← España

PS-00546-2022

1/66  Expediente N.º: EXP202105352 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 03/11/2021 interpone reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IBERDROLA CLIENTES, S.A.U., con NIF A95758389 (en adelante, la parte reclamada o IBERCLI). El motivo en el que basa la reclamación es la baja, efectuada sin su conocimiento ni consentimiento, del contrato de suministro eléctrico que tenía suscrito con NATURGY IBERIA, S.A. (en adelante, NATURGY o la comercializadora saliente) para el CUPS del que es titular. La parte reclamante ha manifestado: -En fecha 23/10/2021 recibe un SMS de NATURGY, la comercializadora con la que tenía contratado el suministro eléctrico, con el texto “hemos dado de baja tu contrato de electricidad en tu vivienda con C.P. XXXX”. - No habiendo realizado ningún cambio, y tras verificar que no consta en la página web de atención al cliente de NATURGY ningún contrato de electricidad para el CUPS de su vivienda (calle ***DIRECCIÓN.1), contacta con esa entidad que le informará de que el cambio se efectuó tras haber recibido una orden de la distribuidora UNIÓN FENOSA DISTRIBUCION, S.A., (en adelante UNIÓN FD o UFD Distribución) siguiendo el procedimiento estándar, orden que está obligada a cumplir. Número de la incidencia tramitada ante NATURGY RR-***INCIDENCIA.1. -Contacta con UNIÓN FD, que le confirma que ha trasladado a NATURGY una orden de cambio de comercializadora y de cambio titular del CUPS de su vivienda y le informa de que IBERCLI es la nueva comercializadora del punto de suministro (comercializadora entrante). Incidencia tramitada ante UNIÓN FD número ***INCIDENCIA.2. -Posteriormente, el reclamante contacta con IBERCLI, quien le informa de que está dando servicio al CUPS de su vivienda pero que no pueden facilitarle más información ya que él no es el titular del servicio tras el cambio producido. -Para que exponga su problema, IBERCLI remite al ahora reclamante a la dirección de correo ***EMAIL.1, a la que debe enviar copia de su DNI y de la última factura que le emitió NATURGY (comercializadora saliente). Desde esa dirección reenvían al reclamante, para hacer el mismo trámite -remitir copia del DNI y de la última factura-, a ***EMAIL.1. Número de seguimiento de reclamación ante IBERCLI: XXXXXXXXX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/66 La parte reclamante aporta estos documentos: - Denuncia formulada ante la Comisaría de Policía el 27/10/2021. - DNI. - Última factura que NATURGY emitió a su nombre, número ***FACTURA.1, de fecha 19/10/2021, en relación con el CUPS de electricidad ***CUPS.1 asociado a la dirección de suministro ***DIRECCIÓN.1. En la factura constan los datos identificativos del reclamante y sus datos bancarios parcialmente anonimizados, el número de contrato de electricidad y el tipo de tarifa (Tarifa noche luz). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, IBERCLI, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se notificó a la parte reclamada electrónicamente, conforme a la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). La notificación se puso a su disposición el 9/12/2021 y fue aceptada el 13/12/2021. Así consta en el acuse de recibo que obra en el expediente. IBERCLI responde al traslado el 13/01/2022. Solicita que se archiven las actuaciones iniciadas frente a ella y manifiesta que: - El origen de los hechos “es el error de un tercer cliente que dio de alta un contrato de suministro energético a su nombre (TESTA RESIDENCIAL SOCIMI, S.A.) pero sobre un CUPS erróneo”. Indica que “siguiendo las expresas instrucciones del cliente se procedió a comunicar a la distribuidora la solicitud de baja contractual sobre el CUPS erróneo.” Informa de que en fecha 18/10/21 TESTA RESIDENCIAL SOCIMI, S.A. (en lo sucesivo TESTA o el tercero) solicitó contratar el suministro energético sobre el CUPS ***CUPS.1, suscribiendo dicho contrato mediante firma y aportando para ello la documentación societaria relativa a la representación de la persona jurídica titular del contrato. - El 23/12/2021, advertido el error, TESTA solicita la baja del contrato que figuraba a su nombre y estaba asociado a un CUPS erróneo. - Con el fin de evitar que se produzcan incidentes similares IBERCLI dice que “se procurará la verificación por parte de los nuevos clientes, del CUPS sobre el que van a contratar, así como la repetición numérica del mismo para evitar imprecisiones o errores en las contrataciones.” TERCERO: En fecha 24/01/2022, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la AEPD acordó admitir a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/66 El acuerdo de admisión a trámite de la reclamación se notificó a la parte reclamante mediante anuncio publicado en el BOE (Suplemento de notificaciones del BOE de 10/03/2022), al haberse intentando sin efecto la notificación postal, de conformidad con el artículo 44 de la LPACAP. CUARTO: La Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos en virtud de las funciones que asigna a las autoridades de control el artículo 57.1 y de los poderes que le otorga el artículo 58.1, ambos del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. El Informe de actuaciones de investigación previa se firmó por el inspector actuante el 23/09/2022. En él se indica que se practicaron actuaciones ante las siguientes entidades: IBERDROLA CLIENTES, S.A.U., con NIF A95758389; NATURGY ENERGY GROUP, S.A., con NIF A08015497 y UNIÓN FENOSA DISTRIBUCION, S.A., con NIF A82153834. Se reproduce seguidamente el apartado “Resultado de las Actuaciones de Investigación”, del mencionado informe de la Inspección de Datos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN [...] Procedimiento de cambio de comercializador Expresa Naturgy (EscritoNaturgy#1) que los intervinientes en el procedimiento de cambio de comercializador de energía eléctrica son tres (además del usuario cliente): - “Comercializador entrante: Es el nuevo comercializador que solicita al distribuidor el cambio de comercializador a su favor. - Comercializador saliente: El comercializador que deja de suministrar al consumidor una vez se haya finalizado el proceso y sea efectivo el cambio de comercializador. - Distribuidor: Es el propietario de la red de distribución en la que se sitúa en general el punto de suministro, el sujeto que factura las tarifas de acceso, el encargado del sistema de información de los puntos de suministro, y el encargado de la lectura en los puntos de consumo. El distribuidor, por tanto, realiza la tramitación de las solicitudes de cambio de comercializador.” Describe Naturgy el procedimiento de cambio de comercializador de energía eléctrica en los siguientes párrafos del EscritoNaturgy#1: “El proceso se inicia con la firma por parte del cliente del contrato de suministro con el nuevo comercializador (entrante). A continuación, el comercializador (entrante) enviará una solicitud de cambio al distribuidor a través del Sistema de Comunicación de Transporte Distribución (en adelante, SCTD). El distribuidor realiza las validaciones de formato y contenido definidas para cada proceso y, en consecuencia, evalúa si acepta o rechaza su tramitación bajo unos criterios también definidos y recogidos en la normativa que regula este sistema de comunicación. En caso de aceptar la solicitud, activa el cambio e informa de dicho cambio tanto al comercializador entrante como al saliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/66 Todos los intercambios de información entre distribuidores y comercializadores se realizan utilizando el formato definido por la Comisión Nacional de los Mercados y la Competencia (en adelante CNMC) para cada proceso. El formato define el flujo de comunicaciones o mensajes que se intercambian los agentes involucrados, es decir, distribuidores y comercializadores, los plazos establecidos para el envío de los mensajes, los supuestos de concurrencia con otros procesos, los motivos de rechazo e incidencias, así como, los ficheros de comunicación electrónica que deben utilizar para transmitir cada mensaje. Así pues, en el caso del cambio de comercializador existen dos formatos distintos: 1. Uno para el cambio de comercializador sin modificaciones en el contrato de acceso, denominado: a. C1 en el sector eléctrico […] 2. Otro para el cambio de comercializador con modificaciones en el contrato de acceso (e.g. cambio de titular del contrato, cambio del ATR, etc.), denominado: a. C2 en el sector eléctrico […] Tal y como se ha indicado, todas las solicitudes de cambio de comercializador, con o sin modificación contractual, se tramitan a través del sistema SCTD de cada distribuidor, en el que se gestiona tanto el intercambio de mensajes definido para cada proceso como la ejecución, activación y comunicación de los mismos, según los formatos de ficheros de intercambio de información entre distribuidores y comercializadores establecidos por la CNMC en las resoluciones correspondientes a los Expedientes INF/DE/152/15 e INF/DE/011/19”. El documento de la CNMC “RESOLUCIÓN POR LA QUE SE APRUEBAN LOS FORMATOS DE LOS FICHEROS DE INTERCAMBIO DE INFORMACIÓN ENTRE DISTRIBUIDORES Y COMERCIALIZADORES DE ENERGÍA ELÉCTRICA Y DE GAS NATURAL” -en adelante la Resolución- (ver Diligencia Referencias) incluye información sobre los formatos de fichero C1 (Cambio de comercializador sin modificaciones en el contrato de acceso) y C2 (Cambio de comercializador con modificaciones en el contrato de acceso). En ambos casos define los conceptos de “validaciones de formato” y “validaciones de contenido” que ha de realizar el distribuidor para que la solicitud sea aceptada: - “Validaciones de formato: Comprobaciones formales que realiza el distribuidor (…) de un punto de suministro al efecto de verificar que la mensajería XML (eXtensible Markup Language, o lenguaje de anotación extensible5) utilizada se corresponde con la definición dada en la estructura básica del XSD (XML Schema Definition lenguaje de esquema utilizado para describir la estructura y las restricciones de los contenidos de los documentos XML). Estas validaciones de formato se realizarán sobre el total del contenido del mensaje XML independientemente del carácter obligatorio u opcional de los campos que contiene el mensaje. Si un mensaje XML no supera la validación de formato no entra en los sistemas del distribuidor.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/66 - “Validaciones de contenido: Comprobaciones que realiza el distribuidor sobre el contenido de la solicitud de cambio de comercializador para verificar que se cumplan los requerimientos específicos del proceso y comunes para todos los distribuidores (p.ej.: contenido mínimo obligatorio de la solicitud). También se denominan validaciones cruzadas.” - “Solicitud aceptada: Solicitud de C1 que pasa el filtro de las validaciones de formato y de contenido del distribuidor sobre las cuales el mismo asume un compromiso de activación.” - “Solicitud rechazada: Solicitud de C1 que pasa el filtro de las validaciones de formato del distribuidor pero que no supera las validaciones de contenido. - “Solicitud aceptada: Solicitud de C2 que pasa el filtro de las validaciones de formato y de contenido del distribuidor sobre las cuales el mismo asume un compromiso de activación sujeto a las limitaciones técnicas del proceso.” - “Solicitud rechazada: Solicitud de C2 que pasa el filtro de las validaciones de formato del distribuidor pero que no supera las validaciones de contenido.” En relación con los posibles motivos de rechazo a la operación por parte del distribuidor, la resolución señala lo siguiente: -En relación con el proceso C1: “El proceso de cambio de comercializador sin modificaciones en el contrato de acceso, el distribuidor deberá utilizar los motivos de rechazo que son de aplicación al proceso C1, de entre los recogidos en la tabla 27 en el documento denominado “CNMC - E - Tablas de códigos AAAA.MM.DD.doc” de los Formatos de Comunicación para el Sector Eléctrico, que se encuentra publicado en el apartado “Formatos de los ficheros de intercambio de electricidad” dentro del área “Cambio de Comercializador” de la Web de la CNMC.” -En relación con el proceso C2: “En los procesos de cambio de comercializador con modificaciones en el contrato de acceso, el distribuidor deberá utilizar los motivos de rechazo que son de aplicación al proceso C2, de entre los recogidos en la tabla 27 en el documento denominado “CNMC - E - Tablas de códigos AAAA.MM.DD.doc” de los Formatos de Comunicación para el Sector Eléctrico, que se encuentra publicado en el apartado “Formatos de los ficheros de intercambio de electricidad” dentro del área “Cambio de Comercializador” de la Web de la CNMC. El distribuidor podrá abrir una incidencia en campo por alguno de los motivos descritos en la tabla 28 en el documento denominado “CNMC - E - Tablas de códigos - AAAA.MM.DD.doc” de los Formatos de Comunicación para el Sector Eléctrico, que se encuentra publicado en el apartado “Formatos de los ficheros de intercambio de Electricidad” dentro del área “Cambio de Comercializador” de la Web de la CNMC. La incidencia podrá permanecer abierta por un plazo máximo de 30 días naturales, pasado ese tiempo sin que se hubiera subsanado se generará un rechazo.” Asimismo, el documento “FORMATO DE LOS FICHEROS DE INTERCAMBIO. TABLAS DE CÓDIGOS. ENERGÍA ELÉCTRICA” (ver Diligencia Referencias) contiene, entre los motivos de rechazo expuestos en la tabla