuestos y manifestando en síntesis la ausencia de responsabilidad y de culpabilidad de Naturgy. Además, señala que tal y como Naturgy expuso en la Respuesta al requerimiento de información, tras una investigación, se concluyó que la contratación objeto de la reclamación fue realizada por la empresa colaboradora SEI, la cual incumplió todas y cada una de las obligaciones referenciadas en el contrato suscrito entre ambas partes y Naturgy no tuvo forma de descubrirlo hasta que recibió el Requerimiento de información. Por otra parte, indica que ha habido un cambio de criterio por parte de la AEPD, dado que sin explicar cuál ha sido el cambio de criterio para valorar de forma diferente unos hechos que ya fueron valorados y respecto de los cuales no se ha producido alteración alguna ni se ha conocido con posterioridad información alguna que los altere o pueda modificar su calificación desde el punto de vista de la normativa de protección de datos. Señala que “dichos extremos no se motivaron ni en el Acuerdo de Inicio ni en la Propuesta de Resolución, aspecto que indiscutiblemente produce indefensión a mi mandante, tal y como ya se manifestaba en las alegaciones presentadas a lo largo del presente expediente sancionador. Por este motivo, todo lo expuesto contraviene la Doctrina de los actos propios que debe regir la actuación de la Administración tal y como establece el Tribunal Supremo: «Los principios de seguridad jurídica, buena fe, protección de la confianza legítima y la doctrina de los actos propios informan cualquier ordenamiento jurídico, ya sea estatal o autonómico, y constituye un componente elemental de cualquiera de ellos, al que deben someterse en todo momento los poderes públicos», de conformidad con lo establecido en el artículo 3.1.
3. e)de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, por el cual la Administración debe actuar con los principios de buena fe, confianza legítima y lealtad institucional. Las contrataciones irregulares llevadas a cabo por SEI en contra de las instrucciones de NATURGY no le permiten ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY, actuaron, por tanto, como responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 En esta misma línea se ha pronunciado AEPD en sus resoluciones (PS/00059/2020): “los encargados podrán ser considerados responsables cuando hayan actuado la margen del mandato otorgado por el responsable del tratamiento, o no hayan cumplido sus propias obligaciones contractuales o con arreglo al RGPD. En estos casos, el encargado del tratamiento puede ser considerado total o parcialmente responsable de la “parte” de la operación de tratamiento en la que participa”. Por tanto, es indiscutible que si un encargado trata datos personales infringiendo la normativa de protección de datos o bien actuando al margen de las instrucciones del responsable del tratamiento -tal y como hizo SEI- éste deja de tener la consideración de encargado del tratamiento pues está actuando de facto como responsable del tratamiento. Así, resulta evidente que SEI trató de forma ilícita los datos personales de el Reclamante como responsable del tratamiento, pues no solo estaba actuando al margen de las instrucciones documentadas de NATURGY, sino incumpliéndolas deliberadamente con el único objetivo de cometer un fraude contra NATURGY. En ningún momento NATURGY puede ser considerado como responsable del tratamiento con respecto a dicho tratamiento realizado por SEI, quien se ha apartado por completo de las instrucciones emitidas por NATURGY tal y como se ha detallado en la alegación segunda. La actuación de SEI en modo alguno puede entenderse realizada por cuenta de NATURGY. El hecho de que SEI se haya servido en parte de una herramienta de trabajo facilitada por NATURGY no significa que NATURGY incurra en una responsabilidad objetiva por cualquier uso que SEI haya realizado de dicha herramienta, máxime cuando, como se ha evidenciado sobradamente, se ha tratado de un uso realizado contraviniendo las instrucciones de NATURGY y en comisión de un fraude contra la propia NATURGY. No obstante, la Propuesta de Resolución se limita a afirmar que NATURGY actuó como responsable del tratamiento, sin tener en cuenta las alegaciones presentadas al Acuerdo de Inicio y sin fundamentar el razonamiento por el que la AEPD considera, contrariamente a lo establecido en la normativa y Directrices mencionadas, que NATURGY actuó como responsable del tratamiento en el marco de un tratamiento de datos realizado exclusivamente por SEI e incumpliendo éste todas