← España

PS-00587-2022

1/19 Expediente N.º: EXP202207235 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 08/06/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L.,“en liquidación”, con NIF B67421867 (en adelante, la parte reclamada o SIE). A propósito de la persona jurídica reclamada – SIE- procede indicar que, el 04/11/2022, casi cinco meses después de la fecha en la que la reclamación tuvo entrada en la Agencia Española de Protección de Datos (AEPD), inscribió en el Registro Mercantil (RM) la escritura pública del acuerdo social de disolución voluntaria. Cuando el acuerdo de apertura de este procedimiento sancionador se firma -el 20/07/2023- aún no constaba inscrita en el RM la extinción de la sociedad, por lo que ésta conservaba su personalidad jurídica de acuerdo con lo establecido en el artículo 371.2. de la Ley 1/2010, de 2 de julio, por la que se aprueba el Texto Refundido de la Ley de Sociedades de Capital (TRLSC). La reclamante basa su reclamación en que la parte reclamada, sin su consentimiento, ha dado de alta a su nombre dos contratos de electricidad para sendos puntos de suministro de los que ella es titular y para los cuales tenía suscritos con otra comercializadora los correspondientes contratos. Manifiesta que la persona que contactó con ella telefónicamente mediante una llamada a su móvil se presentó como empleado de su comercializadora, conocía sus datos personales y le consultó si quería activar un bono de 25 euros al que tenía derecho y que no se estaba aplicando. Añade que el 24/03/2022 recibió unas facturas de “MAS LUZ” y unos cargos en su cuenta bancaria. Niega haber contratado con la parte reclamada y niega haberle facilitado algún dato personal, incluidos los datos bancarios. La parte reclamante expuso en su escrito de reclamación: <<A principios del mes de marzo recibí una llamada telefónica en mi móvil, en el que un hombre que se identificó, hasta en tres ocasiones, como personal de mi compañía suministradora de luz, decía ponerse en contacto conmigo para saber si quería activar un bono de 25 euros en mi factura de la luz, ya que veía que no se estaba aplicando. Tras darme el punto de suministro, accedí a beneficiarme del supuesto bono, por un año, y le pedí que me lo aplicase en otro suministro que también tengo contratado con mi suministradora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 Ningún escrito recibí en mi correo electrónico en tal sentido hasta el día de hoy. A los pocos días recibí las facturas de mis suministros sin aplicación de bonificación ninguna. A los dos días de recibir mis facturas recibí una llamada de mi suministradora manifestando que tenían una petición de baja en los dos suministros para los que había autorizado la aplicación del bono durante un año. Días después (en concreto el 24 de marzo), recibo unas facturas de Más Luz, con quien yo no he contratado en ningún momento y unos cargos en mi cuenta (debo reseñar que en ningún momento le di mi número de cuenta a esta compañía ni mis datos personales). Ante estos hechos procedo a ponerme en contacto ese mismo día, 24 de marzo, con esta compañía a través del ***TELÉFONO.1 dónde me confirman que no le consta ningún contrato a mi nombre. Seguidamente procedo a devolver de inmediato los recibos y a bloquear cualquier posibilidad de que esta compañía me haga cargos en mi cuenta. Por si esto fuese poco, a los dos días de recibir las facturas recibo dos comunicaciones en las que amparándose en la excepcionalidad de la situación y en la guerra de Ucrania me notifican que van a aplicar unas Condiciones Especiales a mi supuesto contrato y van a aplicar un depósito excepcional de 345, 94 euros para el suministro de ***LOCALIDAD.1, y de 119,05 para el suministro de la calle ***DIRECCIÓN.1. Tras pedirle en reiteradas ocasiones copia del contrato que supuestamente me vinculaba con esa empresa, me remiten un contrato escrito en el que figuran todos mis datos y mi número de cuenta (que yo no he facilitado) fechado el 3 de mayo de 2022 y que obviamente no está firmado por mí. Resulta palmario que ningún contrato me vincula con Mas Luz ya que no he prestado en ningún momento mi consentimiento para cambiarme de suministradora ni he contratado nada con ningún representante de esta empresa.