número 27, el código “03” que refiere que el “NIF-CIF No coincide con el del Contrato en vigor”. Especifica la tabla además que este código es válido para el proceso “C1”, y “Excepto para cambios de titularidad y correcciones de datos del titular”, para el proceso “C2”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/66 Manifiesta el reclamado (EscritoReclamado#1) que cuando un cliente solicita un cambio de comercializador en el que actúa como comercializador entrante “el procedimiento es el mismo tanto si en este cambio hay cambio de titular como si no, puesto que Iberdrola desconoce quién era el titular de ese suministro en la otra comercializadora”. Añade al respecto que “Cuando un cliente se pone en contacto con IBERCLI para solicitar un alta, esta sociedad comunica tal situación a la sociedad distribuidora de que se trata y es la distribuidora la que comunica la baja a la anterior sociedad comercializadora. De este modo, IBERCLI en ningún momento conoce o se comunica con la anterior comercializadora.” Expresa además que el alta lo puede solicitar cualquier persona consumidora que manifiesta su voluntad de contratar con el reclamado y facilite la documentación requerida en la contratación. Explica así que “Cuando un consumidor solicita contratar el suministro en un punto, no requiere contar con el consentimiento del anterior titular del punto de suministro.” Explica el reclamado (EscritoReclamado#1) que las vías para efectuar la contratación que tiene disponibles son: el canal telefónico, el canal web y el canal presencial. Normativa aplicable al proceso de cambio de comercializador Cita el EscritoNaturgy#1 la siguiente regulación de referencia: Cambio de comercializador de electricidad: o Directiva UE 2019/944 del Parlamento Europeo y del Consejo, de 5 de junio de 2019, sobre normas comunes para el mercado interior de la electricidad y por la que se modifica la Directiva 2012/27/UE. Apunta los artículos 12 y 23. o Ley 24/2013, de 26 de diciembre, del Sector Eléctrico. Apunta los artículos 6, 40.1, 43.3, 44, 46, y disposición transitoria tercera. o Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión. Apunta los artículos 1, 4, 6, 7, y 8. o Orden ITC/1659/2009, de 22 de junio, por la que se establece el mecanismo de traspaso de clientes del mercado a tarifa al suministro de último recurso de energía eléctrica y el procedimiento de cálculo y estructura de las tarifas de último recurso de energía eléctrica. Apunta la disposición adicional primera. - Supervisión del cambio de comercializador: o Ley 3/2013, de 4 de junio, de creación de la Comisión Nacional de los Mercados y la Competencia. Cita el artículo 7. o Ley 24/2013, de 26 de diciembre, del Sector Eléctrico. Cita la disposición transitoria tercera. o Real Decreto 1011/2009, de 19 de junio, por el que se regula la Oficina de Cambios de Suministrador. Cita el artículo 3. o Real Decreto-ley 1/2019, de 11 de enero, de medidas urgentes para adecuar las competencias de la Comisión Nacional de los Mercados y la Competencia a las exigencias derivadas del derecho comunitario en relación a las Directivas 2009/72/CE y 2009/73/CE del Parlamento Europeo y del Consejo, de 13 de julio de 2009, sobre normas comunes para el mercado interior de la electricidad y del gas natural. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/66 Real Decreto 1074/2015, de 27 de noviembre, por el que se modifican distintas disposiciones en el sector eléctrico. Cita la disposición adicional tercera. Resoluciones de la CNMC que establecen los formatos de los ficheros intercambiados: o Resolución por la que se aprueban los ficheros de intercambio de información entre distribuidores y comercializadores de energía eléctrica y gas natural de 20 de diciembre de 2016. Expediente: INF/DE/152/15 o Resolución por la que se aprueban los ficheros de intercambio de información entre distribuidores y comercializadores y se modifica la resolución de 20 de diciembre de 2016, de 17 de diciembre de 2019. Expediente INF/DE/011/19 o Formatos y protocolos de comunicación entre comercializadores y distribuidores de electricidad aprobados por la Sala de Supervisión Regulatoria de la CNMC en sus sesiones del 20 de diciembre de 2016 y del 17 de diciembre de 2019. o Formatos y protocolos de comunicación entre comercializadores y distribuidores de gas natural aprobados por la Sala de Supervisión Regulatoria de la CNMC en sus sesiones del 20 de diciembre de 2016 y del 17 de diciembre de 2019. o - Cambio de comercializador en el supuesto reclamado Según dispone Naturgy (EscritoNaturgy#1) en el supuesto planteado los actores implicados son los siguientes: Naturgy Iberia S.A. (comercializadora saliente), UFD Distribución Electricidad S.A. (distribuidora de electricidad), -las dos anteriores pertenecientes al “Grupo Naturgy”-, e Iberdrola Clientes, SAU (comercializadora entrante). En relación con la acreditación del consentimiento del titular para la realización del cambio, Naturgy expresa que es responsabilidad de la comercializadora entrante en los siguientes términos: […] en el procedimiento de cambio de comercializador, ya sea con o sin modificaciones contractuales, para una persona física inicialmente titular de un contrato con una comercializadora del grupo Naturgy y que cambia a otra comercializadora, la comercializadora Naturgy actúa como comercializadora saliente, y, por tanto, únicamente es informada de la baja del cliente a través del mensaje de activación del cambio de comercializador que le envía el distribuidor. En cualquiera de los procesos, UFD […] actúan respectivamente como distribuidores de electricidad […], y como tales ejecutan el proceso en base a la petición del comercializador entrante en cumplimiento de la normativa aplicable. El comercializador que solicita el cambio de comercializador, es decir, el comercializador entrante, es quien actúa en representación del cliente y por tanto quien debería acreditar el consentimiento del titular para realizar el cambio, en caso de ser requerido.” El reclamado apunta (EscritoReclamado#1) que en este caso el alta del nuevo contrato se realizó en un punto de atención al cliente -canal presencial-. Adjunta (anexo 2) el contrato suscrito el 18 de octubre de 2021 que contiene la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/66 - Apellidos y Nombre/Razón Social: TESTA RESIDENCIAL SOCIMI, S.A Dirección del suministro: ***DIRECCIÓN.1 Población: ***POBLACIÓN.1 CUPS: ***CUPS.1 Empresa Distribuidora: UFD Distribución de Electricidad, S.A. El reclamado adjunta al EscritoReclamado#2 los mensajes intercambiados con UFD en el proceso: - Aporta el documento SOLICITUD_ALTA_C3_ELE_XML que contiene el mensaje de tipo “MensajeCambiodeComercializadorConCambios” referente al código de solicitud 202169117085. Este mensaje incluye los siguientes datos: o Fecha de solicitud: “10-18-2021-03:31:58” o Fecha prevista de acción: “2021-10-19” o CUPS: ***CUPS.1 o Tipo de modificación: “S” o Tipo de Solicitud Administrativa: “T” o Cliente: TESTA RESIDENCIAL SOCIMI, S.A (A82865890) - De acuerdo al documento de Tablas de Códigos el valor “S” en relación con el tipo de modificación contractual significa que “La solicitud de modificación contractual es únicamente de tipo administrativa”. Además, según este mismo documento, el valor “T” del tipo de solicitud administrativa significa “Cambio de titular por traspaso. Es un nuevo contrato de suministro con un nuevo titular y el comercializador actuando como sustituto del consumidor: El titular anterior no cede los derechos y obligaciones preexistentes (se corta el ciclo de facturación). Se regulariza el depósito de garantía (si procede). Modificaciones contractuales permitidas”. Aporta el documento ACEPTACION_ALTA_C2_EL_XML que refiere el código de solicitud 202169117085 y el CUPS ***CUPS.1. Aporta el documento ACEPTACION_C2 que refiere el código de solicitud 202169117085 y el CUPS ***CUPS.1. Expresa Naturgy (EscritoNaturgy#1) además que el reclamante fue titular del punto de suministro eléctrico ***CUPS.1 con ellos hasta el 18 de octubre de 2021. Manifiesta que ese día UFD recibió una solicitud del reclamado para el cambio de comercializador con modificaciones en el contrato de acceso (proceso “C2”) a favor de un nuevo titular (Testa). Indica que el cambio se activó el 19 de octubre de 2021, dejando dicho día el reclamante de ser su cliente. Se incorporan al EscritoNaturgy#1 impresiones de pantalla del sistema SCTD de UFD en relación con la solicitud. Entre los datos que consigna se encuentra la referencia al tipo “Cambio de titular por traspaso”. Además, (ver EscritoNaturgy#1) sobre este punto de suministro UFD recibió con posterioridad varias solicitudes (se incorporan al escrito impresiones de pantalla del sistema SCTD de UFD): La primera procedente de HOLALUZ-CLIDOM, S.A el 21 de diciembre de 2021 a favor de un nuevo titular (distinto de Testa y del reclamante). Esta solicitud fue rechazada por UFD ya que el NIF de la solicitud no coincidía con el del contrato en vigor, habiéndose indicado en la solicitud que se efectuaba por modificaciones técnicas y no por cambio de titularidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/66 Nuevamente HOLALUZ-CLIDOM, S.A el 22 de diciembre de 2021 solicitó el cambio a favor del mismo titular. Esta vez fue aceptada ya que se reseñaba que la solicitud incluía el cambio de titularidad del punto de suministro. La activación se produjo el 24 de diciembre de 2021. El 23 de diciembre de 2021 el reclamante se puso en contacto con Naturgy y procedió a la contratación del suministro eléctrico. Así, se solicitó al distribuidor UFD el cambio de comercializador con modificaciones contractuales (C2) que devolvía la titularidad del punto al reclamante. La activación se produjo el 25 de diciembre de 2021. Señala Naturgy que, a fecha de su escrito (15 de junio de 2021), el contrato de suministro eléctrico del reclamante con esta entidad continua activo. Adjunta (anexo IV del EscritoNaturgy#1) copia del contrato de suministro eléctrico del reclamante firmado el día 23 de diciembre de 2021. [...]>> QUINTO: Acuerdo de inicio del procedimiento En fecha 20/01/2023 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador frente a IBERCLI, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, infracción tipificada en el artículo 83.5.

  1. a)del RGPD. El acuerdo de apertura del expediente se notificó a la parte reclamada electrónicamente en la misma fecha siendo aceptada la notificación en fecha 23/01/2023. Así lo acredita la documentación obrante en el expediente. SEXTO: Ampliación del plazo para alegar y copia del expediente. Notificado el acuerdo de inicio según las normas de la LPACAP, la parte reclamada solicita en escrito de fecha 26/01/2023 que se amplíe por el máximo permitido legalmente el plazo para formular alegaciones y el acceso a una copia del expediente administrativo al amparo del artículo 53.1. de la LPACAP. En escrito firmado el 01/02/2023, que es notificado en la misma fecha, se acuerda ampliar en cinco días el plazo inicialmente otorgado para alegar y se da traslado de la documentación que integra el expediente. SÉPTIMO: Alegaciones de IBERCLI al acuerdo de inicio del procedimiento sancionador. En fecha 13/02/2023 la parte reclamada presenta su escrito de alegaciones en el que solicita el archivo del procedimiento. La primera alegación formulada lleva por rúbrica “Acerca de la inexistencia de vulneración por IBERCLI del artículo 6.1. del RGPD”. Concentra en ella los argumentos en los que sustenta su pretensión de archivo y, a través de diferentes epígrafes, examina las siguientes cuestiones: 1. El contenido del acuerdo de inicio y, en particular, el carácter de dato personal que la Agencia atribuye al código unificado del punto de suministro (en lo sucesivo, CUPS). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/66 2. La postura de IBERCLI sobre la naturaleza del CUPS cuando es tratado, con ocasión de un cambio de comercializadora, por la comercializadora entrante. Partiendo de la sentencia del Tribunal Supremo (STS), Sala Tercera, de fecha 12/07/2019 (Rec. Casación 4980/2018) y de la sentencia del Tribunal de Justifica de la Unión (STJUE) de 19/10/2016 (Asunto C-582/2014-Breyer), y tomando en consideración los párrafos tercero y cuarto del artículo 7.2. del Real Decreto 1435/2002, argumenta, en esencia, que si la única vía a través de la cual una comercializadora entrante puede acceder a la información que le permita identificar al titular del CUPS se encuentra expresamente prohibida por una norma (el artículo 7.2, párrafo tercero, del RD 1435/02), de manera que el medio que le permitiría razonablemente conocer la identidad del titular del CUPS es evidentemente ilícito, la aplicación directa de la doctrina sustentada por el TJUE y por el TS conduce a concluir que el CUPS, en lo que respecta al tratamiento que haga de él la comercializadora entrante, no puede ser considerado un dato personal ya que IBERCLI no puede identificar a su titular ni es identificable para esa comercializadora. Por tanto -afirma la entidad reclamada- no resulta aplicable a ese dato (el CUPS tratado por la comercializadora reclamada) la normativa de protección de datos de carácter personal. 3. La inimputabilidad de IBERCLÍ por el tratamiento de un CUPS inexacto ya que la normativa específica del sector eléctrico le “impide” verificar la exactitud del CUPS. Y añade que, conforme al artículo 4.2.