las instrucciones documentadas trasladadas por parte de NATURGY: < como: nombre y apellido, documento de identidad, domicilio, número de teléfono, datos bancarios, datos de suministro, entre otros tratamientos. Naturgy Iberia realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD>>. Es decir, en la Propuesta de Resolución se afirma, sin motivarse en modo alguno, que NATURGY realizó dicho tratamiento de datos y que, además, lo hizo en calidad de responsable del tratamiento, apartándose de lo establecido en los artículos 28.10 y 29 del RGPD. En conclusión, no cabe sancionar a NATURGY por un tratamiento que SEI ha realizado como responsable del tratamiento independiente. Más aún cuando el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 82.2 del RGPD prevé que el encargado del tratamiento responda de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable, tal y como ha ocurrido en el caso que nos ocupa. Adicionalmente, no se han cumplido los requisitos del procedimiento administrativo común por cuanto se está contraviniendo la doctrina de actos propios, así como no se notificó a NATURGY, en tanto que parte interesada, la estimación del recurso de reposición presentado por el Reclamante contra la Propuesta de Resolución de archivo de la reclamación contra mi mandante.>> De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Consta en el expediente el Contrato de Suministros Dual y Servicios de Naturgy, de fecha 26 de octubre de 2022, en el que consta datos personales del reclamante (nombre y apellidos, NIF, teléfono móvil, dirección de correo electrónico), la dirección del punto de suministro y de la prestación de los servicios, la dirección postal de correspondencia, la CUPS de gas y la CUPS de electricidad y la orden de domiciliación de adeudo directa SEPA. SEGUNDO. – Obra en el expediente certificación, de fecha 26 de octubre de 2022, expedida por la entidad Aviva Voice Systems & Services, S.L., que actúa en su condición de Tercera Parte de Confianza, con el siguiente contenido: “CERTIFICA: La entidad Naturgy Iberia S.A. con CIF/NIF A08431090 está dada de alta en nuestro servicio de envío y recepción de mensajes SMS, email y alojamiento de microportales WEB. Haciendo uso de nuestro servicio, dicho usuario ha realizado las siguientes comunicaciones por mensajes SMS, email y WEB: 1. Envío: mensaje SMS el día (...) CET al número de móvil ***TELÉFONO.1 con remitente Naturgy con el siguiente texto: "Para confirmar contratación, acceda al siguiente enlace ***URL.1 en el encontrara su contrato, política de privacidad y decirnos si quiere que tratemos sus datos para ciertos fines" Según nuestros registros, el texto del mensaje fue entregado a las (...) CET. 2. La página WEB a la que apunta el link ***URL.1 se halla alojada en nuestros servidores y se ha generado automáticamente de forma personalizada. El contenido de la misma se anexa en la última página de este certificado y para acceder a la misma se requiere introducir el NIF del destinatario del contrato. Según nuestros registros, a las (...) CET se accedió a esta página, previa introducción del identificador (...). Según nuestros registros, el botón "Contratar" contenido en la página WEB a la que apunta dicho link fue pulsado a las (...) CET desde la dirección ***IP.1” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 TERCERO. - Consta en el expediente correo electrónico remitido por el reclamante, el 1 de diciembre de 2022, al Servicio de Atención al Cliente de Naturgy con el nombre de asunto “Contrato fraudulento” y el siguiente contenido: “(…) En el día de hoy recibo un correo de mi suministradora de electricidad (endesa) y me dicen que tramitan mi baja en el contrato. Me indican que es a instancia de mi nueva suministradora. Llamo a la distribuidora (Unión Fenosa) y me indican que mi nueva suministradora en Naturgy, desde el 28 de octubre. Llamo a Naturgy, (…) (…) En la opción 5 me indican que tengo contrato con Naturgy desde el 28 de octubre de luz, gas y otros servicios. Pero que no tiene acceso al supuesto contrato firmado por mi. NORMAL, YO NO FIRMÉ NINGÚN CONTRATO CON NATURGY EN OCTUBRE. Así, me facilita este correo para que les pida el CONTRATO FIRMADO POR MI con efectos del 28 de octubre. Insisto, yo no firmé ningún contrato. Todas las facturas que se me giren por este contrato falso serán devueltas. (…)” CUARTO. - Consta en el expediente correo electrónico remitido por el Servicio de Atención al Cliente de Naturgy, el 2 de diciembre de 2022, al reclamante con el siguiente contenido: “Te informo