← España

PS-00579-2022

1/23  Expediente Nº: EXP202201231 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA ENERGÍA, S.A.U. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 29 de agosto de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202201231 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 17/01/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ENDESA ENERGÍA, S.A.U. con NIF A81948077 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que con fecha 08/08/2021 recibe una carta de su empresa suministradora IBERDROLA CLIENTES, S.A.U. (en lo sucesivo IBERDROLA), con el objetivo de que no abandonara la entidad ya que había recibido solicitud de cambio del contrato a la entidad reclamada. Señala no haber realizado solicitud de cambio de empresa suministradora de gas y electricidad, ni haber autorizado su cambio; personado ante el reclamado le informan que el nuevo contrato se ha realizado por internet, a nombre de su padre (fallecido según certificado de defunción adjunto). Acompaña a su escrito: - Reclamación ante la reclamada y respuesta de 20 de agosto de 2021 en la que le informan de que la única solución posible es volver a darse de alta en su anterior compañía. - Contrato de suministro de electricidad con IBERDROLA (en adelante, comercializador saliente) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04/03/2022 como consta en el acuse de recibo que obra en el expediente. En su respuesta el reclamado ha manifestado que se había contactado con el reclamante para esclarecer los hechos y resolver cualquier incidencia; que el 17/06/2021 se había recibido una solicitud de suministro eléctrico a través de la web a nombre de un tercero, para el punto de suministro ubicado en ***DIRECCION.1, facilitando los datos para realizar el trámite, incluido un número de cuenta corriente. No obstante, dicho contrato consta dado de baja desde el día 23/01/2022 y, ante los hechos expuestos en la reclamación, se está gestionando la cancelación, y el reembolso, de las facturas emitidas relativas al periodo de tiempo en el que dicho contrato estuvo en vigor; que sin perjuicio de que la contratación cuestionada contaba con elementos suficientes que la dotaban de autenticidad y validez, se ha instado a la entidad a la revisión del procedimiento de contratación telemático, con el objetivo de introducir más elementos de autenticación que reduzcan la posibilidad de que incidentes como el ocurrido se produzcan. TERCERO: Con fecha 17/03/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 4 de abril, 6 de mayo y 28/06/2022 se realizaron solicitudes de información a la parte reclamada. Las respuestas a dichos requerimientos tuvieron entrada en la sede electrónica de la AEPD con fecha 27 de abril, 30 de mayo y 19/07/2022, respectivamente. Con fecha 08/06/2022 se realizó una solicitud de información a I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U. (en adelante i-DE); con fecha 22/06/2022 tuvo entrada en la AEPD su respuesta. Con fecha 29/06/2022 se realizó solicitud de información al comercializador saliente y con fecha 13/07/2022 tuvo entrada su respuesta en la AEPD. Con fecha 26/07/2022 se realizó solicitud de información a la entidad bancaria Caja Laboral Coop. De Crédito y con fecha 28/07/2022 tuvo entrada su respuesta en la AEPD. • Marco normativo Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, así como la Disposición Adicional Tercera del Real Decreto 1074/2015, y las Resoluciones de la Comisión Nacional de los Mercados y de la Competencia (en adelante, “CNMC”) de 20 de diciembre de 2016 y 17 de diciembre de 2019 por las que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 se aprueban los formatos de los ficheros de intercambio de información entre distribuidores y comercializadores de energía eléctrica y gas natural. Según el reclamado, al supuesto referido en este expediente le fue de aplicación lo establecido para el proceso operativo estandarizado “C2-Cambio de comercializador con modificaciones en el contrato de acceso”, puesto que implicaba el cambio de titularidad del contrato de suministro. • Canal de contratación del suministro eléctrico El reclamado indica que el procedimiento de cambio de comercializador a la parte reclamada fue consecuencia de una contratación telemática no asistida que se inició con la solicitud del nuevo cliente en su página web con fecha 17/06/2021. Se aporta captura de pantalla con los datos de la solicitud donde se comprueba que en el campo Cambio titular se indica NO. • Procedimiento de contratación telemática del suministro eléctrico El reclamado afirma haber seguido el procedimiento que tiene establecido para la contratación telemática no asistida, Procedimiento CANALES DIGITALES: TRATAMIENTO Y GESTIÓN DE DATOS DEL CLIENTE EN LA VENTA, CONTRATACIÓN Y ATENCIÓN. Versión 1. Fecha 25/05/2018. Este procedimiento fue remitido a esta Agencia con fecha 27/04/2022 y, a continuación, se reproduce parcialmente lo que se establece en su apartado 4. Operativa en procesos de contratación: 4.A. Procedimiento de identificación del cliente/no cliente Previo a realizar cualquier contratación, se establecen requisitos para verificar la identidad del cliente (actual o potencial) y se recogen datos y documentos para dar soporte legal a la contratación. Las casuísticas operativas de identificación de cliente y los datos y documentos que se recaban, se detallan a continuación. 4.A.3. Procedimiento de identificación de no cliente El procedimiento para realizar la identificación de un no cliente en el proceso de contratación es el siguiente: 1. Se solicita confirmación de titularidad, el nombre completo, número de DNI, dirección del punto de suministro, teléfono móvil y fijo, email, dirección de facturación, potencia a contratar y otros datos técnicos del punto de suministro, y número de cuenta bancaria. 