  2. a)de la LOPDGDD, no será imputable al responsable del tratamiento la inexactitud de los datos personales cuando se hubieran obtenido por el responsable directamente del afectado. Finaliza la alegación primera de su escrito reiterando la petición de archivo del procedimiento y concluyendo lo siguiente: <<• La legislación del sector eléctrico prohíbe expresamente a las empresas comercializadoras el acceso a los datos contenidos en los SIPS de las empresas distribuidoras que permitan, directa o indirectamente, la identificación del titular de un determinado punto de suministro. • Por este motivo, dado que la empresa comercializadora no puede, en un supuesto como el objeto del presente procedimiento, vincular un determinado CUPS a dicha información so pena de vulnerar su normativa sectorial aplicable, no cabe considerar que el CUPS tenga, para dicha comercializadora cuando actúa como entrante en un proceso de cambio de comercializador, la naturaleza de dato personal. En consecuencia, no es aplicable al citado dato [l]a normativa de protección de datos personales. • Incluso en el negado supuesto en que dicha normativa pudiera considerarse aplicable, la prohibición establecida en la normativa eléctrica impide a la comercializadora verificar la exactitud del dato, no pudiéndole ser imputable su inexactitud, conforme a lo establecido en el artículo 4.1
  3. a)de la LOPDGDD ni pudiendo considerarse que el tratamiento del dato vulnera lo establecido en el artículo 6.1 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/66 Por todo ello, entiende respetuosamente mi mandante que de lo razonado hasta este lugar se desprende el necesario archivo del presente procedimiento, toda vez que no existe vulneración alguna de la normativa de protección de datos personales.>> (El subrayado es nuestro) Se reproducen a continuación los tres primeros puntos de la alegación primera del escrito presentado por IBERCLÍ formulando alegaciones al acuerdo de apertura del expediente: <<1. Sobre el contenido del Acuerdo de Inicio El Acuerdo de Inicio imputa a mi mandante la presunta vulneración de lo dispuesto en el artículo 6.1 del Reglamento (UE) 2016/679 […] al considerar que se produjo un tratamiento del dato correspondiente al CUPS de quien formuló reclamación ante la AEPD (en adelante, el “Reclamante”) sin base jurídica para ello. A tal efecto, el razonamiento contenido en el Acuerdo de Inicio parte del hecho, puesto de manifiesto en el expediente, de que mi mandante solicitó a la empresa distribuidora el cambio de titularidad y comercializadora respecto de un contrato de suministro eléctrico en que si bien figuraba como titular del contrato quien le había pedido la celebración del mismo, Testa Residencial SOCIMI, SA. (en adelante, “TESTA”), figuraba erróneamente como código único de punto de suministro (“en adelante, “CUPS”) el correspondiente a un domicilio distinto del de aquélla y que resultó ser el del Reclamante. Hecha esta consideración, el Acuerdo de Inicio indica que el CUPS es un dato personal, razonando lo siguiente: “Todo número de CUPS está vinculado a un punto de suministro que se encuentra perfectamente identificado e individualizado por los datos de la calle, el número, piso y letra. Además, en los sistemas de información de los distribuidores de energía de la zona a la que corresponda el punto de suministro el número de CUPS se asocia al nombre, apellidos y NIF del usuario de la vivienda a cuyo nombre esté el contrato; a un domicilio de facturación del titular del contrato si fuera distinto del correspondiente al punto de suministro; a la determinación del uso de la vivienda, habitual o no, y a otra información, como por ejemplo la relativa a si el usuario está acogido o no al bono social o a los impagos en los que hubiera incurrido. Nos remitimos en tal sentido al Real Decreto 1435/2002 que en su artículo 7, “Sistema de información de puntos de suministro” […].” A continuación, cita el apartado 1 del mencionado artículo 7, en que se enumeran los datos que deberán incorporarse al sistema de información de puntos de suministro (en adelante, “SIPS”) del que deberán disponer las empresas distribuidoras, lo que, a juicio de la AEPD no hace sino acreditar el carácter de dato personal del CUPS. Dicho lo anterior, y sentado que al encontrarse los datos mencionados asociados a información como la reproducida en el Acuerdo y que permite la identificación indirecta de un interesado a partir de un determinado CUPS, el Acuerdo considera que mi mandante no había adoptado las medidas adecuadas para prevenir el error derivado de la comunicación al mismo por su cliente de un CUPS erróneo, indicando lo siguiente: “En el supuesto que examinamos el responsable del tratamiento -IBERCLÍ (sic.)- debía tener implantadas medidas organizativas que le permitieran garantizar la licitud del tratamiento efectuado: que los datos personales tratados concernían realmente a su cliente y no a terceras personas, pues solo en tal caso el tratamiento podía fundarse en la base jurídica del artículo 6.1.
  4. b)del RGPD y reputarse lícito. Estaba obligada a verificar y poder acreditar que su cliente, como consecuencia de un traspaso de uso, cualquiera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/66 que fuera el título jurídico que lo amparase, era el nuevo usuario de la vivienda correspondiente al punto de suministro y que el CUPS que iba a tratar coincidía con el del punto de suministro para el que el cliente solicitaba contratar, el piso 1º 4 de la calle, número y portal reseñados más arriba” Y, en definitiva, esta pretendida ausencia de medidas y garantías es la que determina la vulneración que aprecia el Acuerdo de Inicio, indicando que: “Cuando una comercializadora eléctrica gestiona a petición de un cliente un cambio de comercializadora para un determinado punto de suministro trata diversos datos personales de su nuevo cliente, entre ellos el dato del CUPS del punto de suministro y el tratamiento efectuado repercute en la información que se traslada al sistema de información de puntos de suministro (SIPS) del distribuidor de zona. Si, además, como aquí ha acontecido, la comercializadora gestiona ante el distribuidor, en calidad de mandatario del cliente entrante, un cambio de titularidad del CUPS, el alcance del tratamiento tiene una extraordinaria relevancia para el SIPS y un gran riesgo para los derechos de los clientes caso de que el CUPS no se corresponda con el del punto de suministro del cliente entrante” Es decir, conforme a lo razonado en el Acuerdo de Inicio, no cabe duda, según indica la AEPD, que el CUPS es un dato personal en la medida en que , siguiendo su razonamiento, mi mandante puede asociar a otros que aparecen recogidos en el SIPS del distribuidor, por lo que, en caso de que se le facilite un dato erróneo está obligada a haber implementado medidas que permitan reconocer la existencia de una discrepancia con los datos accesibles del citado SIPS para, a partir de esa circunstancia, poder generar una alerta que permita advertir del posible error. De este modo, continúa la AEPD, en caso de carecerse de dichas medidas, y facilitarse así un CUPS erróneo, correspondiente a otro usuario, se estaría produciendo un tratamiento ilícito de los datos de dicho tercer usuario ya que carecería de base jurídica para ello (al no existir un contrato entre la comercializadora y el usuario que pudiera amparar dicho tratamiento), vulnerándose así el artículo 6.1 del RGPD. 2. Sobre la naturaleza del CUPS y el conocimiento por IBERCLI de los datos personales que pudieran asociarse al mismo. Como primera consideración, es preciso recordar que la normativa aplicable a la actividad de mi representada y, en particular, a la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico (en adelante, “LSE”) diferencia a los diversos intervinientes en la actividad de suministro de energía eléctrica, debiendo distinguirse a estos efectos entre: • Distribuidores. - sociedades mercantiles o sociedades cooperativas de consumidores y usuarios, que tienen la función de distribuir energía eléctrica, así como construir, mantener y operar las instalaciones de distribución destinadas a situar la energía en los puntos de consumo y todas aquellas funciones que se recogen en el artículo 40. • Comercializadores. - sociedades mercantiles, o sociedades cooperativas de consumidores y usuarios, que, accediendo a las redes de transporte o distribución, adquieren energía para su venta a los consumidores, a otros sujetos del sistema o para realizar operaciones de intercambio internacional en los términos establecidos en la presente ley. Dicho esto, mi mandante es plenamente conocedora del alcance del artículo 7 del Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión (en adelante, “RD 1435/02”), en sus sucesivas redacciones y, en particular, en la dada al mismo por el Real C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/66 Decreto 1011/2009, de 19 de junio, por el que se regula la Oficina de Cambios de Suministrador. Igualmente, mi representada es conocedora de la doctrina sentada por la sentencia del Tribunal Supremo de 12 de julio de 2019 (recurso de casación 4980/2018), conforme la cual: “En respuesta a las cuestiones que según el Auto de admisión presentan interés casacional objetivo para la formación de la jurisprudencia se considera que los datos de consumo energético individualizados para cada punto de suministro, contenidos en las Curvas de Carga Horaria (CCH), junto al código universal que identifica cada punto de suministro ("CUPS"), que las distribuidoras remiten al operador del sistema, pueden ser considerados datos de carácter personal, en cuanto referidos a una persona identificable, dado que el operador del sistema, utilizando medios lícitos y razonables a su alcance, puede llegar a conocer la identidad del titular del contrato de suministro o del usuario de que se trata.” Pero del mismo modo, mi mandante no puede aceptar que la citada doctrina pueda ser, sin más, trasladada al presente supuesto, dado que la misma únicamente valora la naturaleza de datos personales de los mencionados en la misma en relación con la distribuidora (que mantendrá incorporados dichos datos de forma conjunta a los identificativos del titular en el SIPS) y con el operador del sistema (que podrá acceder a la información del SIPS en el marco de su actividad, sin más limitaciones establecidas para otros agentes implicados en el sistema). Y es que, el artículo 7 del RD 1435/02, como indica el propio Acuerdo de Inicio, no se limita a enumerar los datos incorporados al SIPS de las distribuidoras, sino que contiene disposiciones detalladas acerca del acceso a los citados datos. Así, en particular, el artículo 7.2 del mencionado Real decreto establece lo siguiente (el énfasis es nuestro): “Las empresas distribuidoras deberán dotarse de los sistemas informáticos necesarios que permitan la consulta de datos del registro de puntos de suministro y la recepción y validación informática de solicitudes y comunicaciones con la Comisión Nacional de los Mercados y la Competencia, los consumidores y los comercializadores de energía eléctrica. Las empresas distribuidoras deberán garantizar el acceso a las bases de datos de puntos de suministro a través de medios telemáticos. En particular, la empresas distribuidoras deberán contar con los medios necesarios para que cualquier comercializador o la Comisión Nacional de los Mercados y la Competencia, pueda descargar y proceder al tratamiento de los datos referidos a la totalidad de los puntos de suministro conectados a las redes del distribuidor y a las redes de transporte de su zona, así como llevar a cabo una selección detallada de los puntos de suministro respecto a los cuales quiere acceder a sus datos, en función de las diferentes categorías de datos que componen las citadas bases. En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a los datos recogidos en los apartados c),
  5. z)y
  6. aa)del apartado 1. Adicionalmente, las empresas comercializadoras no podrán acceder a la información del apartado ac), quedando accesible para la Comisión Nacional de los Mercados y la Competencia, en el ejercicio de sus funciones. Las empresas distribuidoras no podrán establecer condición alguna al acceso y tratamiento de estos datos por parte de los comercializadores o de la Comisión Nacional de los Mercados y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/66 Competencia, ni exigir en ningún caso que éstos les proporcionen dato alguno como condición previa de acceso a su base de datos, entre ellos: el Código Universal del Punto de Suministro, NIF o NIE del titular de dicho punto de suministro o número de contrato en vigor de cada punto de suministro concreto, para el cual deseen consultar la base de datos. Sin perjuicio del derecho de acceso a las bases de datos a través de medios telemáticos las empresas distribuidoras deberán remitir a la Comisión Nacional de los Mercados y la Competencia, o a los comercializadores que lo soliciten, los datos relativos a todos y cada uno de los puntos de suministro conectados a sus redes y a las redes de transporte de su zona a través de un soporte físico informático que permita su inmediata y efectiva disposición y tratamiento, sin que resulte exigible, en ningún caso, que los comercializadores o la Comisión Nacional de los Mercados y la Competencia les proporcionen dato alguno como condición previa de acceso a su base de datos. La empresa distribuidora deberá remitir dicha información en el plazo máximo de 15 días desde la fecha de solicitud por parte de la Comisión Nacional de los Mercados y la Competencia o del comercializador.” Y los párrafos tercero y cuarto del artículo 7.2 resultan esenciales para determinar la naturaleza y alcance que para una empresa comercializadora, como IBERCLI ha de otorgarse al CUPS. En efecto, como se ha indicado, el precepto prohíbe expresamente “[e]n todo caso” a las empresas comercializadoras acceder a “cualquier información que directamente identifique al titular del punto de suministro” y, en particular a los datos de “[u]bicación del punto de suministro, que incluye dirección completa (tipo de vía, nombre de la vía, número, piso y puerta)” (artículo 7.1 c), “[n]ombre y apellidos, o en su caso denominación social y forma societaria, del titular del punto de suministro” (artículo 7.1 z), “[d]irección completa del titular del punto de suministro” (artículo 7.1