>> (El subrayado es nuestro) Aporta estos documentos: -Dos facturas de electricidad relativas, ***CONTRATO.1 y ***CONTRATO.2. respectivamente, a los contratos En ambas facturas aparece el anagrama de “más Luz energía”, el número 900 264 364 y la dirección ***EMAIL.1. Ni en el encabezamiento ni en el cuerpo de las facturas aparece el nombre de la empresa comercializadora con la que, supuestamente, la parte reclamante habría contratado y que emite las facturas. En la página 2 de cada factura, al pie de esa página, consta esta leyenda: “Suministrador Ibérico de Energía, S.L. -Rambla del Garraf nº76- 08812 Sant Pere de Ribe-Barcelona- Inscrita en el Registro Mercantil de Barcelona- Tomo 46.872, Folio 84, Hoja B-533.749, Inscripción 1 -CIF B67421867”. Además, las facturas incluyen en el último párrafo esta información: “Sus datos de carácter personal han sido recogidos de acuerdo con lo dispuesto en el Reglamento (UE) 2016/679 […]Le ponemos en conocimiento que estos datos se encuentran almacenados en un fichero propiedad de VISALIA ENERGÍA, S.L. De acuerdo con la Ley anterior, tiene derecho a ejercer los derechos de acceso […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 mediante correo electrónico a ***EMAIL.1 o bien en la dirección […] Más Luz Energía está adherida a una entidad de resolución alternativa de litigios […]” En el apartado de las facturas destinado a los “Datos del titular del contrato” constan el nombre, dos apellidos y NIF de la parte reclamante. En el apartado “Datos de la factura” figura, parcialmente anonimizado, el dato de la cuenta bancaria de la parte reclamante. -Dos escritos, uno por cada contrato, con el anagrama de “más Luz energía”, que tienen fecha de 08/03/2022 y el título: “Comunicado de medidas excepcionales”. En ellos se informa de las “Condiciones Especiales” derivadas de la “excepcionalidad de la situación y de la guerra de Ucrania” que se aplicarán a los dos contratos y que supondrán que la reclamante deba de constituir un depósito excepcional por cada contrato por un importe de 119,05€ y 345,94€, respectivamente. -Un hilo de correos electrónicos intercambiados entre la parte reclamante y la dirección ***EMAIL.1. Los más relevantes: * De fecha 31/03/2022, enviado por la parte reclamante, en el que comunica que ha recibido dos facturas de MÁS LUZ ENERGÍA pese a que no ha celebrado ningún contrato con ella, y solicita que le remitan la copia del contrato que se ha dado de alta a su nombre. *De 03/05/2022, enviado por MÁS LUZ ENERGÍA, con el que le remite una copia del contrato supuestamente suscrito por la reclamante. La reclamante no ha aportado la copia de los contratos que recibió de MÁS LUZ ENERGÍA, pero manifiesta que en el documento que le enviaron constaban todos sus datos personales, incluido el número de cuenta bancaria. SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la entidad MASLUZ ENERGY POWER, S.L., con NIF B67572636, perteneciente al mismo grupo empresarial que SIE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Hemos de subrayar que la parte reclamante, en su reclamación, no identificó a ninguna sociedad como responsable de los hechos relatados sino que únicamente hizo referencia a “Más Luz”, término que no designa a ninguna persona jurídica. En las facturas que la reclamante recibió y cuya copia ha aportado aparece el nombre (y el anagrama) de “más Luz energía” y la dirección de correo ***EMAIL.1. El nombre de SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L., con NIF B67421867, aparece en las facturas en la última página (página 2), al pie del último párrafo y en una letra notablemente más pequeña que la utilizada para informar de la facturación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 El traslado de la reclamación se notificó electrónicamente a MASLUZ ENERGY POWER, S.L., (en adelante MÁS LUZ ENERGÍA), de acuerdo con las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), y es aceptado el 05/07/2022, según consta en el acuse de recibo que obra en el expediente. En fecha 02/08/2022 se recibe en esta Agencia la respuesta de MÁS LUZ ENERGÍA. Cabe destacar que, si bien -como se ha indicado- la entidad que dio de alta los contratos a nombre de la parte reclamante y emitió las facturas fue SIE y no MÁS LUZ ENERGÍA (ambas pertenecientes al mismo grupo empresarial), esta última declaró en su respuesta, hasta en tres ocasiones, que había investigado exhaustivamente los hechos y la adecuación de la contratación realizada a la parte reclamante a la normativa de protección de datos. MÁS LUZ ENERGÍA, manifestó lo siguiente: <<1. La decisión adoptada a propósito de la reclamación. Según manifiesta la Reclamante, se procedió a realizar el cambio de empresa suministradora sin su consentimiento. A propósito de la reclamación recibida desde MAS LUZ se ha iniciado una investigación exhaustiva de los sucesos, a fin de esclarecer lo ocurrido. Es necesario indicar que el procedimiento para la formalización del contrato de suministro eléctrico en MAS LUZ requiere, como es lógico, de la verificación y autentificación de la manifestación de voluntad del cliente de proceder a la firma del contrato. Ello implica que, cuando un prestador de servicios de telemarketing formaliza un contrato de suministro por cuenta de MAS LUZ, debe aportar la grabación del proceso de venta. De este modo, MAS LUZ puede verificar que la contratación se ha llevado a cabo de forma adecuada. Durante la llamada telefónica, los comerciales en ningún momento tienen permitido indicar que trabajan para una tercera compañía. En cuanto a la procedencia de los datos personales, cabe hacer las siguientes consideraciones acerca del proceso de contratación cuando ésta se realiza por una