4.B. Datos y documentos a recabar en la contratación Los datos y documentos que se recaban en la contratación en la página web son los siguientes: 1. Se solicita nombre completo, número de DNI, dirección del cliente, teléfono móvil y fijo, email, dirección de facturación, dirección del punto de suministro, potencia a contratar y otros datos técnicos del punto de suministro, y número de cuenta bancaria. 2. La empresa reclamada remite al cliente el formulario SEPA para formalizar la domiciliación bancaria a través del medio de contacto seleccionado por el cliente (email u otros medios). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 3. Se cotejan los datos facilitados por el cliente con los datos disponibles en el sistema interno de la entidad reclamada y se almacena en el sistema interno de la entidad reclamada. 4.C. Verificación de los datos y documentos recabados En términos generales se coteja la información según lo detallado en el proceso de identificación de cliente (apartado 4.A.) 4.D. Medidas que acreditan la contratación Se detallan a continuación las medidas adoptadas para acreditar la contratación: 1. Se contrastan los datos incluidos en la documentación recibida del cliente con los datos disponibles en el sistema interno de la entidad reclamada. 2. Se registra la dirección IP desde la cual se ha realizado la transacción y el momento (Timestamp). Asimismo, el reclamado señala el 30/05/2022 que en las contrataciones telemáticas no asistidas se presume que es el propio interesado quien completa el formulario de contratación disponible en la página web y quien facilita todos los datos necesarios para poder realizar el trámite, esto es, su nombre y apellidos, su número de DNI, su dirección de correo electrónico, su número de teléfono, la dirección del punto de suministro, el CUPS y su número de cuenta corriente donde domiciliar el pago de las facturas – no siendo, por tanto, necesaria una confirmación adicional por parte del interesado. Y añade que en el supuesto que nos ocupa, al contar la contratación con elementos suficientes que la dotaban de autenticidad y validez, el 10 de julio de 2021, se dio de alta efectiva en los sistemas de la parte reclamada, el mencionado contrato de suministro a nombre del nuevo titular, que la parte reclamante acredita que es su padre fallecido. • Evidencias de la contratación telemática no asistida La parte reclamada aporta capturas de pantalla del proceso que se sigue en una contratación digital: - Las capturas de pantalla muestran que el formulario consta de cuatro pasos, en el primero se solicitan los datos del titular, en el segundo los datos relativos al suministro, en el tercero se presenta el resumen del contrato; donde se incluyen, entre otros, los datos del titular y del punto de suministro de luz; para su revisión y se recaba la aceptación de las condiciones de contratación y en el cuarto paso se presentan los datos de pago y se solicita la revisión de estos. - Seguidamente, se muestra una pantalla que informa de que la solicitud ha sido registrada y de que se ha enviado un mail con todos los detalles de la solicitud. Se aporta captura de pantalla de la comunicación de la parte reclamada con los detalles de la solicitud y se comprueba que los datos del titular, nombre, apellidos y DNI, son los datos del padre del reclamante y que el CUPS de los datos del suministro de luz es el de la vivienda del reclamante. Asimismo, en el campo Cambio titular se indica NO. • Contratos asociados a CUPS de la vivienda del reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 El comercializador saliente informa de que el 09/07/2021 el contrato de electricidad asociado al CUPS ***REFERENCIA.1 fue dado de baja por cambio de comercializador; mientras que el contrato de suministro de gas asociado al CUPS ***REFERENCIA.2 sigue en estado de alta a nombre del reclamante. La empresa distribuidora eléctrica, i-DE, informa y acredita que: - Con fecha 07/07/ 2021 recibió solicitud de alta de suministro de la parte reclamada y que fue rechazada de forma automática por el motivo “Contrato previo en vigor”, puesto que dicho suministro se encontraba ya de alta desde al menos el año 2010. El contrato se encontraba de alta comercializado por el comercializador saliente al reclamante, en virtud de solicitud con fecha 21/03/2019 de cambio de titular por traspaso por parte del comercializador saliente al reclamante, anteriormente la titularidad era del padre del reclamante. - Posteriormente, con fecha 09/07/2021 la parte reclamada realizó solicitud de cambio de comercializador con cambios contractuales, solicitando un cambio de titular por traspaso al padre del reclamante; aceptándose y activándose el cambio de comercializador con vigencia desde esa misma fecha. El contrato se ha mantenido sin cambios adicionales desde dicha fecha. El reclamado informa de que una vez recibida, por parte de la empresa distribuidora eléctrica, la comunicación rechazando su solicitud de “Alta de un punto de suministro” con el motivo de rechazo “Existencia de contrato previo en vigor”, comprobó en el portal de la empresa distribuidora que la dirección asociada al CUPS de la vivienda del reclamante coincidía con la dirección asociada al CUPS en sus sistemas internos y generó una nueva solicitud de “Cambio de comercializador con modificaciones en el contrato de acceso”. En la documentación aportada por la parte reclamada no se indica ni se acredita que se solicitara al nuevo titular