  7. aa)y “[e]mpresa comercializadora que realiza actualmente el suministro” (artículo 7.1 ac). Pues bien, si se parte de esta prohibición taxativa mi mandante, en su condición de comercializadora, no sólo no puede, sino que tiene expresa y taxativamente prohibido, por imperativo del artículo 7.2 del RD 1435/02, acceder a la información que vincula al CUPS con otros datos que podrían permitir la identificación del titular del mismo. En efecto, mi mandante, obviamente, tiene legalmente vedado acceder a los datos identificativos del citado titular, pero tampoco puede siquiera acceder a la información referida al domicilio en que se encuentra el punto de suministro ni al domicilio del titular si fuera distinto. Quiere ello decir que cualquier medida encaminada a verificar la identidad de una dirección concreta con un CUPS no sólo resulta imposible para mi mandante, sino que supondría una transgresión de la normativa eléctrica, tanto por ella como por la empresa distribuidora y responsable del tratamiento de los datos en el SIPS, dado que la primera estaría accediendo y tendría conocimiento de datos concretos (domicilio vivienda y titular) que le habrían sido facilitados por la segunda, hecho que se encuentra expresamente proscrito por la normativa aplicable. Y llegados a este punto es donde se plantea IBERCLI si la dotrina sustentada por la jurisprudencia antes mencionada para el caso de las empresas distribuidoras y del operador del sistema, Red Eléctrica, S.A., es igualmente aplicable, como pretende el Acuerdo de Inicio a las empresas comercializadoras. Dado que el razonamiento sostenido por el Tribunal Supremo en la sentencia anteriormente reproducida parte del efectuado a su vez por el Tribunal de Justicia de la Unión Europea en su sentencia de 19 de octubre de 2016 (Asunto C-582/14 -Breyer-) acudiremos al contenido de la misma para valorar si en el supuesto de las empresas comercializadoras es posible considerar que el CUPS tiene el carácter de dato personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/66 El Tribunal Supremo recuerda que la citada sentencia “ha afirmado que «…del tenor del artículo 2, letra a), de la Directiva 95/46 se desprende que se considera identificable a la persona que puede ser identificada no sólo directamente sino también indirectamente» y que «El uso por el legislador de la Unión del término "indirectamente" muestra que, para calificar una información de dato personal, no es necesario que dicha información permita, por sí sola, identificar al interesado (apartado 41)». Añadiendo que «En la medida en que el citado considerando hace referencia a los medios que puedan ser razonablemente utilizados tanto por el responsable del tratamiento como por “cualquier otra persona”, su tenor sugiere que, para que un dato pueda ser calificado de «dato personal», en el sentido del artículo 2, letra a), de dicha Directiva, no es necesario que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona» (apartado 43)”. Pero a continuación describe los supuestos en que el Tribunal aprecia que no sería aplicable esa identificabilidad que determine el carácter de una información como dato personal, recordando el considerando 46 de la mencionada sentencia, en que se señala lo siguiente (el énfasis es nuestro): “Como indicó, en esencia, el Abogado General en el apartado 68 de sus conclusiones, no sucede así cuando la identificación del interesado esté prohibida por la ley o sea prácticamente irrealizable, por ejemplo, porque implique un esfuerzo desmesurado en cuanto a tiempo, costes y recursos humanos, de modo que el riesgo de identificación sea en realidad insignificante.” Y añade el Tribunal Supremo, haciéndose eco de dicho razonamiento (el énfasis es nuestro): “Tal y como destaco el informe del Abogado General D. Manuel Campos, de 12 de mayo de 2016, (en el Asunto C-582/14, las IP dinámicas) se debe considerar un medio razonable una eventualidad factible en el marco de la ley. Los medios de acceso razonables que menciona la Directiva 95/46 han de ser, por definición, medios lícitos. Pero mientras estas existan, por restrictivas que puedan ser en su aplicación práctica, suponen un «medio razonable», en el sentido de la Directiva 95/46. Consideraciones que se vieron reflejadas en la sentencia del TJUE de 19 de octubre de 2016 (Asunto C- 582/14) al considerar como un medio razonable, a los efectos de conseguir datos adicionales para identificar al afectado, la existencia de vías legales para la obtención de dicha información.” Y conviene recordar el supuesto analizado por la sentencia del Tribunal de Justicia de la Unión Europea cuando razona que nos encontramos ante datos personales, al señalar en su considerando 47 lo siguiente: “47. Pues bien, aunque el tribunal remitente precisa en su resolución de remisión que el Derecho alemán no permite al proveedor de acceso a Internet transmitir directamente al proveedor de servicios de medios en línea información adicional, necesaria para identificar al interesado, parece no obstante, sin perjuicio de las comprobaciones que debe hacer a este respecto dicho tribunal, que existen vías legales que permiten al proveedor de servicios de medios en línea dirigirse, en particular en caso de ataques cibernéticos, a la autoridad competente a fin de que ésta lleve a cabo las actuaciones necesarias para obtener dicha información del proveedor de acceso a Internet y para ejercitar acciones penales. Es decir, el Tribunal considera que en este caso cabría considerar que la dirección IP es un dato para el proveedor porque en determinadas condiciones podrá verificar la identidad de la persona que utiliza la misma. Pero claramente indica que, por el contrario, no cabría considerar que existe un dato personal cuando una entidad no puede, en virtud de una prohibición legal, llevar a cabo esa identificación. De este modo, la sentencia no indica que una información pueda categóricamente considerarse dato personal, sino que lo será para quien pueda lícitamente identificar a la persona a la que la misma se refiera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/66 Expuesto lo anterior, si la única forma en que una comercializadora puede acceder a la información que permite identificar al titular del CUPS está expresamente prohibida por una norma (el artículo 7.2 del RD 1435/02), de forma que el medio que permitiría razonablemente conocer la identidad del titular es, evidentemente ilícito, IBERCLI considera que la aplicación directa de la doctrina sustentada por el Tribunal de Justicia de la Unión Europea y por el Tribunal Supremo conduce a la inevitable conclusión de que el CUPS no puede ser considerado un dato personal en lo que respecta al tratamiento que del mismo lleva a cabo dicha comercializadora, dado que no se referirá a una persona que ni directa ni indirectamente puede identificar, es decir, para IBERCLI el CUPS no se refiere ni puede referirse a persona identificada ni susceptible de ser identificable para la propia comercializadora. Mi mandante no niega que en los supuestos en que mantenga un contrato de suministro eléctrico con sus clientes el CUPS de los mismos podrá ser considerado un dato personal, por cuanto tratará dicho CUPS asociado a los restantes datos de aquéllos, pero en el supuesto en que se encuentra en curso un procedimiento de cambio de suministrador en que mi mandante tenga la condición de comercializador entrante, el inevitable punto de partida será la carencia de tales datos identificadores, dado que en el momento de la solicitud a la distribuidora sólo estarán siendo objeto de tratamiento por la comercializadora saliente, cuya identidad mi mandante, también por tenerlo expresamente prohibido por la ley, desconoce completamente. En consecuencia, mi representada considera que la premisa de la que parte el Acuerdo de Inicio, al considerar que el CUPS es un dato personal para las empresas comercializadoras (entrantes) que no mantienen un contrato en vigor con el titular del punto de suministro resulta errónea, dado que el acceso de IBERCLI a la información que permitiría la asociación de dicho CUPS con los datos del interesado, llevando así a cabo la identificación de aquél e, está expresamente prohibida por la normativa reguladora del sector eléctrico. De este modo, mi mandante considera, respetuosamente, que el Acuerdo de Inicio yerra cuando indica de forma categórica que “ese número de CUPS estaba asociado a los datos de identidad de la parte reclamante. Además, en esa fecha estaba vigente el contrato que la reclamante tenía suscrito para ese CUPS con NATURGY. No cabe duda, por tanto, a la luz de la definición del artículo 4.1 del RGPD, que cuando IBERCLÍ (sic.) solicitó el cambio de comercializadora y de titular respecto al CUPS eléctrico de la vivienda de la reclamante su identidad podía llegar a determinarse indirectamente por el número de CUPS. En consecuencia, en esa fecha, el número de CUPS tratado por IBERCLÍ (sic.) era, respecto a la reclamante, un dato de carácter personal”. En efecto, de lo que se ha puesto de manifiesto en el presente apartado, mi mandante considera necesario realizar dos puntualizaciones que resultan sustanciales para evaluar la conducta de mi mandante, entendiendo que el texto resultante debía haber sido el siguiente “ese número de CUPS estaba asociado a los datos de identidad de la parte reclamante en el SIPS de UNIÓN FENOSA DISTRIBUCIÓN. Además, en esa fecha estaba vigente el contrato que la reclamante tenía suscrito para ese CUPS con NATURGY. No cabe duda, por tanto, a la luz de la definición del artículo 4.1 del RGPD, que cuando IBERCLI solicitó el cambio de comercializadora y de titular respecto al CUPS eléctrico de la vivienda de la reclamante su identidad podía llegar a determinarse indirectamente por UNIÓN FENOSA DISTRIBUCIÓN por el número de CUPS. En consecuencia, en esa fecha, el número de CUPS tratado por IBERCLI era, respecto a la reclamante, un dato de carácter personal”. En efecto, solamente la distribuidora, y nunca mi representada, podían conocer la asociación del CUPS con su titular a partir de la información obrante en el SIPS de la distribuidora, que habría infringido la normativa eléctrica si hubiera facilitado ese dato a IBERCLI. 3. Inimputabilidad a IBERCLI como consecuencia del tratamiento de un CUPS inexacto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/66 Como se acaba de indicar, mi mandante considera que en este caso no puede apreciarse, a diferencia de lo que se indica en el Acuerdo de Inicio, que IBERCLI esté procediendo al tratamiento de un dato personal en lo que respecta al CUPS, toda vez que la ley le impide expresamente asociar el mismo con un determinado titular o incluso con la dirección del punto de suministro (lo que podría identificar indirectamente a aquél) antes de que exista un contrato en vigor con el titular de ese CUPS. Ello determina la inaplicación al presente supuesto de lo dispuesto en el RGPD y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de os derechos digitales (en adelante, “LOPDGDD”). Pero incluso en el negado supuesto en que se considerase por la AEPD que el hecho de que el CUPS haya de ser considerado un dato personal cuando el mismo sea objeto de tratamiento por la empresa distribuidora o el operador del sistema contagia de esta naturaleza al mismo en caso de ser tratado por cualquier otra entidad, lo que es evidente es que mi mandante carece de la posibilidad de verificar su exactitud, dado que la prohibición analizada en el apartado anterior le impediría conocer si la dirección del punto de suministro que le ha sido facilitada por el titular se corresponde o no con ese CUPS. De este modo, en caso de que un titular solicite a mi mandante la celebración de un contrato de suministro indicando que se trata del nuevo titular del CUPS (lo que acontecía en el supuesto objeto del presente procedimiento sancionador) y le facilite el meritado CUPS y la dirección del punto de suministro, mi mandante no puede verificar que existe una correspondencia entre dichos datos o si existe un error que determina la inexactitud de uno u otro dato, dado que la ley le prohíbe efectuar esa verificación. En este sentido, como se indicaba en la respuesta ofrecida por mi representada, ni mi mandante puede solicitar al titular que pide contratar el suministro con la misma que acredite el consentimiento prestado por el anterior titular, dado que estos datos únicamente obrarán en poder de la distribuidora y de la comercializadora saliente, sin que IBERCLI pueda conocer ni la identidad del anterior titular ni tan siquiera cuál es esa comercializadora. Y del mismo modo, si IBERCLI es conocedora, porque así se lo traslade el solicitante, que existe un cambio de titular, únicamente podría, como acción encaminada a garantizar la exactitud, que le confirme que el CUPS es el facilitado, mediante la repetición del mismo, algo que dada la naturaleza alfanumérica del CUPS sucede habitualmente, por cuanto al recabar este dato de forma presencial (como en el caso analizado) o telefónica y tratarse de un dato alfanumérico, se solicita confirmación de que la información transcrita a partir de la comunicación del solicitante es correcta. Teniendo en cuenta esta circunstancia, y el hecho de que no es posible contrastar con el SIPS de la distribuidora la exactitud del CUPS, mi representada considera que en este caso nos encontraríamos ante un supuesto similar a los establecidos en el artículo 4.2 de la LOPDGDD, que establece lo siguiente: “A los efectos previstos en el artículo 5.1.
  8. d)del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:
  9. a)Hubiesen sido obtenidos por el responsable directamente del afectado.
  10. b)Hubiesen sido obtenidos por el responsable de un mediador o intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervención de un intermediario o mediador que recoja en nombre propio los datos de los afectados para su transmisión al responsable. El mediador o intermediario asumirá las responsabilidades que pudieran derivarse en el supuesto de comunicación al responsable de datos que no se correspondan con los facilitados por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/66
  11. c)Fuesen sometidos a tratamiento por el responsable por haberlos recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad conforme al artículo 20 del Reglamento (UE) 2016/679 y lo previsto en esta ley orgánica.