que he enviado tu solicitud al departamento correspondiente para que puedan solucionar tu solicitud. Se pondrán en contacto contigo en la mayor brevedad posible cuando este solucionado. Código de solicitud: ***CODIGO.1.” QUINTO. - Consta en el expediente correo electrónico remitido por el Servicio de Atención al Cliente de Naturgy, el 2 de diciembre de 2022, al reclamante con el nombre de asunto “Contrato fraudulento” y el siguiente contenido: “Atendiendo tu solicitud, te informo que la incidencia con código ***CODIGO.1 abierta el día 02/12/22 por el motivo que nos comentas, se encuentra en gestión. En cuanto el departamento asignado para ello lo haya revisado y gestionado, se pondrá en contacto contigo lo antes posible. Con respecto a la cesión de datos, indicarte que al tener contrato activo con nuestra comercializadora, tus datos se ceden, además de a las empresas suministradoras, a las empresas colaboradoras que llevan a cabo los servicios que tienes contratados que son SVE Xpress y ServiGas Complet con calefacción. Igualmente, te confirmo que los contratos de electricidad y gas de la dirección de suministro ***DIRECCIÓN.1 se encuentran datos de baja con fecha 07/12/22 y 10/12/22 respectivamente y por este motivo, quedan anulados con fecha de hoy los servicios mencionados anteriormente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 SEXTO. - Consta en el expediente comunicaciones remitidas por Naturgy, el 11 y el 13 de enero de 2023, al reclamante con el siguiente contenido: “Lamentamos comunicarle que finalmente hemos tenido que darle de baja del contrato de energía y/o servicios. Recuerde, que la baja de su/s contrato/s no implica que la deuda, de (…) se haya cancelado. (…) Detallamos la/s factura/s pendientes al final de esta carta.” En la comunicación de 11 de enero de 2023 figuran dos facturas de fecha 9 de diciembre de 2022. En la comunicación de 13 de enero figuran las mencionadas facturas de fecha 9 de diciembre de 2022 y otra de fecha 13 de diciembre de 2022. SÉPTIMO – Consta en el expediente escrito de la Oficina de Garantía del Servicio al Cliente de Naturgy, de fecha 25 de enero de 2023, dirigido a la parte reclamante, con el siguiente contenido: “(…) En referencia al punto de suministro ***DIRECCIÓN.2, comprobamos que, el 26 y 28 de octubre de 2022, activamos los contratos de suministro eléctrico y gas, así como los contratos de servicio de mantenimiento ServiElectric y ServiGas. El 1 y 7 de diciembre de 2022, procedimos a inactivar los contratos de gas y electricidad por cambio de comercializadora. El 16 de diciembre de 2022 tramitamos la baja del servicio de mantenimiento “ServiElectric y ServiGas, dejando sin efecto todas las cuotas emitidas desde la activación del contrato. Actualmente no tiene importes pendientes de pago. (…)” OCTAVO. - Con fecha 19 de mayo de 2023, en respuesta al traslado de la presente reclamación y el día 8 de abril de 2024, en las alegaciones al Acuerdo de Inicio, la parte reclamada reconoce que la contratación realizada a través de SEI revistió un carácter fraudulento, manifestando que “se constató que esta contratación fue gestionada por la empresa SOLUCIONES EMPRESARIALES INTEGRALES 2022 S.L. • Se ha verificado que SEI no había registrado en los sistemas de Naturgy la grabación de la llamada de contratación de los Servicios Objeto de la Reclamación, por lo que Naturgy ha requerido a la entidad SEI que aporte dicha grabación, sin que hasta la fecha haya sido entregada por SEI. • El Reclamante indica que la contratación se realizó a través de un teléfono y de una IP que desconoce. Naturgy ha realizado comprobaciones y ha identificado ciertas prácticas irregulares por parte de SEI en relación con dicha IP. • Se ha producido una renuencia de SEI a colaborar con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 investigación” pues “solamente perseguiría la obtención ilícita de una comisión por la consecución de nuevas contrataciones”. NOVENO. - Consta en el expediente contrato de prestación de servicios comerciales para empresas colaboradoras suscrito el 1 de mayo de 2022 entre Naturgy Iberia, S.A. y Soluciones Empresariales Integrales 2022, S.L. En tal contrato se indica: “ Que NATURGY IBERIA es una sociedad especializada en la comercialización de bienes y prestación de servicios relacionados con la energía.  