la verificación de los datos aportados. Con fecha 19/07/2022 la parte reclamada aporta el contrato de suministro eléctrico asociado al CUPS de la vivienda del reclamante, fechado el 10/07/2021 y no firmado por el cliente. En el contrato aportado se comprueba que en el campo DATOS DEL CLIENTE (Titular de la Póliza de Suministro) se incluye el nombre, apellidos y DNI del padre del reclamante; en el campo DATOS DEL PUNTO DE SUMINISTRO el CUPS de la vivienda del reclamante y en el campo DATOS DE PAGO un código de cuenta bancaria (***REFERENCIA.3), coincidente con el que figura en la solicitud de la contratación telemática, que la entidad bancaria Caja Laboral Coop. de Crédito informa que no es válido, que no existe cuenta alguna en la entidad con dicha numeración. La parte reclamada informa que el contrato estuvo en vigor desde el 10 de julio hasta el 23/01/2022, momento en el que se dio de baja por cambio de compañía comercializadora. • Facturas emitidas por la parte reclamada y formulario SEPA cumplimentado con el que se formalizó la domiciliación bancaria La parte reclamada aporta copia de las cuatro facturas que se emitieron durante el período en el que el contrato estuvo en vigor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 En dichas facturas se comprueba que los números visibles del IBAN coinciden con los del código de cuenta bancaria incluido en el campo DATOS DE PAGO del contrato aportado. En relación con el código de mandato de las facturas, la entidad bancaria indica que es correcto y que con el mismo llegaron a Caja Laboral Popular Coop. de Crédito los cuatro recibos, pero que al ser enviados a una cuenta con un número de IBAN incorrecto, fueron devueltos con el motivo de devolución “IBAN no válido”. La parte reclamada informa de que según consta en sus sistemas el formulario SEPA fue enviado correctamente al nuevo titular, si bien, no aparece registrado en los sistemas cumplimentado por el cliente. Luego, se evidencia que no se verificaron los datos y documentos recabados del cliente tal y como se establece en el procedimiento CANALES DIGITALES: TRATAMIENTO Y GESTIÓN DE DATOS DEL CLIENTE EN LA VENTA, CONTRATACIÓN Y ATENCIÓN aportado por la parte reclamada. QUINTO: Con fecha 17/01/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1 del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.

  1. a)del citado Reglamento. SEXTO: Notificado el acuerdo de inicio el reclamado solicitó mediante escrito de 20/01/2023 ampliación de plazo para formular alegaciones y proponer las pruebas pertinentes; plazo que le fue concedido mediante escrito del instructor de 24/01/2023. El 28/10/2021 el reclamado presento escrito de alegaciones manifestado, en síntesis, que en el presente caso se había limitado a atender la solicitud de contratación a través de la web de la entidad para la dirección señalada en la misma; la ausencia de antijuridicidad puesto que la contratación cuestionada contaba con todos los requisitos establecidos en la normativa y la dotaba de apariencia de veracidad y consentimiento del consumidor dándose el alta efectiva en la entidad a nombre del reclamante no cabiendo apreciar antijuridicidad en la conducta del reclamado; la ausencia de culpabilidad no existiendo dolo, culpa, ni falta de diligencia del reclamado; subsidiariamente y para el supuesto de que no se entiendan las alegaciones anteriores se realice una minoración de la sanción propuesta; asimismo, la improcedencia de aplicar las circunstancias de los apartados
  2. a)y
  3. k)del artículo 83.2 RGPD y se tengan en cuenta las circunstancias de los apartados
  4. c)y
  5. f)del artículo 76.2 LOPDGDD. SEPTIMO: Con fecha 19/07/2023, se acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. - Solicitar a TELEFONICA DE ESPAÑA, S.A.U., que aporte contrato de la línea de telefonía fija ***TELEFONO.1 e información del titular o titulares de la línea. - Solicitar a EDIS.at que aporte datos de la titularidad de la IP ***IP.1 el 17/06/2021 a las 15:25:51.844 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS 1. El 17/01/2022 tiene entrada en la AEPD escrito del reclamante en el que manifiesta que el 08/08/2021 había recibido carta de su empresa suministradora de gas y electricidad (IBERDROLA) instándole a que no abandonara la misma ya que había recibido solicitud de cambio del contrato con el reclamado, indicando que no había solicitado el cambio de empresa suministradora, ni haber autorizado su cambio; solicitadas explicaciones al reclamado le informan que el nuevo contrato se ha realizado a través de la web de las compañía a nombre de su padre cosa improbable ya que estaba fallecido en esa fecha. 2. Consta aportada copia del certificado de defunción del padre del reclamante de fecha 11/02/2021. 3. Consta que el 24/08/2021 el reclamante remitió correo electrónico al reclamado en el que informaba sobre los hechos reclamados y solicitaba una respuesta sobre la incidencia provocada. 4. El reclamado en correo electrónico de 20/08/2021 respondía que “…la única solución para volver con Iberdrola es volver a contratar con ellos y solo puedes hacerlo contactando con ellos. Otra opción es desistir del contrato con Endesa, pero si han pasado más de 15 días no vas a poder hacerlo porque es el tipo mínimo establecido para el desistimiento. Lo siento. De hecho, para hacer contratos, hay que tener consentimiento, y correspondiente firma del cliente. Con lo cual, no es posible que se haya hecho el cambio sin consentimiento. Te pido disculpas nuevamente por todo este lio...” 5. Consta aportado el contrato de suministro eléctrico suscrito por el reclamante con IBERDROLA de fecha 31/07/2020 para el CUPS ***REFERENCIA.1. 