compañía prestadora de servicios de telemarketing. El prestador de servicios de telemarketing cede a MAS LUZ los datos personales de interesados a los que se les ofrecerá los productos y servicios de MAS LUZ. Posteriormente, el prestador de servicios de telemarketing actúa en calidad de encargado del tratamiento de MAS LUZ para la realización de las actividades de oferta de sus productos y servicios y de contratación de los productos y servicios que corresponda. No obstante, el prestador de servicios de telemarketing únicamente puede realizar acciones comerciales sobre aquellos interesados que le hayan proporcionado su consentimiento para la cesión de sus datos personales a MAS LUZ para dicha finalidad. Teniendo en cuenta lo anterior, MAS LUZ no puede determinar de dónde obtuvo el prestador de servicios de telemarketing los datos personales de la Reclamante, puesto que éste los obtuvo en calidad de responsable del tratamiento independiente de MAS LUZ. En el momento de la firma del contrato de prestación de servicios, dicho prestador de servicios de telemarketing adquirió el compromiso de ceder únicamente los datos personales de aquellos interesados que hubiesen dado su consentimiento para dicha finalidad. Adicionalmente, el prestador de servicios se comprometió a informar a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 interesados debidamente y de acuerdo con la normativa en materia de protección de datos acerca de la cesión a MAS LUZ de sus datos. 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. No nos consta que la Reclamante haya ejercitado ninguno de los derechos regulados en los artículos 15 a 22 del RGPD ante este responsable del tratamiento; ni tampoco la propia Reclamante hace referencia a que haya cursado solicitud alguna de ejercicio de derechos ante este responsable. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. A raíz de la recepción del traslado de reclamación y solicitud de información que motiva el presente escrito, desde MAS LUZ se inició una investigación interna, con el fin de determinar si se había producido cualquier incumplimiento de la normativa en materia de protección de datos en la organización durante el proceso de contratación con la Reclamante. En el caso que nos ocupa, por un error atribuible al proveedor a MAS LUZ no se le facilitó ni la grabación de la llamada, ni tampoco la certificación de firma digital mediante SMS que establecen nuestros procedimientos internos para proceder a dar de alta un nuevo cliente. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. MAS LUZ es la primera interesada en que la contratación de sus servicios se realice siempre conforme la legislación vigente. Por ello, debido a que se han detectado incidencias de diferente naturaleza en el procedimiento de contratación de sus servicios, MAS LUZ ha adoptado como medida la paralización total del procedimiento de contratación de sus servicios desde el pasado 4 de marzo de 2022. Así mismo, se ha programado para el tercer trimestre una formación en materia de protección de datos a los empleados encargados de la contratación para concienciar sobre la importancia de seguir los protocolos internos en materia de contratación, así como concienciar sobre la importancia de cumplir con la normativa de protección da datos.>> (El subrayado es nuestro) En fecha 16/08/2022 la Subdirección General de Inspección se dirige por segunda vez a MASLUZ ENERGY POWER, S.L., pidiéndole que aporte determinada documentación en el plazo de diez días. La entidad, que aceptó la comunicación 26/08/2022, según consta en el acuse de recibo que obra en el expediente, responde en la misma fecha solicitando una ampliación del plazo para remitirla. No consta en esta Agencia que transcurrido el plazo ampliado haya respondido ni remitido la documentación requerida. TERCERO: Admisión a trámite de la reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 En fecha 08/09/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Información económica de la entidad reclamada Según el informe ofrecido por la herramienta AXESOR, la mercantil SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L., con NIF B67421867 (SIE), se constituyó el 15/04/2019. Tiene la consideración de “microempresa” y su cifra de negocio en el ejercicio 2021 fue de XX.XXX.XXX€. QUINTO: Acuerdo de apertura de procedimiento sancionador En fecha 20/07/2023 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD. El acuerdo de inicio fue notificado electrónicamente a SIE en fecha 24/07/2023, de conformidad con los dispuesto en la LPACAP. La notificación fue aceptada el 31/07/2023 como lo acredita el acuse de recibo que obra en el expediente. SEXTO: Inexistencia de alegaciones al acuerdo de inicio Notificado el acuerdo de inicio del expediente sancionador conforme a lo dispuesto en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, no consta en esta Agencia que SIE hubiera presentado alegaciones. SÉPTIMO: Propuesta de resolución. Aplicación del artículo 64.2.