  12. d)Fuesen obtenidos de un registro público por el responsable.” En este sentido, debe indicarse que los datos han sido recabados de quien IBERCLI sólo podía considerar afectado, al afirmar que los datos se correspondían a su CUPS y no poder llevar a cabo ninguna verificación de los mismos sin incumplir la normativa sectorial que le es de aplicación. Mi mandante es consciente de que la AEPD podría aplicar a este caso la misma doctrina que parece aplicar en el Acuerdo de Inicio para denegar la aplicabilidad al supuesto de lo dispuesto en el artículo 6.1 c), dado que el “afectado” o “interesado” titular del CUPS en este caso sería el Reclamante y no TESTA, al haberse facilitado el CUPS referido a un domicilio erróneo. Sin embargo, un razonamiento de esta naturaleza resultaría en opinión de mi representada, dicho el con el mayor de los respetos, contrario al espíritu y literalidad delo dispuesto en el citado artículo 4.2
  13. a)de la LOPDGDDD. En efecto, el citado artículo 4.2 parte de la premisa de que la falta de imputabilidad prevista en el mismo se produce como consecuencia del tratamiento de un dato “inexacto” que ha sido “facilitado por el interesado”. Es decir, se parte de un supuesto en que, recabado el dato de quien la LOPDGDD llama “afectado”, dicha persona no ha facilitado el dato que le es propio (o que puede asociarse con él), sino que deliberadamente o como consecuencia de un error al facilitarlo, comunica al responsable del tratamiento un dato erróneo. Y la Ley es tajante al indicar la consecuencia de esta circunstancia: no será imputable al responsable que recibe el dato la inexactitud del mismo. Pues bien, si la LOPDGDD parte de la premisa de que el dato es “inexacto” y que ha sido facilitado “por el afectado”, no cabe duda de que en este supuesto está planteando que no es aplicable al caso lo razonado por el Acuerdo de Inicio, que considera que como dicho dato es inexacto no ha sido facilitado por ese “afectado”, puesto que en tal supuesto el artículo 4.1
  14. a)dela LOPDGDD quedaría en todo caso vaciado de contenido. En este sentido, mi mandante quiere plantear, a efectos meramente hipotéticos, si el razonamiento contenido en el Acuerdo de Inicio hubiera sido el mismo en caso de que el dato erróneo facilitado por TESTA a mi representada no hubiera sido el CUPS, sino el domicilio del punto de suministro. En este supuesto, no cabría duda de que el domicilio facilitado sería inexacto; sin embargo, considera mi mandante que procedería una aplicación directa de la excepción establecida en el artículo 4.1
  15. a)de la LOPDGDD, no respondiendo IBERCLI de la inexactitud del dato, aunque nuevamente sin poder verificar la relación entre ese domicilio y el CUPS, al serle imposible, en virtud de una prohibición legal, acceder a la información contenida en el SIPS, que es la única base de datos que permite llevar a cabo la verificación de la correlación entre ambos datos. Y es que siempre que un “afectado” facilita un dato inexacto existirá un riesgo muy elevado de que esté facilitando un dato de un tercero (como cuando se facilita una dirección o un número de teléfono erróneo) y esa inexactitud no enerva la aplicación del artículo 4.1
  16. a)que considera a quien ha facilitado el dato como “afectado”. Y si la LOPDGDD considera a quien facilita un dato inexacto como “afectado”, la inimputabilidad derivada del mismo no sólo afectaría al cumplimiento del principio de exactitud, sino también a la licitud del tratamiento, por cuanto el dato inexacto ha de considerarse válidamente tratado, lo que determinaría que en ese caso la buena fe del responsable debe trasladarse igualmente a la aplicación del artículo 6.1 del RGPD, cuya vulneración como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/66 consecuencia de dicha inexactitud no podrá en ningún caso considerarse imputable a aquel responsable. Consecuencia de todo ello, es que incluso aun cuando se considerase que el CUPS ha de ser concebido como dato personal para una empresa comercializadora, lo que, obvio es decirlo, se niega de plano, tampoco sería posible imputar a IBERCLI la infracción declarada en el Acuerdo de Inicio, por cuanto no cabría achacar a mi representada las consecuencias derivadas de una inexactitud que se deriva de que el dato recabado de su cliente es inexacto.” La alegación segunda del escrito de alegaciones al acuerdo de inicio lleva como rúbrica “la vulneración del principio de proporcionalidad en detrimento de los derechos de IBERCLI”. A través de esta alegación solicita que la Agencia aplique el principio de proporcionalidad en la determinación de la sanción que pudiera imponerse. A tal efecto, expone que la cuantía de la sanción recogida en el acuerdo de inicio es “desproporcionada y vulneradora del principio de proporcionalidad”, “particularmente teniendo en cuenta que […] nunca podría haber tenido constancia del error en el CUPS al que se refiere el expediente, al estar legalmente imposibilitada para conocer los datos que asocian el mismo con cualquier información que permita identificar, directa o indirectamente, al titular del contrato recogido en el SIPS.” Invoca la STS de 20/11/2001 (Rec. Casación 7686/1997), que nos recuerda que la aplicación que la Administración haga del principio de proporcionalidad está sometida al control jurisdiccional y que la discrecionalidad otorgada a la Administración debe desarrollarse “ponderando las circunstancias que concurren a fin de lograr la proporcionalidad necesaria entre los hechos imputados y la responsabilidad exigida”. La cita jurisprudencial nos recuerda también que el criterio de proporcionalidad, que es un criterio normativo, estará atento a las circunstancias objetivas del hecho. Sobre esas premisas IBERCLI solicita que el “órgano sancionador” “evalúe meticulosamente” las circunstancias que concurren en este supuesto: -Que únicamente se ha visto afectada una persona. -Que el acuerdo de inicio ha determinado el importe de la sanción “sobre la base de criterios […]completamente genéricos y que mi mandante rechaza de plano.” -Que IBERCLI ha adoptado la medida de “verificar con los futuros clientes la numeración relativa al CUPS con el fin de evitar imprecisiones y errores”. Si bien, continúa diciendo, para matizar el alcance de esa afirmación, “aun cuando, como se ha indicado, las prohibiciones establecidas por la normativa eléctrica le impiden llevar a cabo otra actuación distinta y una verificación real de los datos asociados al CUPS. En todo caso, mi representada niega de plano que la adopción de tal medida pueda considerarse proveniente de un fallo en sus medidas de seguridad.” (El subrayado es nuestro) -Que rechaza por “inadecuado” el razonamiento del acuerdo de inicio “en relación con la apreciación de negligencia en la conducta de mi mandante” y dice sobre el particular (el subrayado es nuestro): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/66 (
  17. i)“que una cosa es la apreciación de la culpa como requisito para que una determinada conducta pueda ser constitutiva de infracción y otra apreciar que ese elemento debe ser siempre considerado como agravante.” (
  18. ii)Que “la AEPD aplica de forma directa esta agravante habida cuenta de la naturaleza del negocio al que se dedica mi mandante, y la cantidad de suscripciones y cambios de titularidad de contrato que se efectúan a lo largo de un solo día, lo que ya de por sí constituye nuevamente, permítasenos, un nuevo apriorismo que, además, estaría cuestionando la generalidad el sistema de cambio de comercializadora impuesto por la CNMC.” (iii) Que ““no es posible apreciar negligencia o falta alguna de diligencia por la no verificación de los datos asociados a un CUPS cuando mi mandante tiene expresamente vedada tal posibilidad.” Y en este mismo sentido debe considerarse inaplicable la circunstancia que vincula la gravedad de la infracción con la actividad de IBERCLI y su vinculación con la realización de tratamientos respecto de unos datos a los que ni siquiera puede acceder por imperativo legal. En este sentido, mi mandante considera que AEPD invoca la naturaleza de la actividad que constituye el objeto de la misma como circunstancia que necesariamente ha de determinar la apreciación de todas las agravantes recogidas en el Acuerdo de Inicio, lo que, permítasenos, constituye en sí mismo una premisa difícilmente ajustada a los principios del derecho sancionador y en particular al principio de proporcionalidad.” SÉPTIMO: Práctica de prueba. En fecha 28/08/2023 se acuerda la apertura de una fase de prueba y la práctica de estas diligencias probatorias: 1.Incorporar al procedimiento a efectos de prueba: La reclamación interpuesta por la parte reclamante y su documentación anexa. Los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. Todos los documentos obtenidos durante las actuaciones de investigación previa y el informe de actuaciones previas de investigación, que forman parte del procedimiento AI/00036/2022. Las alegaciones al acuerdo de inicio del procedimiento sancionador presentadas por IBERCLI y la documentación que a ellas acompaña. 2. Se solicita a IBERCLI, en escrito de fecha 28/08/2023 cuya notificación acepta el 30/08/2023, que remita a la Agencia Española de Protección de Datos (AEPD) los documentos y las explicaciones que más adelante se detallan relativas al contrato de suministro eléctrico que suscribió con Testa Residencial Socimi, S.A., con NIF A82865890 (en adelante, TESTA) para el CUPS número ***CUPS.1. - 2.1. Que informe de cuáles fueron las medidas que adoptó y cuáles los documentos recabados de TESTA, debiendo aportar copia de ellos en caso de existir, con el fin de verificar que la precitada entidad era la titular del CUPS que fue objeto de tratamiento. - 2.2. En su respuesta al traslado y solicitud informativa de la Subdirección de Inspección de Datos de la AEPD de fecha 13/01/2022, IBERCLI declaró que “el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/66 origen de esta incidencia lo constituye el error de un tercer cliente que dio de alta un contrato de suministro energético a su nombre (TESTA RESIDENCIAL SOCIMI, S.A.) pero sobre un CUPS erróneo, se procedió, siguiendo expresas instrucciones del cliente, a comunicar a la distribuidora la solicitud de baja contractual sobre el CUPS erróneo.” (El subrayado es nuestro) Se solicita que acredite documentalmente que las “expresas instrucciones” que habría recibido de su cliente, TESTA, versaron sobre el CUPS ***CUPS.1. Se aclara que no hacen prueba de dicho extremo documentos como el aportado por IBERCLI: un contrato tipo cumplimentado a máquina y en el que ni siquiera se recogen los datos de identidad del representante legal de la TESTA que intervino en la contratación. 3. Solicitar a UFD Distribución Eléctrica, S.A., la información y documentación siguiente: 3.1. En relación con el CUPS número ***CUPS.1: -Que informe si los números de CUPS “***CUPS.1” y “***CUPS.1” corresponden o identifican el mismo punto de suministro. Exactamente, si ambos códigos corresponden al punto de suministro ubicado en calle ***DIRECCIÓN.1. -Consta en el expediente administrativo que la comercializadora IBERDROLA CLIENTES, S.A.U., remitió a esa distribuidora a través del STCD un fichero con el formato “C.2” (cambio de comercializadora con cambio de titular del contrato de acceso) en fecha “10-18-2021-03:31:58” con código de solicitud 202169117085. Interesa saber si, con carácter previo al envío del formato “C.2”, IBERDROLA CLIENTES, S.AU., remitió a esa distribuidora un mensaje en formato “C.1” (cambio de comercializadora sin modificación del titular del contrato de acceso) que hubiera sido rechazado. En caso afirmativo, deberá facilitar a esta Agencia las capturas de pantallas de los mensajes intercambiados a través del STCD en el formato “C.1.” indicado. 3.2. Que informe si, en los mensajes con formatos “C.1” y “C.2.” que recibe de las empresas comercializadoras a través del SCTD el campo del NIF debe estar siempre cumplimentado. 3.3. Que informe en qué consiste y qué datos toma en consideración para llevar a cabo la “validación de carácter material” que como distribuidora de energía está obligada a efectuar para aceptar o denegar las solicitudes de cambio de comercializador que recibe de las empresas de esa naturaleza a través de los mensajes con formatos “C.1” y “C.2.” El escrito de prueba dirigido a UFD DISTRIBUCIÓN se envió electrónicamente el 29/08/2023. En fecha 09/09/2023 se produce el rechazo de la notificación al superarse el plazo establecido para la comparecencia. OCTAVO: Respuesta a las pruebas practicadas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/66 1.IBERCLI responde en escrito que tiene entrada en la AEPD el 14/09/2023 en el que manifiesta: 1.1. << El requerimiento de prueba indica en primer lugar que por mi representada se informe de cuáles fueron las medidas que adoptó y cuáles los documentos recabados de TESTA, debiendo aportar copia de ellos en caso de existir, con el fin de verificar que la precitada entidad era la titular del CUPS. Como ya se indicó en su escrito de 28 de junio de 2022 “En IBERCLI las solicitudes de alta en el suministro eléctrico se pueden realizar por cualquiera de los canales que Iberdrola pone a disposición del cliente y que son el canal telefónico, canal web y canal presencial. En el caso que nos atañe el alta del nuevo contrato se realizó a través de un presencial, en un punto de atención al cliente.” Del mismo modo, en el citado escrito, se indicaba que “cuando un cliente solicita el alta en IBERCLI y esto implica un cambio de comercializador, el procedimiento es el mismo tanto si en este cambio hay cambio de titular como si no, puesto que Iberdrola desconoce quién era el titular de ese suministro en la otra comercializadora”. De este modo, en el seno del proceso de solicitud, mi mandante solicitó de TESTA que le facilitase el CUPS correspondiente al suministro al que se refería el suministro, que le fue facilitado verbalmente en los términos indicados a lo largo de este procedimiento. Dado que el procedimiento de alta en el suministro no exige que el solicitante tuviera en el momento de la solicitud un contrato de suministro en vigor con otra comercializadora, es decir, que puede producirse un cambio de titularidad, sin que las entidades comercializadoras conozcan en el momento de la solicitud si ésta implica o no dicho cambio de titularidad, mi mandante no podía llevar a cabo ninguna otra actuación encaminada a contrastar este extremo.>> (El subrayado es nuestro) En resumen: IBERCLI no ha acreditado que con ocasión de que TESTA contratara con ella hubiera recabado algún documento en el que constara el CUPS de su vivienda ni tampoco que hubiera adoptado otras medidas con la finalidad de verificar que el CUPS que, dice, TESTA le proporcionó verbalmente coincidía con el que tiene asignado su vivienda. IBERCLÍ ha manifestado que el CUPS correspondiente al suministro objeto del contrato celebrado con TESTA -CUPS del que era titular la parte reclamante- “le fue facilitado verbalmente”. 1.2. <<En segundo lugar, se solicita de mi representada “que acredite documentalmente que las “expresas instrucciones” que habría recibido de su cliente, TESTA, versaron sobre el CUPS ***CUPS.1”. Al propio tiempo, se indica que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/66 contrato de suministro aportado por mi representada como Documento 2 en su escrito de 28 de junio de 2022 “no hace[n] prueba de dicho extremo”. Si por parte de esa AEPD lo que se solicita es la acreditación de la representación del solicitante del contrato (TESTA) debe recordarse que, junto con el citado contrato, se adjuntó, como Documento Nº 3 anexo al citado escrito de 28 de junio de 2022, copia del poder de representación de la persona que delegó la contratación, así como el Documento Nacional de Identidad de quien efectuó la citada delegación y del firmante del contrato. En este sentido, resulta necesario indicar que mi mandante únicamente podría contar con los citados documentos en caso de que se hubiera procedido a la firma del contrato. Siendo esto así, es preciso indicar que las “expresas instrucciones” otorgadas a mi representante a la que mi representada se refiere en sus escritos derivan del mandato otorgado a la misma para la firma del contrato de acceso a redes eléctricas (ATR) contenido en la página 6 del meritado contrato y cuya imagen se reproduce a continuación:>> La imagen reproducida muestra el epígrafe contrato celebrado con TESTA denominado “Carta al Distribuidor de Electricidad”, carta que va dirigida a UFD Distribución de Electricidad, S.A., y en la que se hace constar que “Mediante la presente les comunico que he suscrito un contrato con [IBERCLI] para el suministro de energía eléctrica en el siguiente domicilio: C/ ***DIRECCIÓN.1 […]. En consecuencia les comunico que a partir de la fecha de inicio del contrato con IBERDROLA CLIENTES, S.A.U., doy por terminado el contrato de referencia ------- y CUPS ***CUPS.1, que en la citada dirección tengo suscrito con Uds. En especial autorizo a IBERDROLA CLIENTES, S.A.U., para contratar el acceso a las redes eléctricas (ATR) de acuerdo con el art.3.3. del R.D. 1435/2002.” <<Por lo que se refiere al CUPS, debe reiterarse que el mismo fue facilitado por TESTA precisamente con ocasión de la solicitud del contrato y por tanto en el contexto de dichas “expresas instrucciones” para la firma del contrato ATR, siendo necesario reiterar que solamente aquella compañía puede facilitar ese número, pues mi representada, por los motivos legales y de hecho apuntados con ocasión de las contestaciones a los requerimientos de información y de nuestro escrito de alegaciones, no disponía ni estaba en disposición de disponer del mismo. No hay por tanto “expresas instrucciones” en relación con un CUPS, sino respecto del contrato de suministro cuyo proceso de solicitud comporta la entrega por el solicitante de tan reiterado CUPS>>. En resumen: Habida cuenta de que en su respuesta al trámite de traslado IBERCLÍ declaró que “el origen de esta incidencia lo constituye el error de un tercer cliente que dio de alta un contrato de suministro energético a su nombre (TESTA RESIDENCIAL SOCIMI, S.A.) pero sobre un CUPS erróneo, se procedió, siguiendo expresas instrucciones del cliente, a comunicar a la distribuidora la solicitud de baja contractual sobre el CUPS erróneo”, se pidió a esa parte reclamada que acreditara que las “expresas instrucciones” que declaró haber recibido de TESTA versaron sobre el CUPS ***CUPS.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/66 La parte reclamada responde que el error en el dato del CUPS tuvo su origen en el propio cliente, TESTA. En prueba de ese extremo dice que el dato del CUPS erróneo figuraba en el documento contractual, en el epígrafe relativo a la carta dirigida al Distribuidor de electricidad en la que el cliente le comunica que ha autorizado a IBERCLI para contratar en su nombre el acceso a las redes eléctricas. Sin embargo, el documento contractual al que la reclamada se refiere es un documento impreso que no ha sido cumplimentado por el cliente, por lo que no tiene virtualidad para acreditar que el dato del CUPS allí plasmado sea el mismo que le facilitó su cliente. Se añade, además, que IBERCLÍ ha manifestado reiteradamente que TESTA le proporcionó el CUPS eléctrico de su vivienda “verbalmente”. 2.UFD Distribución no ha respondido a las pruebas solicitadas. NOVENO: Propuesta de resolución. Cambio de calificación jurídica La propuesta de resolución introduce un cambio en la calificación jurídica que el acuerdo de apertura hizo de la conducta de la que se responsabiliza a IBERCLI. En la propuesta se estima que la conducta que es objeto de la reclamación no constituye una infracción del artículo 6.1. del RGPD, sino una vulneración del artículo 5.1.