6. El reclamante se dirigió al GOBIERNO DE NAVARRA, Servicio de Consumo y Arbitraje, reclamación ***REFERENCIA.4, exponiendo los hechos descritos con anterioridad. En su respuesta al citado organismo el reclamado señalaba que: “…se han realizado las comprobaciones oportunas al objeto de solventar la reclamación planteada por el reclamante. En relación a esta solicitud de inicio de procedimiento arbitral, les informamos que no aceptamos el arbitraje propuesto por el motivo que a continuación detallamos: Les informamos que Endesa Energía, está adherida al Sistema Arbitral de Consumo para reclamaciones relativas a consumidores domésticos con respecto al proceso de contratación, facturación, cobro y atención al cliente, quedando excluido expresamente cualquier litigio relacionado con las redes de generación y/o distribución de las cuales la comercializadora no es directamente responsable tales como los relativos a lecturas, extensión de red, concesión de acceso de terceros a la red, interrupciones de suministro y daños derivados de problemas en la calidad de suministro, inspecciones reglamentarias y cualquier servicio, y los asuntos relativos a la pobreza energética y el bono social. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 Observamos que la reclamación no cumple con el acuerdo establecido en la Ley 7/2017 de Resolución Alternativa de Litigios en Materia de Consumo por no haber reclamación previa por el mismo motivo, no obstante, procedemos a su gestión sin atender el arbitraje propuesto. (…)” 7. Consta comunicación remitida por el reclamado al reclamante el 03/03/2022 a raíz de la denuncia presentada en la AEPD en la que le informaba que: “el día 17 de junio de 2021 consta en el sistema de la compañía una solicitud de alta del contrato de suministro eléctrico a nombre de Don B.B.B., para el punto de suministro ubicado en ***DIRECCION.1, con Código Universal del Punto de Suministro (en adelante “CUPS”) ***REFERENCIA.5. Dicha solicitud fue realizada a través del sitio web del Responsable del Tratamiento mediante la cumplimentación del preceptivo formulario de contratación en el que se facilitaron todos los datos necesarios para llevar a cabo el trámite…” 8. En los sistemas del reclamado figura el registro informático de la solicitud de alta del suministro de electricidad para el CUPS ***REFERENCIA.6 realizada telemáticamente vía web en el formulario en el que figura el nombre y apellidos del fallecido, no consta el domicilio, NIF, teléfono fijo, dirección e-mail, Nº de cuenta, dirección I.P., fecha y hora de la solicitud. 9. El reclamado, consecuencia de la contratación, emitió las siguientes facturas que resultaron impagadas: Nº factura: PMP101N1336800, del 10/07/2021 a 23/08/2021, por 34,43 € PMP201N0165553, del 23/08/2021 a 21/10/2021, por 43,07 € PMP201N0316277, del 21/10/2021 a 22/12/2021, por 45,43 € PMP209N0007098, del 22/12/2021 a 23/01/2022, por 27,41 € 10. Consta nota interna de la Oficina Comercial del reclamado señalando que: “… como consecuencia de la reclamación presentada por el reclamante por haber dado de alta un contrato, a través del canal web, a nombre de su padre, fallecido, en el punto de suministro del que el propio reclamante es titular, sin su consentimiento, os comunicamos la necesidad de reforzar el proceso de contratación telemática, introduciendo más elementos de autenticación con el objetivo de evitar incidentes como el que nos ocupa”. 11. Consta aportada copia del Registro de las Actividades de Tratamiento de datos personales y Copia del Análisis o Evaluación de Riesgos. 12. Caja Laboral Popular Cooperativa de Crédito en escrito de 28/07/2022 ha manifestado que: “…en respuesta a la solicitud de información con número de expediente EXP202201231 comunicamos que el número de cuenta ***REFERENCIA.3 no es válido; no existe cuenta alguna en Caja Laboral Popular Coop. de Crédito con dicha numeración. Por otra parte, indicar que el código de mandato ***REFERENCIA.7 es correcto y con el mismo llegan a Caja Laboral Popular Coop. de Crédito los recibos indicados en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 solicitud de información, pero, al ser enviados a una cuenta con número de IBAN incorrecto, son devueltos con el motivo de devolución “IBAN no válido”. 13. El reclamado solicito el 27/09/2021 a la empresa distribuidora mediante correo electrónico, la reposición del CUPS del reclamante para restaurar el suministro con su anterior comercializadora, señalando que: “Se ha generado contratación de forma errónea a favor del cliente actual, que nos ha reclamado que desea volver con su anterior comercializadora. Por tanto, solicitamos reposición del CUPS ***REFERENCIA.6 y lo devuelvan a las mismas condiciones que tenía antes del paso al reclamado.” 14. I-Redes en escrito de 20/06/2022 ha señalado que: “7 julio 2021. Solicitud de la Comercializadora ENDESA ENERGIA SAU de alta nueva a nombre de B.B.B. con NIF ***NIF.1. Solicitud rechazada porque el suministro tiene contrato vigente con servicio y no procede realizar un A3 o alta nueva. Posteriormente, con fecha 9 de julio de 2021 se solicitó por parte del reclamado una solicitud de cambio de comercializador con cambios contractuales, solicitando un cambio de titular por traspaso a D. B.B.B. aceptándose y activándose el cambio de comercializador con vigencia desde esa misma fecha. El contrato se ha mantenido sin cambios adicionales desde dicha fecha a la actualidad”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Los hechos reclamados se concretan en la suplantación en la contratación del suministro eléctrico ubicado en el domicilio del reclamante, quien no realizó solicitud alguna de cambio de empresa suministradora de gas y electricidad, ni autorizado su cambio, lo que podría vulnerar la normativa en materia de protección de datos de carácter personal. El artículo 58 del RGPD, Poderes, señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  6. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” III El artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. IV La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  14. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  15. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” V 1. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. De la documentación obrante en el expediente se evidencia que el reclamado ha vulnerado el artículo 6.1 del RGPD, al provocar la baja en el contrato de suministro de electricidad que el reclamante mantenía con la mercantil IBERDROLA, dando de alta como contratante a su padre, que estaba fallecido, para el mismo domicilio y CUPS, sin que consta base de legitimación alguna de las contempladas en el citado artículo para el tratamiento de los datos. En este sentido, la Audiencia Nacional señalaba en su sentencia de 18/11/2022, Recurso 590/2022, “…Es decir, que para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, y desde luego es necesario que quien trata los datos sea consciente del consentimiento de quien lo otorga y en el contexto en que lo hace. Nada de ello ocurre en el caso presente, en modo alguno ha existido consentimiento por parte de la reclamante para la modificación del contrato, consentimiento que se define como "Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". Y no se ha probado por la parte actora que existiera el mismo como exige el art. 7.1.” 2. El reclamado dispone de varios canales de contratación: • Canales Digitales: página web de Endesa Energía (www.endesa.com) y la aplicación móvil (“APP”). • Canales Digitales Asistidos: conjunto de canales telemáticos a través de los cuales el cliente tiene la posibilidad de acceder a información relativa a los distintos productos y servicios de Endesa Energía (por ejemplo, chat, e-mail, cuentas de Twitter y Facebook, Whatsapp y sistemas “click to call” gestionados a través de banners). • CAT Recepción: canal para la venta y atención al cliente de Endesa Energía por vía telefónica, que atiende las llamadas que proactivamente realiza el interesado. • CAT Emisión: canal de venta de Endesa Energía por vía telefónica mediante llamadas salientes de la compañía. • Canal Agentes Comerciales: canal de venta, ya sea presencial en un punto físico o por vía telefónica, a través de proveedores de Endesa Energía que actúan en calidad de encargados del tratamiento. • Canal Aliados: canal de venta, ya sea presencial en un punto físico o por vía telefónica, a través de colaboradores con los que se han alcanzado alianzas comerciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 En escrito de 27/04/2022 manifiesta que “En este sentido, para solicitar un cambio de comercializadora, no es necesario aportar información y documentación diferente a la que es necesaria aportar para realizar una nueva contratación y acreditar la identidad” En conexión con lo que antecede, en un supuesto como el que examinamos en el que se solicitaba un cambio de comercializadora con cambio simultáneo de titular, más si cabe una vez que fue rechazada la primera solicitud de cambio de comercializadora por alta nueva, exige que la entidad no solo cumpla la normativa específica del sector eléctrico sino llevar a cabo una mínima diligencia para acreditar que la documentación y la persona que intenta contratar es quien dice ser y gestionar de manera eficaz el cambio solicitado. Hay que señalar que en esta materia inciden diversas normas jurídicas entre las que cabe mencionar la Directiva (UE) 2019/944, del Parlamento Europeo y del Consejo, de 5/06/2019, sobre normas comunes del mercado interior de la electricidad y por la que se modifica la Directiva 2012/27/UE (en lo sucesivo, la Directiva 2019/944), cuyo artículo 23, “Gestión de datos”, dispone en el apartado 3, que “El tratamiento de datos personales en el marco de la presente Directiva se llevará a cabo de conformidad con el Reglamento (UE) 2016/679”; el Real Decreto 1955/2000, de 1 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de energía eléctrica; el Real Decreto 1435/2002, que regula las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, que dedica su artículo 7 al “Sistema de información de puntos de suministro que debe mantener el distribuidor” (SIPS); el Real Decreto 1011/2009, por el que se regula la Oficina de Cambios de Suministrador, al que se le encomiendan entre sus funciones (artículo 3.s)) la verificación del efectivo consentimiento de los consumidores al cambio de suministrador; La Ley 24/2013, de 26 de diciembre, del Sector Eléctrico; la Disposición Adicional Tercera del Real Decreto 1074/2015 y Resolución de la Comisión Nacional de los Mercados y de la Competencia de 17/12/2019 “por la que se aprueban los nuevos formatos de los ficheros de intercambio de información entre distribuidores y comercializadores y se modifica la Resolución de 20/12/2016”. La AEPD se ha pronunciado sobre el carácter de los datos del SIPS eléctrico señalando que “el Sistema de información de Puntos de Suministro incorpora datos de carácter personal, dado que a partir del Código de punto de suministro es posible identificar al consumidor al que se refiere la información, pudiéndose así vincular todo el contenido del sistema con dicho consumidor”. La Comisión Nacional de la Energía (CNE) a través de sus informes ha considerado que el comercializador