  2. f)de la LPACAP El artículo 64.2.
  3. f)de la LPACAP, precepto del que se informó a la parte reclamada en el acuerdo de apertura del procedimiento, dispone que, si en el plazo previsto no se efectúan alegaciones por el presunto infractor sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. El acuerdo de apertura del expediente sancionador que nos ocupa determinó los hechos en los que se concretaba la imputación, la infracción del RGPD que se atribuía a la parte reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente, conforme a lo establecido en el artículo 64.2.
  4. f)de la LPACAP, el citado acuerdo de inicio es considerado propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos se consideran en el presente procedimiento los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 PRIMERO: La parte reclamante manifiesta en su reclamación, presentada en esta Agencia el 15/06/2022, que la parte reclamada ha dado de alta a su nombre y sin su consentimiento dos contratos de electricidad para dos puntos de suministro de los que ella es titular y para los que tenía suscritos con otra comercializadora los correspondientes contratos. SEGUNDO: La parte reclamante ofrece el siguiente relato de lo ocurrido: -Que recibió una llamada telefónica en su móvil de una persona que se hizo pasar por empleado de la comercializadora de la que era cliente y que conocía sus datos personales. Le informó que se ponía en contacto con ella “para saber si quería activar un bono de 25 euros en mi factura de la luz, ya que veía que no se estaba aplicando.” Que “Tras darme el punto de suministro, accedí a beneficiarme del supuesto bono, por un año, y le pedí que me lo aplicase en otro suministro que también tengo contratado con mi suministradora.” -Que días después, el 24/03/2022 recibió unas facturas de Más Luz, con quien no había contratado y unos cargos en su cuenta bancaria. TERCERO: Obran en el expediente -aportadas por la reclamante- la copia de dos facturas de electricidad emitidas a su nombre por SIE que corresponden, respectivamente, a los contratos ***CONTRATO.1 y ***CONTRATO.2. Incluyen la siguiente información: (
  5. i)Factura del contrato ***CONTRATO.1. -En el encabezamiento izquierdo del documento consta “más Luz energía”. Inmediatamente debajo: “***TELÉFONO.1 ***EMAIL.1”. -En el encabezamiento derecho, bajo la rúbrica “Datos del titular del contrato”, figura: “Nº Contrato: ***CONTRATO.1 Fin Contrato: 02/03/23. DNI/CIF: [el NIF de la parte reclamante] y el nombre y dos apellidos de la parte reclamante. -En el apartado “Datos de la factura” consta: Información sobre el “Total factura”; “Fecha de cargo: 15/03/2022”; “Fecha de factura: 14/03/2022”; número de “Factura: FACXXXXXXXX”; “Periodo de facturación: 03/03/2022-08/03/2022”; “Cuenta de cargo: ****************XXXX” y “Dirección de correspondencia: [Consta el nombre y dos apellidos de la reclamante] ***DIRECCIÓN.1. -En el apartado “Datos del punto de suministro”, consta: “Dirección: ***DIRECCIÓN.1. “CUPS: ***CUPS.1”. -Al pie de la factura se indica: “SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L.- Rambla del Garraf nº78-08812 Sant Pere de Ribes-Barcelona- Inscrita en el Registro Mercantil de Barcelona […]” (
  6. ii)Factura del contrato ***CONTRATO.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 -En el encabezamiento izquierdo del documento figura la indicación “más luz energía”. Inmediatamente debajo: “***TELÉFONO.1 ***EMAIL.1”. -En el encabezamiento derecho, bajo la rúbrica “Datos del titular del contrato”, figura esta información: “Nº Contrato: ***CONTRATO.2 Fin Contrato: 02/03/23. DNI/CIF: [el NIF de la parte reclamante] El nombre y dos apellidos de la parte reclamante. -En el apartado “Datos de la factura”, figura: Información sobre el “Total factura”; “Fecha de cargo: 15/03/2022”; “Fecha de factura: 14/03/2022”; número de “Factura: FACXXXXXXXX”; “Periodo de facturación: 03/03/2022-08/03/2022”; “Cuenta de cargo: ****************XXXX” y “Dirección de correspondencia: [El nombre y dos apellidos de la parte reclamante] ***DIRECCIÓN.1”. -En el apartado “Datos del punto de suministro”, consta: “Dirección: ***DIRECCIÓN.2. “CUPS: ***CUPS.2”. -Al pie de la factura aparece esta leyenda: “SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L.