Que EL COLABORADOR (Soluciones Empresariales Integrales 2022, S.L.), es una sociedad dentro de cuyo objeto social se concreta el relativo a que desarrolla, entre otras, la actividad de asesoría y de apoyo comercial y técnico para la captación de clientes tanto presencial como telefónicamente de Residencial y Pyme y Renovación de clientes (Pyme).” DÉCIMO. - Consta en el expediente contrato de encargo del tratamiento de datos suscrito el 1 de mayo de 2022 entre Naturgy Iberia, S.A. y Soluciones Empresariales Integrales 2022, S.L.. En tal contrato se indica: “I.- Que, con fecha 01 de mayo , las Partes han suscrito un Contrato de prestación de servicios (en adelante, “Contrato de Servicios”) en virtud del cual el ENCARGADO DEL TRATAMIENTO, en los términos establecidos en el mismo, asesorará en materia de energía a usuarios finales residenciales y PYMES, y prestará apoyo comercial y técnico para la captación de nuevos clientes (Residencial y Pyme) y renovación de clientes (Pyme) a los que ofrecer los productos y servicios comercializados por NATURGY, tanto presencial como telefónicamente (en adelante, los Servicios). (…) 5. OBLIGACIONES DEL RESPONSABLE DEL TRATAMIENTO Corresponden al RESPONSABLE DEL TRATAMIENTO las siguientes obligaciones:
4. a)Cumplir con el RGPD, la LOPD, así como con cualquier otra normativa en materia de protección de datos que, en cada momento, resulte de aplicación al Tratamiento de Datos objeto del Contrato.” DECIMOPRIMERO. - Consta en el expediente comunicación remitida por Naturgy a Soluciones Empresariales Integrales 2022, S.L., el 15 de mayo de 2023, con el nombre de asunto “Comunicación de resolución anticipada del contrato de Colaboración por incumplimiento de la Empresa Colaboradora” y el siguiente contenido: Contactamos con Uds. con ocasión del Contrato de Colaboración suscrito entre Naturgy Iberia, S.A. (“NATURGY”) y SOLUCIONES EMPRESARIALES INTEGRALES 2022, SL (el “COLABORADOR”) firmado por Ustedes el 29 de septiembre de 2022 y que fue prorrogado por ambas partes en fecha 24 de febrero de 2023 (el “Contrato”). “El motivo del presente es comunicarles la decisión irrevocable de esta parte de terminar el Contrato con carácter inmediato de conformidad con lo previsto en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 Cláusula DECIMOTERCERA apartado (iii) del mismo con motivo de los incumplimientos llevados a cabo por el COLABORADOR y que se detallan más adelante. Así, se hace constar que NATURGY ha tenido constancia de que el COLABORADOR ha incumplido de forma reiterada, entre otras, las obligaciones detalladas en cláusula SÉPTIMA.3 (“Metodología de trabajo para la comercialización”), cláusula SÉPTIMA.6 (“Derechos de Propiedad Industrial”), Anexo IV (Mercado Residencial) del Contrato y Código de Buenas Prácticas Comerciales Anexo al mismo y que se mencionan en la columna “Incumplimiento” en relación con los clientes a que hacen referencia las reclamaciones de la columna “Reclamación”: Reclamación (…) Incumplimiento: Irregularidades en la contratación. Ausencia de evidencias del consentimiento del cliente a la contratación o irregularidades en las mismas. Reclamación (…) Incumplimiento: Irregularidades en la contratación. Ausencia de evidencias del consentimiento del cliente a la contratación o irregularidades en las mismas. (…) Por último, les requerimos para que en el plazo de quince días nos hagan entrega de todas las locuciones telefónicas de verificación de la contratación de los productos y servicios de Naturgy realizadas con la intervención del COLABORADOR durante la vigencia del Contrato. Las mencionadas locuciones deberán remitirse a Naturgy en formato mp3 a través de Tranxfer con acuse de recibo y un mes de fecha de expiración al gestor asignado a su cuenta y al Delegado de la zona y de manera tal que se puedan relacionar inequívocamente con el cliente al que hacen referencia. De igual modo si existiera algún contrato en papel que no haya sido enviado aún para su custodia se enviara por correo certificado al gestor asignado. (…)” DECIMOSEGUNDO. - Consta en el expediente correo electrónico remitido por la Oficina de Garantía del Servicio al Cliente de Naturgy al reclamante el 21 de febrero de 2024, con el nombre de asunto “(…)” y el siguiente contenido: “Como le indicábamos en nuestro escrito del pasado 13 de noviembre de 2023, desde NATURGY lamentamos sinceramente la situación ocurrida con su contrato y estamos dispuestos a abonarle todos los daños y perjuicios que se le hubiesen podido causar y nos pueda acreditar documentalmente. Por este motivo, en fecha 20 de enero de 2023 anulamos el importe total de (...)€ correspondiente a las facturas que desde Naturgy le habíamos emitido por el suministro de gas y electricidad en su domicilio y que Ud. nos había devuelto. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas En relación con las alegaciones de la parte reclamada que manifiesta: <<Las contrataciones irregulares llevadas a cabo por SEI en contra de las instrucciones de NATURGY no le permite ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY –tal y como éstos han reconocido- actuaron, por tanto, como responsable del tratamiento: Teniendo en cuenta que el artículo 4.8 del RGPD define la figura del encargado del tratamiento como aquella persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento, tal y como se expondrá a continuación, SEI no actuó como encargado del tratamiento en las contrataciones objeto de la presente reclamación. En otras palabras, <> significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado>>. Así se establece precisamente en el artículo 28.10 del RGPD en el que se prevé que si un encargado del tratamiento infringe el RGPD al determinar los fines y medios del tratamiento, será considerado como responsable del tratamiento con respecto a dicho tratamiento>>. Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7 de julio de 2021, detallan lo siguiente: “Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su contenido esencial, el contrato debe servir para que el responsable y el encargado aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGPD, sino que debe incluir una información más específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de seguridad que se precisará para el tratamiento de los datos personales objeto del contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento.” Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado” Sobre los «Los fines y medios» las citadas directrices recogen las siguientes consideraciones: “(…) Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo» (…) La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios del tratamiento, tal como se describe más adelante. En consecuencia, no puede limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que un ente se considere responsable del tratamiento y en qué medida puede el encargado del tratamiento tomar decisiones propias. (…)” Pues bien, la parte reclamada añade que la empresa colaboradora no siguió sus instrucciones, sino que se apartó por completo de ellas. Sin embargo, la parte reclamada no solamente debe dar instrucciones a SEI, tal como manifiesta, sino está obligada a supervisar su actuación, es decir debe establecer controles de cumplimiento para garantizar que se cumplan y así detectar cualquier actividad ilegal o inadecuada por parte del encargado del tratamiento cosa que no hizo la reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 A mayor abundamiento, se hace necesario acudir a la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, dictada en el asunto C683/21 (Nacionalinis visiomenès sveikatos centras), la cual indica: “83 Por lo que respecta, en segundo lugar, a la cuestión de si puede imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento en relación con las operaciones de tratamiento efectuadas por un encargado, es preciso recordar que, según la definición que figura en el artículo 4, punto 8. del RGPD, se entiende por encargado del tratamiento <<la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuanta del responsable del tratamiento>> 84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe el mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en las que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que se ha recurrido, quien ha efectuado el tratamiento por cuenta suya” Así como citar la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 20223, dictada en el asunto C-807/21 (Deutsche Wohnen), que indica “24 En efecto, según el mencionado órgano jurisdiccional, esta jurisprudencia, al igual que la mayoría de la doctrina nacional, concede especial importancia al concepto de <<empresa>>, en el sentido de los artículos 101 TFUE y 102 TFUE y, por tanto, a la idea de que la responsabilidad se imputa a la entidad económica en la que se ha adoptado el comportamiento indeseable, por ejemplo, un comportamiento contrario a la competencia. A su entender, conforme a esta concepción <<funcional>>, todos los actos de todos los empleados autorizados a actuar en nombre de una empresa son imputables a la empresa también en el marco de un procedimiento administrativo. 