entrante es el único interlocutor del consumidor durante el proceso de cambio, pues favorece la sencillez del procedimiento y reduce posibles barreras de cambio, y que el comercializador entrante debe ser responsable de encargarse de la tramitación del cambio y de la custodia de la documentación que pruebe de manera inequívoca la conformidad del cliente. En su informe de 28/02/2013 -en respuesta a la consulta planteada por una asociación sobre la acreditación del justo título en los procesos de cambio de suministro y de cambio de titular del contrato con acceso a red- afirma que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 comercializador entrante es el único interlocutor del consumidor durante el proceso de cambio. La CNE añade en su informe: “Así, la Orden ITG/1659/2009 hace descansar sobre el comercializador la obligación de disponer en todo momento de la documentación que acredite la voluntad del cliente a cambiar de suministrador a su favor. En esta línea, el Real Decreto 1011/2009 en su apartado
  16. q)introduce entre las funciones de OCSUM la verificación del efectivo consentimiento de los consumidores al cambio de comercializador, mientras que en el apartado
  17. p)y la Orden ITC/1659/2009 confiere a OCSUM la facultad de poder exigir toda la documentación que precise para verificar la adecuada aplicación del proceso y su autenticidad.” Y, finalmente, el informe de la CNE concluye lo siguiente: “Por tanto, el nuevo titular debe acreditar el justo título para proceder a un traspaso de contrato de acceso a red, y el comercializador deberá custodiar y comprobar la documentación en particular para aquellos casos en los que se solicita un cambio de comercializador con cambio de titular simultáneo siendo OCSUM quien tiene la facultad de poder exigir toda la documentación para verificar el proceso de cambio”. Ahora bien, en el presente caso se producen una serie de hechos que evidencian que el reclamado ha obrado con absoluta falta de diligencia en el cumplimiento de sus obligaciones. Habría bastado que dicha entidad cumpliera su normativa específica, a tenor de la cual debía haber comprobado la documentación e identificado al nuevo usuario, conservando el título por el cual la persona que solicitaba ser el nuevo titular sustentaba su solicitud de alta del contrato vinculado al CUPS de la vivienda del reclamante. A este respecto, en la contratación telemática llevada a cabo el reclamado presume que era el propio interesado quien completaba el formulario de contratación disponible en su página web y quien facilitaba todos aquellos datos necesarios para poder realizar el trámite, entre ellos, nombre y apellidos, número de DNI, dirección de correo electrónico, número de teléfono, la dirección del punto de suministro, nº de CUPS y su número de cuenta corriente donde domiciliar el pago de las facturas; no considerando en ningún caso necesario llevar a cabo una confirmación adicional por parte del interesado. El tratamiento efectuado por el reclamado de los datos personales del reclamante, conducta materializada en la baja del contrato de electricidad suscrito con la comercializadora IBERDROLA para el CUPS de su vivienda, no contaba con base legitimadora alguna de las contempladas en el artículo 6.1 del RGPD, subsumible en el artículo 72 de la LOPDGDD, que establece que son consideradas como infracciones muy graves:
  18. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” 3. Como se señalaba con anterioridad, la contratación del suministro de electricidad con el reclamado puede llevarse a cabo por diferentes canales; en el presente caso, se solicitó a través del canal web el alta en el suministro eléctrico para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 la vivienda del reclamante que fue tramitado, en un principio como nueva alta con cambio de comercializadora, modelo A1, de conformidad con lo contenido en la Resolución de la CNMC 17/12/2019 “por la que se aprueban los nuevos formatos de los ficheros de intercambio de información entre distribuidores y comercializadores y se modifica la Resolución de 20/12/2016”. Este procedimiento se lleva a cabo exclusivamente con la intervención de la nueva comercializadora (en el presente caso, el reclamado) pues es ésta quien interactúa con el nuevo cliente, gestiona el cambio de titular y de comercializadora y está obligada a recabar del nuevo cliente la documentación acreditativa de ser el usuario efectivo de la vivienda, así como a conservarla a disposición del distribuidor y de la Oficina de Cambio de Suministrador (OCSUM). El protocolo para la gestión de cambio de comercializadora con cambio de titular atribuye a la comercializadora entrante la condición de único interlocutor del cliente y la responsabilidad de ejecutar todas las actuaciones que san necesarias para la gestión del cambio. Por lo que se refiere al número de CUPS de la vivienda del reclamante, este dato no se vincula a una persona sino a una determinada vivienda y, además, obra en poder de la distribuidora de zona (junto con el nombre, apellidos, NIF y domicilio habitual del usuario de la vivienda) tal y como lo prevé el Real Decreto 1435/2002, en su artículo 7. En este sentido, ante la solicitud de contratación de un nuevo cliente, el reclamado debe confirmar con el cliente si se trata de un alta nueva – porque el suministro esté dado de baja – o de un cambio de comercializadora. Si se trata de un cambio de comercializadora, deberá confirma si es el titular actual del contrato de suministro. Además, deberá recabar los datos y documentación que sea necesaria para llevar a cabo la contratación y gestionar el procedimiento de cambio de