  19. d)RGPD, principio de exactitud de los datos (particularmente del dato personal del CUPS que fue objeto de tratamiento). En consecuencia, el 27/09/2023 se formuló la propuesta de resolución en estos términos: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, por una infracción del artículo 5.1.
  20. d)del RGPD, tipificada en el artículo 83.5.
  21. a)del RGPD, con una multa administrativa de 70.000 € (setenta mil euros).” DÉCIMO: Notificación de la propuesta de resolución. La notificación, efectuada por medios electrónicos conforme a la LPACAP, se pone a disposición de IBERCLI en fecha 27/09/2023. La notificación es aceptada por la parte reclamada el 28/09/2023. Obra en el expediente administrativo el documento que acredita ambos extremos. UNDÉCIMO: Solicitud de ampliación de plazo. El día 09/10/2023, a las 14:47:39 horas (hora peninsular) tiene entrada en la Oficina de Registro de la Agencia un escrito de la parte reclamada en el que solicita, al amparo del artículo 32 de la LPACAP, que se amplíe por “el máximo posible” el plazo concedido para hacer alegaciones a la propuesta de resolución. La respuesta a su solicitud, en la que se le comunica que se acuerda denegar la ampliación de plazo solicitada, se notifica electrónicamente a la parte reclamada. Se pone a su disposición el día 10/10/2023 a las 11:05 horas. Así lo acredita el certificado de la DEHÚ que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/66 IBERCLI accedió a la notificación el día 11/10/2023 a la 01:15 horas. Así lo acredita el certificado de la DEHÚ que obra en el expediente. DUODÉCIMO: Alegaciones a la propuesta de resolución. En fecha 13/10/2023 la parte reclamada presenta sus alegaciones a la propuesta de resolución. Solicita en ellas que se acuerde el archivo del procedimiento. Subsidiariamente, la imposición de una advertencia o apercibimiento o una reducción significativa de la cuantía de la multa. Cabe destacar que en el expositivo II de su escrito de alegaciones afirma que el día 09/10/2023 solicitó una ampliación del plazo para hacer alegaciones a la propuesta de resolución “sin que dicha solicitud haya obtenido respuesta en la fecha de emisión del presente escrito.” (El subrayado es nuestro). Invoca, además, a los efectos que procedan, “la confidencialidad y el secreto empresarial de los documentos obrantes en el expediente administrativo”. IBERCLI estructura sus argumentos a través de una alegación preliminar y dos alegaciones cuyo contenido, en lo esencial, reitera lo ya alegado en su anterior escrito. La “alegación preliminar”, “Sobre el contenido del presente escrito de alegaciones”, es una reseña de los motivos por los cuales “la propuesta de resolución no resulta ajustada a derecho”, motivos que desarrolla más adelante a través de las alegaciones primera y segunda de su escrito. Los motivos que invoca son los siguientes: (
  22. i)Que la cuestión planteada no está sometida a la normativa de protección de datos de carácter personal puesto que, desde el punto de vista de IBERCLI, una comercializadora de energía eléctrica, el CUPS no tiene la condición de dato de carácter personal conforme a lo indicado por la jurisprudencia del TJUE “al no tratarse de información relativa a una persona física identificada o identificable para la citada” comercializadora reclamada. (
  23. ii)Que, en el “negado supuesto de que la cuestión pudiera considerarse sometida a la normativa de protección de datos” no se habría incumplido el principio de exactitud. Dice que adoptó “todas las medidas de diligencia debida encaminadas a asegurar, dentro de lo limitado de sus posibilidades (el impedimento legal de conocer dicha información), que el CUPS facilitado por [TESTA] se correspondía con el punto de suministro para el que solicitaba el acceso.” (iii) Que, para el “negado supuesto de que las alegaciones formuladas en los dos puntos anteriores no tuvieran acogida por la AEPD”, considera vulnerado el principio de proporcionalidad en la determinación del importe de la sanción. La alegación primera del escrito de alegaciones a la propuesta lleva por rúbrica “El CUPS no puede ser considerado dato personal desde la perspectiva de IBERCLI”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/66 Empieza remitiéndose a sus alegaciones al acuerdo de apertura y justificando la mención que hizo en su escrito a las sentencias del Tribunal Supremo y del TJUE. En aquel escrito declaró reiteradamente que había sido esta Agencia quien en el acuerdo de apertura había insistido en aplicar la doctrina recogida en ambas resoluciones cuando, por el contrario, no se mencionó ninguna de las dos sentencias en el acuerdo de inicio ni se aludió a ellas de forma directa o indirecta. La reclamada explica que “trataba de buscar la fundamentación que guiaba la consideración de la AEPD de que el CUPS tenía tal naturaleza, dado que nada se razonaba al respecto en el Acuerdo de Apertura, lo que le condujo a entender que dicha base debía encontrarse en lo señalado por la sentencia del Tribunal Supremo de 12 de julio de 2019 (Recurso de casación 4980/2018” (El subrayado es nuestro). A continuación reproduce un fragmento del Fundamento de Derecho Quinto de la STS precitada en la que dice se recoge la doctrina del Tribunal, al indicar que: “[e]n respuesta a las cuestiones que según el Auto de admisión presentan interés casacional objetivo para la formación de la jurisprudencia se considera que los datos de consumo energético individualizados para cada punto de suministro, contenidos en las Curvas de Carga Horaria (CCH), junto al código universal que identifica cada punto de suministro ("CUPS"), que las distribuidoras remiten al operador del sistema, pueden ser considerados datos de carácter personal, en cuanto referidos a una persona identificable, dado que el operador del sistema, utilizando medios lícitos y razonables a su alcance, puede llegar a conocer la identidad del titular del contrato de suministro o del usuario de que se trata”. (El subrayado es nuestro) IBERCLI añade que ese fragmento “resulta relevante, dado que el Tribunal Supremo no aprecia que la curva de carga horaria y el CUPS tengan per se la naturaleza, en todo caso, de datos personales, sino que ostentarán dicha naturaleza para el operador del sistema, Red Eléctrica, dado que el mismo puede identificar a los interesados “utilizando medios lícitos y razonables a su alcance”. La relevancia estriba en que el CUPS, junto con la citada curva de carga horaria no son considerados por el Tribunal Supremo dato personal en todo caso, sino que lo son únicamente para quienes puedan acceder a esos medios lícitos y razonables para poder identificar, directa o indirectamente, al interesado. Y por eso ha de considerarse que la cita de dicha sentencia es esencial, dado que el Tribunal Supremo está poniendo de manifiesto que la determinación del carácter de dato personal dependerá de la situación en que se encuentre quien accede a la información en relación con la misma, de forma que sólo si puede, lícita y razonablemente, acceder a los medios que permitan identificar al interesado la citada información podrá ser considerada dato personal. (El subrayado es nuestro) IBERCLI contrapone seguidamente ese fragmento con otro extraído del escrito de la propuesta de resolución, exactamente del Fundamento de Derecho VII, que llevaba por rúbrica, “Sanción que podría imponerse”: “El motivo de esa falta de proporcionalidad que aduce [IBERCLI] es “particularmente […] que […] nunca podría haber tenido constancia del error en el CUPS al que se refiere el expediente, al estar legalmente imposibilitada para conocer los datos que asocian el mismo con cualquier información que permita identificar, directa o indirectamente, al titular del contrato recogido en el SIPS.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/66 De lo expuesto en los Fundamentos precedentes de esta propuesta resulta que ese argumento debe rechazarse. El CUPS es un dato personal que permite identificar de forma indirecta a su titular y, desde ese punto de vista, es irrelevante que IBERCLI, por su condición de comercializadora entrante, no pueda conocer a través del SIPS el nombre y apellidos del titular o el lugar del punto de suministro. Al tratar un dato de carácter personal debe de adoptar las medidas que la diligencia exige para cumplir el principio de exactitud.” Y comenta: “entiende mi representada que tal afirmación resulta, con el debido respeto incorrecta, porque por imperativo legal, no sólo queda vedado a mi mandante el acceso a los datos que identifican directamente al titular del punto de suministro, sino que también le impide el acceso a los datos del Sistema de Información de Puntos de Suministro (en adelante, “SIPS”) que permitirían hacerlo identificable. Y es que mi representada no sólo carece de medios para poder identificar, directa o indirectamente, al interesado, sino que el acceso a la información que pudiera permitir la citada identificación implicaría la infracción de la normativa aplicable al sector eléctrico, que le prohíbe expresamente, tal y como establece el párrafo tercero del artículo 7.2 del Real Decreto 1435/2002, de 27 de diciembre, en su redacción actual, a las comercializadoras “acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a los datos recogidos en los apartados c),
  24. z)y
  25. aa)del apartado 1”.” Continúa IBERCLI diciendo: “La mera lectura de lo enumerado en el artículo 7.1 del Real Decreto 1435/2002 permite comprobar, de forma completamente palmaria, cómo la imposibilidad de que mi mandante acceda a los citados datos imposibilita completamente que el CUPS pueda ser considerado por la misma información referente a una persona física identificada (al no poder accederse a la identificación del titular) o identificable (al no ser posible vincular el CUPS con la ubicación del punto de suministro o la dirección de su titular). Sin estos datos, la información en poder de IBERCLI, cuando aún no tiene la condición de comercializadora en relación con el concreto CUPS no permite llevar a cabo esa identificación.” Frente a la mención que la propuesta de resolución hizo al informe del Gabinete Jurídico de la AEDP, manifiesta: “La Propuesta de Resolución considera que esta argumentación no resulta adecuada, en primer lugar, sobre la base de lo indicado por el Gabinete Jurídico de la AEPD en su informe al Proyecto de reforma del Real Decreto 1435/2002, cuya fecha, según se indica es “18/06/2015” y al hecho de que por el mismo se insta al Departamento proponente de dicha disposición a que se suprima la referencia la exclusión de “datos de carácter personal” en la comunicación a las comercializadoras de los datos contenidos en el SIPS. Sin embargo, tal afirmación, por una parte, es previa a la emisión por el TJUE de la doctrina a la que posteriormente se hará referencia y, por otra, se realiza respecto de los datos cuya comunicación al comercializador queda prohibida por el legislador (y respecto de los que no se pone en duda su condición de datos personales), pero no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/66 se refiere al CUPS, sino a los datos (identificación del titular, ubicación del punto de suministro, domicilio del titular) que, vinculados a aquél, permitirían la identificación, directa o indirecta de su titular.” Frente a la mención que se hizo en la propuesta de resolución al Dictamen del GT29, comenta: “Igualmente, se invoca por la Propuesta de Resolución lo indicado por el Grupo de Trabajo del artículo 29 (en adelante, “GT29”) en su Dictamen 4/2007 sobre el concepto de datos personales, adoptado el 20 de junio de 2007, citando diversos pasajes del mismo. En particular, se indica que “se puede considerar «identificada» a una persona física cuando, dentro de un grupo de personas, se la «distingue» de todos los demás miembros del grupo. Por consiguiente, la persona física es «identificable» cuando, aunque no se la haya identificado todavía, sea posible hacerlo (que es el significado del sufijo «ble»)”. Igualmente, se reproduce el citado Dictamen que “cuando hablamos de «indirectamente» identificadas o identificables, nos estamos refiriendo en general al fenómeno de las «combinaciones únicas», sean éstas pequeñas o grandes. En los casos en que, a primera vista, los identificadores disponibles no permiten singularizar a una persona determinada, ésta aún puede ser «identificable», porque esa información combinada con otros datos (tanto si el responsable de su tratamiento tiene conocimiento de ellos como si