44 Por lo que respecta a las personas jurídicas, esto implica, por una parte, como ha señalado, en esencia, el Abogado General en los puntos 57 a 59 de sus conclusiones, que estas son responsables no solo de las infracciones cometidas por sus representantes, directores o gestores, sino también por cualquier otra persona que actúe en el ámbito de la actividad empresarial de esas personas jurídicas y en su nombre. Por otra parte, las multas administrativas previstas en el artículo 83 del RGPD en caso de que se produzcan tales infracciones deben poner imponerse directamente a personas jurídicas cuanto estas pueden ser calificadas de responsables del tratamiento en cuestión” Por tanto, a la vista de lo expuesto, el responsable de un tratamiento de datos de carácter personal puede responder por las actuaciones negligentes de los empleados de su encargado del tratamiento. Naturgy ha señalado en sus alegaciones que esta conclusión se aparta de otros pronunciamientos de esta AEPD. Sin embargo, lo alega invocando un precedente en el que se sanciona a la entidad responsable del tratamiento, y no al encargado, en base a fundamentos de derecho similares a los valorados en este acto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 Así, en ese precedente se indica: “El art. 33.2 de la LOPDGDD indica que se consideran responsables y no encargados los que “en su propio nombre y sin que consten que actúen por cuenta de otro establezca relaciones con los afectados”; lo que, interpretado en sentido contrario, supone que es encargado quien en nombre del responsable establece relaciones con los afectados. Ello es independientemente de si para ello es preciso acceder a datos por cuenta de terceros. El encargado, para serlo, no ostenta ningún interés propio respecto del resultado del tratamiento objeto de encargo, sin perjuicio de la compensación económica que recibe por el servicio prestado y que es lo que acontece en el supuesto examinado. Los encargados no tienen ningún interés propio, actúan por cuenta y en nombre del responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo que determina que sean encargados desde el principio”. “La existencia de encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar ella misma determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. La esencia de la función de « encargado del tratamiento» es que los datos personales sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica, es el responsable el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene una función de prestar servicios a los Responsables del Tratamiento. En otras palabras, “actuando en nombre y por cuenta del responsable del tratamiento” significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado”. “Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por cuenta del responsable del tratamiento pertenece la esfera de actuación de éste último, de igual forma que si lo realizara directamente él mismo. El encargado de tratamiento, en el supuesto examinado, es una extension del responsable del tratamiento. El responsable del tratamiento tiene la obligación de integrar y desplegar la protección de datos dentro de todo lo que constituya su organización, en todos sus ámbitos. Se debe de tener muy presente que, en última instancia, la finalidad determinante es la de garantizar la protección del interesado. Interpretarlo en sentido contrario -las obligaciones que el artículo 28 del RGPD impone al responsable del tratamiento se limitan a verificar las capacidades del encargado ab initio y a suscribir el contrato de encargado del tratamiento- no sólo contravendrían la legalidad vigente constituyendo una actuación claramente fraudulenta, sino que violaría el espíritu y finalidad del RGPD”. “…los encargados podrán ser considerados responsables cuando hayan actuado al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 margen del mandato otorgado por el responsable del tratamiento, o no hayan cumplido sus propias obligaciones contractuales o con arreglo al RGPD. En estos casos, el encargado del tratamiento puede ser considerado total o parcialmente responsable de la “parte” de la operación de tratamiento en la que participa. Solo será el encargado plenamente responsable cuando sea enteramente responsable de los perjuicios ocasionados en cuanto a los derechos y libertades de los interesados afectados ; todo ello, sin eludir la responsabilidad en la que el responsable del tratamiento haya incurrido a fin de evitarlos”. A fin de contestar a la alegación por haberse producido un cambio de criterio sin la suficiente motivación basta con hacer una remisión a los Antecedentes, en los que se ha abordado esta cuestión, hay que señalar que el reclamante interpuso