comercializadora. Consta que I-REDES recibió el 07/07/2021 solicitud del reclamado de alta de suministro para el CUPS ***REFERENCIA.1 correspondiente al domicilio del reclamante en ***DIRECCION.1 que fue rechazada de forma automática por el motivo “Contrato previo en vigor”, puesto que el suministro para el CUPS correspondiente al domicilio se encontraba ya de alta y por tanto no procedía realizar un A3 o alta nueva. El contrato se encontraba de alta comercializado con IBERDROLA, comercializador saliente, en virtud de solicitud con fecha 21/03/2019 de cambio de titular por traspaso del comercializador saliente al reclamante, anteriormente la titularidad fue del padre del reclamante. Ante el rechazo del distribuidor, el reclamado dos días más tarde, en fecha 09/07/2021, genero una nueva solicitud, cambio de comercializador con de cambio de titularidad, modelo C2, por traspaso a D. B.B.B. aceptándose y activándose el cambio de comercializador con vigencia desde esa misma fecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 Por tanto, resulta desconcertante que en lugar de verificar la exactitud de los datos, modificase la modalidad de cambio de comercializador con de cambio de titular, con objeto de que éste pudiera materializarse por más que el reclamado señale que siguió con el procedimiento establecido al comprobarse que la dirección asociada al CUPS en la distribuidora coincidía con la dirección asociada al CUPS en los sistemas internos de reclamado. 4. De la documentación aportada se deduce no solo la falta de diligencia del reclamado puesto que no consta que solicitara al nuevo titular la confirmación y verificación de los datos, sino del mismo protocolo o procedimiento implantado para llevar a cabo una correcta identificación del usuario en la contratación a través del canal online. En este mismo sentido, la Oficina Comercial del reclamado se pronunciaba en nota interna señalando que: “…como consecuencia de la reclamación presentada por el reclamante por haber dado de alta un contrato, a través del canal web, a nombre de su padre, fallecido, en el punto de suministro del que el propio reclamante es titular, sin su consentimiento, os comunicamos la necesidad de reforzar el proceso de contratación telemática, introduciendo más elementos de autenticación con el objetivo de evitar incidentes como el que nos ocupa”. Por tanto, a pesar de las manifestaciones del reclamado de que la contratación cuestionada se dio por valida al contar con elementos que la dotaban de autenticidad y validez no parece que la actuación llevada a cabo fuera modélica a la luz de los hechos acreditados en el procedimiento: el usuario contratante, padre del reclamante, había fallecido en la fecha de formalización del contrato, acreditado mediante el certificado de defunción aportado; el contrato de suministro eléctrico asociado al CUPS de la vivienda del reclamante, fechado el 10/07/2021, no está rubricado por el contratante; el contrato incluye el nombre, apellidos, domicilio y DNI del padre del reclamante, si bien en la contratación telemática no figura el domicilio; el código de cuenta bancaria (***REFERENCIA.3), coincidente con el que figura en la solicitud de la contratación telemática, la entidad bancaria Caja Laboral Coop. de Crédito ha informado que no es válido, que no existe cuenta alguna en la entidad con dicha numeración; el número de teléfono fijo aportado figura con el prefijo correspondiente a Barcelona ***TELEFONO.1; la dirección e-mail ***EMAIL.1 no parece que tal denominación se identifique con el contratante; las cuatro facturas que se emitieron durante el período en el que el contrato estuvo en vigor no pudieron ser abonadas según manifestaciones del reclamado y aunque consta en sus sistemas informáticos que el formulario SEPA fue enviado al nuevo titular, no figura registrado en los sistemas cumplimentado por el cliente, etc. Todo ello, acredita la ausencia de diligencia de la entidad y la evidencia de que no se verificaron los datos y documentos del cliente tal y como se establece en el procedimiento CANALES DIGITALES: TRATAMIENTO Y GESTIÓN DE DATOS DEL CLIENTE EN LA VENTA, CONTRATACIÓN Y ATENCIÓN aportado por el reclamado en escrito de fecha 27/04/2022. Por tanto, la actuación contraria al artículo 6.1 del RGPD hay que atribuírsela al reclamado por vulneración del principio de licitud en el tratamiento de los datos que requiere la existencia de una base legal que lo legitime, infracción que ocasionó que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 CUPS vinculado a la vivienda del reclamante fuera utilizado para dar de alta al contrato de suministro de su padre, persona fallecida, motivando la baja del contrato que habían suscrito el reclamante con IBERDROLA en 2020. VI A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  19. a)a
  20. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  21. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  22. b)la intencionalidad o negligencia en la infracción;
  23. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  24. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  25. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  26. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  27. g)las categorías de los datos de carácter personal afectados por la infracción;
  28. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  29. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  30. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  31. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
  32. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 “2. De acuerdo a lo previsto en el artículo 83.2.