  26. no)permitirá distinguir a esa persona de otras”.” Alega que esas consideraciones de la propuesta de resolución se oponen a la jurisprudencia del TJUE: “Sin embargo, IBERCLI considera que el criterio de que la doctrina que acaba de reproducirse resulta diametralmente opuesto a la jurisprudencia emanada del TJUE en las sentencias en que ha venido a analizar el concepto de datos personales consagrado por la normativa de protección de datos, teniendo en cuenta el concepto de dato personal establecido en el artículo 3.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos -en adelante “RGPD”-). Y ello porque parte de dos elementos: (
  27. i)la singularización como determinante de que una información pueda considerarse dato personal; y (
  28. ii)la irrelevancia de quien disponga de los medios para poder identificar al interesado, que no son los acogidos por la citada jurisprudencia. En efecto, ya indicaba mi representada en sus alegaciones al Acuerdo de Inicio que el TJUE en su sentencia de 19 de octubre de 2016 (Asunto C-582/14 -Breyer-), posterior, como puede comprobarse al informe del Gabinete Jurídico mencionado por la Propuesta de Resolución, consideraba necesario para que la información en ella analizada pudiera ser considerada dato personal que la información necesaria para hacer identificable al interesado resultase accesible por quien no dispone, en principio, de la misma. Así, en su apartado 49 y en su fallo concluye el Tribunal que “una dirección IP dinámica registrada por un proveedor de servicios de medios en línea con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/66 ocasión de la consulta por una persona de un sitio de Internet que ese proveedor hace accesible al público constituye respecto a dicho proveedor un dato personal, en el sentido de la citada disposición, cuando éste disponga de medios legales que le permitan identificar a la persona interesada gracias a la información adicional de que dispone el proveedor de acceso a Internet de dicha persona”. De este modo, a sensu contrario, si el operador no dispone de medios legales que le permitan llevar a cabo esa identificación, la dirección IP no constituiría un dato personal. En este sentido, indicaba el apartado 46 de la citada sentencia que “no sucede así [la calificación de la información como dato personal] cuando la identificación del interesado esté prohibida por la ley o sea prácticamente irrealizable, por ejemplo, porque implique un esfuerzo desmesurado en cuanto a tiempo, costes y recursos humanos, de modo que el riesgo de identificación sea en realidad insignificante”” Trae a colación, asimismo, en defensa de su postura la STJUE de 26/04/2023 (asunto T-5570/20): “El TJUE ha abundado en esta doctrina en su sentencia de 26 de abril de 2023 (asunto T-557/20 -JUR v. EDPS-) cuya similitud con el presente caso resulta evidente, dado que se plantea, en definitiva, si determinada información, vinculada a un código alfanumérico aleatorio, que fue facilitada por la Junta Única de Resolución (en adelante, “JUR”) a un consultor externo, con la limitación específica de poder acceder a la información que vinculaba el código a personas determinadas, puede ser considerada, desde la perspectiva del concepto establecido en el artículo 3.1 del RGPD, dato personal. En este sentido, la cuestión, idéntica a la analizada en este procedimiento, es objeto de estudio en los apartados 84 y siguientes de la citada sentencia, en los que se indica lo siguiente (el subrayado es nuestro):”. Tras esta cita jurisprudencial IBERCLI manifiesta: “Y estas son las circunstancias que concurren en el presente caso: mi representada dispone de un código alfanumérico, el CUPS, que identifica a un punto de suministro, aunque tiene expresamente vedado por la normativa sectorial aplicable conocer cuál es la persona a la que se refiere dicho CUPS en su condición de titular del punto de suministro (es decir, convertir al CUPS en información sobre una persona identificada) ni tan siquiera conocer cuál es la localización del citado punto de suministro, que permitiera individualizar a su titular (es decir, convertir a ese titular en identificable). No se trata de que IBERCLI no disponga de los medios, en términos de tiempo y costes, necesarios para llevar a cabo esa vinculación del CUPS con una persona física identificada o identificable, es que para poder convertir al titular en persona identificada o identificada, tanto mi representada como la distribuidora a la que se refiere el CUPS deberían vulnerar la normativa eléctrica, accediendo a información del SIPS contra lo establecido en el párrafo tercero del artículo 7.2 del Real decreto 1435/2002. Y el TJUE considera que no cabe hacer referencia a la existencia de datos personales “si la identificación del interesado estuviese prohibida por la ley”, es evidente que en este caso, el CUPS no puede ser considerado dato personal para IBERCLI, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/66 automáticamente determina la inaplicación de la normativa de protección de datos personales que sólo “se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero” (artículo 2.1 del RGPD). lo que sólo puede conducir al archivo del presente procedimiento.” La alegación segunda del escrito de alegaciones a la propuesta de resolución lleva la rúbrica “Sobre la inexistencia de vulneración del principio de exactitud”. Precisa IBERCLI que el contenido de esta alegación deberá entenderse como subsidiario de lo indicado en la alegación primera. Seguidamente manifiesta: “la Propuesta de Resolución considera, en resumen, vulnerado el principio de exactitud como consecuencia del hecho de que, al haberse producido la contratación del suministro eléctrico de forma verbal, mi mandante no cuenta con un “soporte duradero que le permita demostrar que el dato tratado coincide con el que le facilitó TESTA”. “Y añade la Propuesta de Resolución que “debía estar en condiciones de poder acreditar que su cliente, como consecuencia de un traspaso de uso, cualquiera que fuera el título jurídico que lo amparase, era el nuevo usuario de la vivienda correspondiente al punto de suministro y que el CUPS que iba a tratar coincidía con el del punto de suministro para el cual su cliente solicitaba contratar”. Dice IBERCLI: “Mi representada no puede sino mostrar su disconformidad con lo indicado en la Propuesta de Resolución, y ello porque entiende, respetuosamente, que la AEPD con este razonamiento está estableciendo condiciones adicionales a la celebración de los contratos de suministro eléctrico que no aparecen recogidas en la normativa sectorial que le resulta de aplicación. Precisa dónde se regulan los contratos de suministro eléctrico y que “ninguna de las disposiciones de dicho contrato establecen requisito alguno en cuanto a la forma de celebración, presencial, telefónica, on-line o de otra clase, de los contratos, limitándose a indicar que “[e]l Ministerio de Economía elaborará contratos tipo de suministro y de acceso a las redes”, constando en el expediente el contrato celebrado con TESTA por mi representada, en el que consta el CUPS al que se refiere el suministro y que ha sido firmado por la citada mercantil.” Añade que: “Sin embargo, la AEPD considera que junto con el acuerdo de voluntades que constituye el contrato y el suministro de la información necesaria para su celebración es necesario un requisito adicional, no previsto en norma alguna, consistente en que el dato del CUPS haya sido facilitado por el consumidor que solicita la celebración del contrato en un soporte duradero que permita acreditar la certeza de dicha información. Y a ello añade, tras haber efectuado una referencia al artículo 83 del citado Real Decreto 1955/2000 que no resultaría aplicable al presente supuesto, dado que, obviamente no se está produciendo una subrogación o traspaso del contrato, que mi representada debía poder acreditar dicho traspaso de uso aportando algún documento que lo acreditase y, al propio tiempo que acreditase que el CUPS se correspondía con el domicilio del suministro, cuando ya se ha indicado en la alegación primera que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/66 IBERCLI jamás podría llevar a cabo esa comprobación, puesto que no puede conocer la ubicación del punto de suministro.” Concluye IBERCLI: “En consecuencia, la AEPD impone a mi cliente obligaciones adicionales en la formalización de los contratos de suministro eléctrico, exige en un contrato que no implica traspaso o subrogación a los efectos del artículo 83 del Real decreto 1955/2000 la acreditación de que el traspaso ha tenido lugar y considera necesaria la obtención de un documento que en ningún caso va a permitir verificar, puesto que no puede acceder a la información relacionada con la ubicación del CUPS. Todo lo anterior debería conducir al archivo del presente expediente, dado que lo que acaba de reproducirse pone de manifiesto la extralimitación que la AEPD realiza en el ejercicio de sus competencias, pretendiendo imponer requisitos adicionales a la celebración de los contratos de suministro eléctrico que no se recogen en la normativa sectorial aplicable, sin ser el órgano competente para la supervisión del sector, al corresponder esta competencia a la Comisión Nacional de los Mercados y la Competencia.” Advierte también que “las circunstancias concurrentes en el presente caso no resultan excepcionales en el ámbito de las solicitudes por cambio de suministrador eléctrico.” Y explica que este tipo de situaciones, en gran medida, traen causa del hecho de que, “como consecuencia de la reforma operada en el Real Decreto 1435/2002 por el Real Decreto 1074/2015, de 27 de noviembre, se suprimió la posibilidad de que las comercializadoras pudieran contrastar a través del SIPS la ubicación del punto de suministro, lo que hasta esa fecha les había permitido verificar si el CUPS y la citada ubicación o dirección de suministro resultaban coincidentes.” Informa de que la CNMC ha adoptado en fecha 28/02/2023 la “Resolución del procedimiento para la adopción de una decisión jurídicamente vinculante de la CNMC en relación con el significativo incremento de cambios de comercializador de electricidad sin consentimiento como consecuencia de selección errónea del código CUPS del punto de suministro” (Expediente DJV/DE/005/22), por el que se establecen procedimientos específicos para la verificación por parte del distribuidor de la información facilitada por el comercializador y la transmisión de dicha información a los solicitantes del suministro eléctrico en caso de rechazo de la solicitud de cambio de comercializador.” “Es decir, la situación acaecida en el presente supuesto no se debe a la supuesta falta de diligencia de mi representada, sino a la dificultad con que la misma (como el resto de comercializadores) se encuentra a la hora de poder verificar la exactitud del CUPS facilitado por el solicitante del contrato, toda vez, como consecuencia de la aplicación de la normativa sectorial, carece de medios que le permitan llevar a cabo una verificación de la vinculación del CUPS facilitado con la ubicación del punto de suministro, al que tiene prohibido acceder.” Critica la afirmación que hace la propuesta según la cual obró con una absoluta falta de diligencia y la inaplicación por la Agencia del artículo 4.2.