recurso de reposición ante la resolución de esta Agencia de archivo de la reclamación aportando nueva documentación junto con el recurso escritos que fueron remitidos por la parte reclamada al reclamante el 11 y el 13 de enero de 2023 reclamando el pago de una deuda. En contra de lo señalado por Naturgy, la estimación de dicho recurso de reposición interpuesto por la parte reclamante, que da lugar a la admisión a trámite de la reclamación formulada, no vulnera la doctrina de los actos propios. Y, por otra parte, con fecha 31 de octubre de 2023 se notificó el recurso interpuesto a la parte reclamada, lo que se ha verificado mediante escrito de respuesta de fecha 13 de noviembre de 2023, y con fecha 23 de noviembre de 2023 se estimó el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 31 de mayo de 2023, por la que se acordaba el archivo de la reclamación, indicando en el mismo: “Se observa en el presente caso que la entidad encargada de la contratación, actuando en nombre de la parte reclamada, realizó una conducta fraudulenta, lo que queda plenamente reconocido por la parte reclamada, ocasionando un perjuicio al cliente. El sistema de contratación permite que entidades ajenas a la parte reclamada, sobre cuya actuación niega toda responsabilidad, realicen contratos en su nombre. Destaca además el hecho de que, pese a que la parte reclamada insiste en que se establecen medidas adecuadas en el cumplimiento de estos contratos y que se trata de una actuación con mala fe de la entidad concreta que participó en la contratación, existe precedente de contrataciones fraudulentas, realizadas en términos semejantes, en otros expedientes de esta Agencia, todas realizadas en nombre de NATURGY IBERIA, S.A. por otras entidades contratadas distinta de la señalada en el presente procedimiento. Por tanto, en el presente caso procede la estimación del recurso interpuesto”. Respecto a la existencia de indefensión para que pueda apreciarse no resulta suficiente con que se haya producido una infracción formal sino que ha de haberse producido una indefensión de carácter material, en palabras del TC, STC 290/1993, fundamento jurídico 4 “Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso pues, en fecha 27 de octubre de 2023, se remitió el recurso interpuesto a Naturgy Iberia, S.A., y con fecha 31 del mismo mes y año accedió la parte reclamada al contenido del mismo en el marco de lo establecido en el artículo 118.1 de la LPACAP, a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, además la parte reclamada ha podido alegar en el procedimiento sancionador todo cuanto a su derecho ha estimado conveniente, por lo que ninguna indefensión material se ha producido. Cabe señalar, asimismo, que la resolución estimatoria del recurso de reposición, por la que se admite a trámite la reclamación que motiva las presentes actuaciones, fue notificada a la parte reclamante conforme a lo dispuesto en el artículo 65.5 de la LOPDGDD, según el cual “La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente deberá notificarse al reclamante…”. III Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26
7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que Naturgy Iberia realiza, entre otros tratamientos, la recogida y conservación de los siguientes datos personales de personas físicas, tales como: nombre y apellido, documento de identidad, domicilio, número de teléfono, datos bancarios, datos de suministro, entre otros tratamientos. Naturgy Iberia realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Pues bien, ha quedado constatado, que la parte reclamada activó los contratos de gas y electricidad y los servicios de mantenimiento y se emitieron facturas y requerimientos de pago respectivos. Por otro lado, la documentación que obra en el expediente evidencia que la reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello. Los datos personales de la reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento efectuado. Los datos personales de la parte reclamante fueron registrados en los ficheros de la reclamada y fueron tratados para la emisión de facturas por servicios asociados a la parte reclamante. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Resultaba por ello esencial que la reclamada acreditara ante esta Agencia que el reclamante había contratado con ella los suministros de gas y electricidad; que al tiempo de la contratación había desplegado la diligencia que las circunstancias del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 caso exigían para asegurarse de que la persona que tramitó la baja de los contratos de gas y electricidad, dando de alta los nuevos con el reclamante era efectivamente su titular. Pues bien, es preciso señalar en primer lugar que, en respuesta de fecha 19 de mayo de 2023 a la actuación de traslado, enviada a Naturgy, esta manifestó que: 1) “Que la contratación se realizó por medio de una herramienta en la que, durante el proceso de contratación, si el cliente manifiesta su intención de contratar un producto, se le envía un SMS, que contiene un enlace a una web en la que es mostrada al cliente la información de los productos ofrecidos y condiciones contractuales, y donde debe pulsar en un “botón” para dar su consentimiento para la contratación y el adeudo SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su voluntad de contratar, así como la IP desde la que se realiza. Todo el proceso de contratación, desde el envío del SMS, contenido del mismo, acceso a la web enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la contratación, es certificado por una Tercera Parte de Confianza, la entidad Aviva Voice Systems & Services, S.L. Así, tal y como se recoge en la primera página de la certificación expedida por Aviva para la contratación de los Servicios Objeto de la Reclamación, el día (…) se remitió un SMS al número de teléfono móvil ***TELÉFONO.1. Dicho SMS contenía un enlace a la web en la que se mostraba la información de los productos ofertados, así como las condiciones de contratación, y se solicitaba el consentimiento para contratar. A continuación, siendo las 13:31h., se accedió a la citada web, y desde la dirección ***IP.1 se pulsó en el botón “Contratar” contenido en dicha página web, mediante el que se confirma la voluntad de contratar”. 2) Naturgy indica que a raíz de la primera reclamación formulada por el reclamante en fecha 1 de diciembre de 2022, Naturgy inició una investigación pormenorizada de lo ocurrido, con el resultado de que esta contratación fue gestionada por la empresa Soluciones Empresariales Integrales 2022 S.L. (en adelante, SEI), en calidad de encargado del tratamiento. También indica Naturgy que ha verificado que el encargado del tratamiento no había registrado en sus sistemas la grabación de la llamada de contratación de los servicios objeto de la reclamación, por lo que Naturgy ha requerido al encargado del tratamiento que aporte dicha grabación, sin que hasta la fecha haya sido entregada por SEI. 3) Que la contratación realizada, a través de SEI revistió un carácter fraudulento, pues "solamente perseguiría la obtención ilícita de una comisión por la consecución de nuevas contrataciones." 4) Considera que la conducta de SEI "no ha obedecido, directa o indirectamente, a ninguna instrucción o mandato de Naturgy, y se habría realizado en clara contravención de las instrucciones y buenas prácticas que Naturgy exige a sus empresas colaboradoras y, además de un grave incumplimiento de las obligaciones contractuales, constituiría un fraude contra Naturgy". 5) Que se han adoptado una serie de medidas contra SEI, resolviendo de forma inmediata el contrato que tenía suscrito con esa entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 Por tanto, Naturgy, ha reconocido la existencia de una actuación incorrecta en la gestión de los datos de la parte reclamante, tal como señala la contratación realizada, a través de un encargado de tratamiento revistió un carácter fraudulento. No se comprobó el número de teléfono a quien se envió el SMS para la confirmación de la contratación. Además, consta en el expediente que la parte reclamante advirtió a Naturgy, mediante correo electrónico de fecha 01/12/2022, que no había solicitado el alta de los suministros a los que se refiere la reclamación ni suscrito contrato alguno con dicha entidad, los cuales fueron dados de baja por un cambio de comercializadora realizado por la propia parte reclamante, que activó dichos suministros nuevamente con su comercializadora anterior, y no en atención a esa reclamación, como parece señalar la parte reclamada. Asimismo, consta que, a pesar de la reclamación formulada por la parte reclamante ante Naturgy, esta entidad emitió facturas y requerimientos de pago con posterioridad, y que anuló los cargos emitidos en febrero de 2024, una vez la reclamación que ha motivado las actuaciones fue admitida a trámite por la AEPD. A la vista de lo anterior, la parte reclamada no logra acreditar que se actuara diligentemente y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En este sentido el Considerando 40 del RGPD señala: “