  33. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  34. a)El carácter continuado de la infracción.
  35. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  36. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  37. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  38. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  39. f)La afectación a los derechos de los menores.
  40. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  41. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  42. a)y 6.1 del RGPD de la que se responsabiliza al reclamado, en una valoración inicial, se estiman se estiman concurrentes los siguientes factores: Como circunstancias agravantes: - La naturaleza, gravedad y duración de la infracción: los hechos considerados probados afectan gravemente a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de licitud del tratamiento; los daños y perjuicios causados como consecuencia de la intromisión en la esfera de privacidad del reclamante pues no hay que olvidar que nos encontramos ante la infracción de un derecho fundamental a la protección de los datos personales; el reclamante se vio obligado a dirigirse a la compañía comercializadora como consecuencia de la baja producida y verse privada de la relación contractual que mantenía con su compañía suministradora, además de tener que volver a tramitar el alta en la misma y presentar reclamación a la AEPD por los mismos hechos (artículo 83.2,
  43. a)del RGPD). - La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal de sus clientes por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  44. b)de la LOPDGDD en relación con el artículo 83.2.k). - La responsabilidad del reclamado y las medidas que tenía implementadas en el proceso de contratación telemática han fallado lo que justifica que el reclamado haya tenido que introducir nuevos elementos de autenticación para reducir la posibilidad de que incidentes como el que es objeto del procedimiento se repitan (artículo 83.2,
  45. d)del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 - La intencionalidad o negligencia en la infracción, puesto que el reclamado como se señalaba con anterioridad en ningún caso procedió a verificar la identidad e información aportada por el contratante, con el absurdo de validar la contratación con una persona fallecida. Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  46. b)del RGPD). - El volumen de negocio de la reclamada pues se trata de una de las compañías líderes dentro del mercado español, en lo relativo a su objeto de negocio (artículo 83.2.
  47. k)del RGPD). Como circunstancias atenuantes: - El número de personas afectadas pues solo consta que lo haya sido el reclamante. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a ENDESA ENERGÍA, S.A.U., con NIF A81948077, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  48. a)del RGPD, con una multa de 70.000 € (setenta mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 € (cincuenta y seis mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES000000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. R.R.R. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 ANEXO Índice del expediente EXP202201231 17/01/2022 Reclamación de D. A.A.A. 03/02/2022 Traslado reclamación a ENDESA ENERGÍA, S.A.U. 04/03/2022 Contestación requerimiento de ENDESA ENERGÍA S.A.U. 04/03/2022 Escrito de D. A.A.A. 17/03/2022 Admisión a trámite a D. A.A.A. 01/04/2022 Solicitud información a ENDESA ENERGÍA, S.A.U. 04/04/2022 Escrito de ENDESA ENERGÍA S.A.U. 07/04/2022 Ampliación plazo a ENDESA ENERGÍA, S.A.U. 07/04/2022 Solicitud de ampliación de plazo de ENDESA ENERGÍA S.A.U. 27/04/2022 Contestación requerimiento de ENDESA ENERGÍA S.A.U. 05/05/2022 Solicitud información 2 a ENDESA ENERGÍA, S.A.U. 06/05/2022 Solicitud de ampliación de plazo de ENDESA ENERGÍA S.A.U. 09/05/2022 Ampliación plazo 2 a ENDESA ENERGÍA, S.A.U. 30/05/2022 Escrito de ENDESA ENERGÍA S.A.U. 06/06/2022 Solicitud información I+DE a I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U. 20/06/2022 Contestación requerimiento de I-DE REDES ELECTRICAS INTELIGENTES, S.A.U. 27/06/2022 Solicitud información 3 a ENDESA ENERGÍA, S.A.U. 27/06/2022 Solicitud información a IBERDROLA CLIENTES, S.A.U. 28/06/2022 Solicitud de ampliación de plazo de ENDESA ENERGÍA S.A.U. 29/06/2022 Ampliación Plazo 3 a ENDESA ENERGÍA, S.A.U. 11/07/2022 Contestación requerimiento de IBERDROLA CLIENTES, S.A.U. 19/07/2022 Contestación requerimiento de ENDESA ENERGÍA S.A.U. 22/07/2022 Solicitud información a CAJA LABORAL POPULAR, COOP. DE CRÉDITO 28/07/2022 Escrito de CAJA LABORAL POPULAR COOP DE CREDITO 04/08/2022 Solicitud de información de D. A.A.A. 22/08/2022 información reclamante D. A.A.A. 17/10/2022 información actuaciones previas. 18/01/2023 Acuerdo apertura a ENDESA ENERGÍA, S.A.U. 19/01/2023 Información reclamante a D. A.A.A. 20/01/2023 Solicitud de ampliación de plazo de ENDESA ENERGÍA S.A.U. 24/01/2023 Ampliación plazo a ENDESA ENERGÍA, S.A.U. 09/02/2023 Alegaciones de ENDESA ENERGÍA S.A.U. >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 SEGUNDO: En fecha 13 de septiembre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 56000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202201231, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  49. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.