  29. a)de la LOPDGDD invocado en sus alegaciones al acuerdo de inicio. En tal sentido expone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/66 “Partiendo de lo que ha venido indicándose, considera mi representada que, no resultando admisible la consideración de que actuó sin cumplir con la debida diligencia, no es posible indicar, de forma completamente sumaria, que no resulta aplicable lo dispuesto en el artículo 4.2
  30. a)de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”) por cuanto no puede ser imputable a IBERCLI la inexactitud de los datos cuando los mismos han sido facilitados por el interesado. Y a estos efectos, mi representada considera preciso traer nuevamente a colación lo indicado en las alegaciones al Acuerdo de Inicio, sin que la AEPD incorpore en la Propuesta argumentación alguna para rebatir La alegación tercera lleva por rúbrica “Sobre la vulneración del principio de proporcionalidad”. Con carácter subsidiario la reclamada aduce en su defensa que la propuesta de resolución ha incumplido el principio de proporcionalidad, reiterando lo manifestado en sus alegaciones al acuerdo de apertura. Añade que la propuesta de resolución no ha incorporado ningún argumento adicional a los que recogía el acuerdo de inicio y se ha limitado a rechazar sus consideraciones “sobre la base de que concurren, a juicio de la AEPD, los elementos que justifican la declaración de una infracción y la imposición de la correspondiente sanción.” Considera “ciertamente sorprendente” que la Agencia se “limite a indicar que la sanción determinada cumple con el principio de proporcionalidad por el hecho de que se aprecia la comisión de una infracción, cuando tal circunstancia, que mi representada niega de plano, no guarda relación alguna con la determinación del importe de la sanción que pretende imponerse a IBERCLI.” Explica a ese respecto: “Es decir, la AEPD aplica como circunstancias agravantes aspectos relacionados exclusivamente con la actividad de mi representada, de forma que cualquier vulneración de la normativa de protección de datos que ésta pudiera cometer sería inmediatamente agravada por las tres circunstancias mencionadas por el único hecho de que el tratamiento se llevase a cabo en el ámbito de la actividad de IBERCLI. Entiende mi representada que tal razonamiento resulta necesariamente contrario al principio de proporcionalidad, implicando una clara discriminación a mi mandante que, por el mero hecho de tener el objeto que le es propio verá agravada en todo caso, y al margen de las circunstancias del caso concreto, su responsabilidad.” (El subrayado es nuestro) Añade que la propuesta ha apreciado “hasta tres atenuantes [sic] por circunstancias que no guardan relación con los hechos sino única y exclusivamente con la propia naturaleza y condición de IBERCLI.” Se refiere a la agravante prevista en el artículo 83.2
  31. a)del RGPD por el hecho de que el tratamiento se enmarca “en las actividades principales de IBERCLI.” A la agravante de intencionalidad o negligencia en la infracción, “que ya se indicó en las anteriores alegaciones que no puede considerarse agravante, sino requisito de imputabilidad, por el hecho de que el tratamiento se realiza “con ocasión de la actividad empresarial que le es propia” a mi representada.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/66 “Finalmente, se considera que concurre la agravante del artículo 76.2
  32. b)de la LOPDGDD por la vinculación entre la actividad de mi representada y el tratamiento de datos personales.” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante manifiesta que el contrato de suministro eléctrico que tenía suscrito con NATURGY para el CUPS del que ella era titular, ***CUPS.1, ubicado en la dirección calle ***DIRECCIÓN.1, se canceló sin su conocimiento ni consentimiento. Añade que el 23/10/2021 recibió un SMS de su comercializadora de electricidad, NATURGY, en el que le comunicaba: “hemos dado de baja tu contrato de electricidad en tu vivienda con C.P. 28051”. SEGUNDO: Obra en el expediente, aportada por la parte reclamante, la última factura de suministro eléctrico emitida por NATURGY para el CUPS eléctrico del que era titular. Se trata de la factura número ***FACTURA.1, de fecha 19/10/2021, emitida a su nombre para el CUPS de electricidad ***CUPS.1 que consta asociado a la dirección de suministro de calle ***DIRECCIÓN.1. TERCERO: IBERCLI, en su respuesta de fecha 13/01/2022 al traslado y solicitud informativa de la Agencia declaró que el origen de los hechos reclamados fue “el error de un tercer cliente que dio de alta un contrato de suministro eléctrico a su nombre (TESTA RESIDENCIAL SOCIMI, S.A.) pero sobre un CUPS erróneo”. (El subrayado es nuestro) Respecto a las causas que motivaron la incidencia que ha originado la reclamación, manifestó: “En el presente caso el incidente surge debido a que una tercera empresa, TESTA RESIDENCIAL SOCIMI, S.A. solicita en fecha 18/10/2021 la contratación del suministro energético sobre el CUPS ***CUPS.1, suscribiendo dicho contrato mediante firma y aportando para lo anterior la documentación societaria relativa a la representación de la persona jurídica titular del contrato.” CUARTO: Obra en el expediente, aportado por IBERCLI, la copia del “Contrato Plan Libre Iberdrola” celebrado entre IBERCLI y TESTA el 18/102021 para el suministro eléctrico del piso XX de la calle, número y portal antes indicado. Es un documento preimpreso con los datos personales cumplimentados a máquina en el que, en el apartado firma del cliente consta por TESTA una rúbrica sin detallar la identidad de la persona física que actuó en representación de esa sociedad anónima. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/66 Forma parte del contrato la “Carta al Distribuidor de electricidad” que lleva esta leyenda: “Compañía distribuidora de electricidad (en adelante actual distribuidor): UFD Distribución de Electricidad, S.A. Dirección: ***DIRECCIÓN.2. Muy Sres. Míos: Mediante la presente les comunico que he suscrito un contrato con IBERDROLA CLIENTES, S.A.U. para el suministro de energía eléctrica en el siguiente domicilio: C/ ***DIRECCIÓN.1. En consecuencia les comunico que a partir de la fecha de inicio del contrato con IBERDROLA CLIENTES, S.A.U. doy por terminado el contrato de referencia __y C.U.P.S. ***CUPS.1, que en la citada dirección tengo suscrito con Uds. En especial autorizo a IBERDROLA CLIENTES, S.A.U. para contratar el acceso a las redes eléctricas (ATR) de acuerdo con el art 3.3 del R.D. 1435/2002.” QUINTO: En su respuesta a la Inspección de Datos de la Agencia de fecha 11/07/2022 IBERCLI aporta los mensajes intercambiados a través del STCD con la distribuidora UFD: 1.- “SOLICITUD_ALTA_C3_ELE_XML, que contiene el mensaje de tipo “MensajeCambiodeComercializadorConCambios” referente al código de solicitud XXXXXXXXXXXX. Este mensaje incluye los siguientes datos: o Fecha de solicitud: “10-18-2021-03:31:58” o Fecha prevista de acción: “2021-10-19” o CUPS: ***CUPS.1 o Tipo de modificación: “S” o Tipo de Solicitud Administrativa: “T” o Cliente: TESTA RESIDENCIAL SOCIMI, S.A (A82865890)” Según el documento de Tablas de Códigos el valor “S” en relación con el tipo de modificación contractual significa que “La solicitud de modificación contractual es únicamente de tipo administrativa”; el valor “T” del tipo de solicitud administrativa es “Cambio de titular por traspaso”. Es un nuevo contrato de suministro con un nuevo titular y el comercializador actuando como sustituto del consumidor: 2.- “ACEPTACION_ALTA_C2_EL_XML” ***CÓDIGO.1 y el CUPS ***CUPS.1. que refiere el código de solicitud 3.- “ACEPTACION_C2” que refiere el código de solicitud ***CÓDIGO.1 y el CUPS ***CUPS.1. SEXTO: El DPD de UFD Distribución y del Grupo Naturgy informa en su respuesta a los requerimientos de la Inspección de Datos de la Agencia, de fecha 15/06/2022, que: - Del 17/12/2012 al 18/10/2021 la parte reclamante fue titular de un contrato de suministro eléctrico con NATURGY para el punto de suministro calle ***DIRECCIÓN.1 y el CUPS ***CUPS.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/66 -El 18/10/2021 UFD Distribución recibe una solicitud de IBERCLI para el cambio de comercializador con modificaciones en el contrato de acceso (proceso “C2”) a favor de un nuevo titular (TESTA RESIDENCIAL SOCIMI, S.A.). -El distribuidor, UFD, acepta el cambio de comercializador entrante a favor de IBERCLI y comunica esa circunstancia al comercializador saliente, NATURGY. -El cambio de comercializador con modificación contractual (proceso “C.2.”) se activa el 19/10/2021 dejando ese día el reclamante de ser su cliente. SÉPTIMO: Obran en el expediente, aportadas por el DPD de UFD Distribución, diversas capturas de pantalla obtenidas del “Sistema SCTD distribuidor UFD” que reflejan las comunicaciones intercambiadas entre el comercializador entrante, IBERCLI, y la distribuidora UFD con ocasión de la solicitud de cambio de comercializador con modificación contractual (proceso “C.2.”) que la comercializadora entrante dirigió a esa distribuidora en relación con el cliente TESTA, para el punto de suministro ubicado en el piso XX de la calle ***DIRECCIÓN.1 (vivienda de TESTA) y para el CUPS ***CUPS.1 perteneciente a la parte reclamante. OCTAVO: En fase de prueba se solicitó a IBERCLI que explicara “cuáles fueron las medidas que adoptó y cuáles los documentos recabados de TESTA, debiendo aportar copia de ellos en caso de existir, con el fin de verificar que la precitada entidad era la titular del CUPS” objeto de tratamiento. IBERCLÍ respondió que su cliente le había proporcionado verbalmente el dato del CUPS. Manifestó que: “De este modo, en el seno del proceso de solicitud, mi mandante solicitó de TESTA que le facilitase el CUPS correspondiente al suministro al que se refería el suministro, que le fue facilitado verbalmente en los términos indicados a lo largo de este procedimiento.” (El subrayado es nuestro) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/66 subsidiario, por las normas generales sobre los procedimientos administrativos." II Sobre el cambio de calificación jurídica efectuado en el trámite de propuesta de resolución La propuesta de resolución de este procedimiento modificó la calificación jurídica de la conducta recogida en el acuerdo de apertura del expediente sancionador. En el trámite de propuesta se consideró oportuno sustituir la calificación inicial de vulneración del artículo 6.1.
  33. a)del RGPD y calificar la actuación de la que se responsabiliza a IBERCLI como una vulneración del principio de exactitud establecido en el artículo 5.1.d), infracción tipificada en el artículo 83.5.
  34. a)del RGPD y considerada por la LOPDGDD, a efectos de prescripción, (artículo 72.1.
  35. a)como una infracción muy grave. La propuesta de resolución dedicó al análisis de esta cuestión el Fundamento de Derecho II, del que transcribimos estos fragmentos: <<Respecto a si es o no admisible jurídicamente cambiar en el trámite de propuesta de resolución la calificación de los hechos expuestos en el acuerdo de apertura y a la incidencia que este cambio puede tener en el derecho de defensa de la parte reclamada, hemos de precisar que resulta plenamente ajustado a Derecho y que nada impide la modificación de la calificación inicial siempre y cuando, como acontece en este procedimiento, permanezcan invariables los hechos en los que se basó la imputación formulada en el acuerdo de iniciación. El primero de los derechos que el artículo 53.2 de la LPACAP reconoce en el procedimiento sancionador al presunto responsable es la notificación de los hechos que se le imputan, las infracciones que tales hechos puedan constituir y las sanciones que, en su caso, se le pudieran imponer. El Tribunal Constitucional ha precisado que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). Así, en su Sentencia 145/1993 el Tribunal Constitucional (T.C.) advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa que el T.C. ha declarado que las exigencias del artículo 24.2 de la Constitución Española (CE) se satisfacen fundamentalmente con la sola comunicación de los hechos imputados, para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 03/03/2004, afirma que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/66 En la SAN de 12/03/2016 (recurso 312/2014), Fundamento de Derecho segundo, se responde en los siguientes términos a la alegación de la parte actora de “que la propuesta de resolución alteró la calificación jurídica respecto al acuerdo de apertura”: “A raíz de lo suscitado por la parte actora, resulta conveniente reflejar la doctrina constitucional y la jurisprudencia sobre el alcance del derecho de los sancionados a ser informados de la acusación durante la tramitación del procedimiento administrativo sancionador y los límites que ha de respetar el órgano sancionador en el ejercicio de su potestad sancionadora para salvaguardar el derecho de defensa de aquel. Los principios inspiradores del orden penal son de aplicación, con ciertos matices, al Derecho Administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado, tal y como refleja propia Constitución, una reiterada jurisprudencia de nuestro Tribunal Supremo y la doctrina del Tribunal Constitucional (en este sentido, Sentencias del Tribunal Supremo de 28 de abril de 2014 -recurso nº. 364/2013 -, y de 9 de abril de 2014 -recurso nº. 212/2013 -, entre otras)” [...] Por su parte el Tribunal Supremo también ha establecido que unas de las garantías aplicables al procedimiento administrativo sancionador derivado del derecho de defensa reconocido en el artículo 24 de la Constitución es la de ser informado de la acusación para poder defenderse adecuadamente, tal y como establece la Sentencia del Tribunal Supremo de 3 de noviembre de 2003 -recurso nº. 4.896/2000 -, cuya doctrina es reiterada en las Sentencias de dicho Tribunal de 21 de mayo de 2014 -recurso n. 492/2013 -, y de 30 de octubre de 2013 -recurso nº. 2.184/2012-, en los siguientes términos:” "Pues bien, de la doctrina del Tribunal Constitucional y de la jurisprudencia de esta Sala deben resaltarse los siguientes principios:
  36. a)[...] En relación con esa operación de traslación de las garantías del art. 24 CE al procedimiento administrativo sancionador [...], se ha ido elaborando progresivamente en numerosas resoluciones una consolidada doctrina constitucional, en la que se citan como aplicables, sin ánimo de exhaustividad, el derecho de defensa, que proscribe cualquier indefensión; el derecho a ser informado de la acusación, con la ineludible consecuencia de la inalterabilidad de los hechos imputados; el derecho a la presunción de inocencia, [...]
  37. b)Entre las garantías aplicables al procedimiento administrativo sancionador se encuentra, desde luego, la de ser informado de la acusación para poder defenderse adecuadamente; y tal información comprende los hechos atribuidos, la calificación jurídica de los mismos y la sanción que se propone. Ahora bien, la estricta correlación entre acusación y decisión se refiere a los hechos y no tanto a la calificación jurídica, por cuanto manteniéndose inalterados los hechos objeto de cargo, la propuesta de resolución y, en definitiva, la decisión sancionadora puede utilizar otro título de condena con dos límites: la imposibilidad de que se incluya en dicha resolución del procedimiento una calificación jurídica de mayor gravedad que la reflejada en la comunicación de cargos dirigida a quien se ve sometido al expediente sancionador, y la imposibilidad de apreciar en la resolución una calificación jurídica distinta de la comunicada si existe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/66 heterogeneidad en los bienes jurídicos protegidos o si la infracción definitivamente considerada incorpora algún elemento del tipo que no corresponde a aquella que fue notificada y sobre la que el sancionado no ha tenido, en consecuencia, oportunidad de defensa. Y no hay variación de los hechos entre el pli

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.