- Rambla del Garraf nº78-08812 Sant Pere de Ribes-Barcelona- Inscrita en el Registro Mercantil de Barcelona […]” CUARTO: Obra en el expediente, aportado por la parte reclamante, un hilo de correos electrónicos que intercambió con la dirección electrónica ***EMAIL.1 1.-Enviado por la reclamante el 31/03/2022 a ***EMAIL.2 con el “Asunto: Reclamación contrato [seguido del nombre y dos apellidos de la reclamante]”. El mensaje dice: “recientemente he recibido dos facturas suyas con sendos cargos, en la cuenta de la que soy titular, que he devuelto. Hace días que recibo mensajes en los que me indican que debo pagar esos recibos. En ningún momento he contratado con ustedes ningún suministro ni mucho menos les he facilitado mi número de cuenta bancaria. En atención a lo expuesto les requiero para que me envíen a mi correo electrónico copia del contrato (verbal o escrito) que me vincula con su compañía y documentación acreditativa de quién les ha facilitado mis datos bancarios.” (El subrayado es nuestro) 2.-Enviado por ***EMAIL.1 el 05/04/2022 a las 10.27 H. Solicita a la parte reclamante que le facilite el número del DNI y el nombre completo del titular para poder acceder a su ficha de cliente. 3.-Enviado por la reclamante el mismo día a las 10.36H. Facilita su número de NIF e indica que su nombre y dos apellidos ya figuraban en el correo enviado. 4.-El 03/05/2022, a las 11.45H, la reclamante reenvía de nuevo el correo anterior a la dirección ***EMAIL.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 5.-Desde ***EMAIL.1 se envía a la reclamada el 03/05/2022 a las 13:01H un mensaje en el que consta el envío de un documento anexo con esta leyenda: “***CUPS.1”, “1MB”. Esa referencia es el número de CUPS del punto de suministro que figura en el contrato ***CONTRATO.1. La parte reclamante no ha aportado con su reclamación la copia de esos documentos. Se ha limitado a manifestar que en el documento contractual recibido constaban todos sus datos personales, incluidos todos los dígitos del número de cuenta bancaria. QUINTO: Obran en el expediente, remitidos por la parte reclamante, dos escritos dirigidos a ella, identificada exclusivamente por el nombre (XXXXXX) en los que consta su domicilio completo. Cada uno de los escritos se refiere a uno de los CUPS que figuran en los contratos de electricidad que se dieron de alta a su nombre. Los documentos llevan por rúbrica “Comunicado de Medidas Excepcionales”, tienen fecha de 08/03/2022 y en el encabezamiento izquierdo llevan el anagramas de Más Luz. No están firmados y no incluyen el nombre de ninguna comercializadora ni de ninguna sociedad mercantil. En el cuerpo de ambos documentos se informa a la reclamante de la existencia de un desequilibrio en las prestaciones de los contratos de energía eléctrica celebrados causado por la guerra de Ucrania y por la alteración del precio de los mercados mayoristas de energía en más de un 200%. Esas circunstancias, dice, han dado lugar a las siguientes “modificaciones de su contrato”: un “Depósito Excepcional”. Se indica en cada uno de los documentos el importe al que asciende el depósito, respectivamente, para el CUPS ***CUPS.2 el depósito es de 119,05€. Para el CUPS ***CUPS.1 es de 345,95€. SEXTO: El traslado de la reclamación, efectuado de acuerdo con lo prevenido en el artículo 65.4 de la LOPDGDD, se dirigió a la entidad MASLUZ ENERGY POWER, S.L., (MAS LUZ ENERGÍA) con NIF 67572636, perteneciente al mismo grupo empresarial que SIE, quien en su respuesta afirma reiteradamente que “se inició una investigación interna, con el fin de determinar si se había producido cualquier incumplimiento de la normativa en materia de protección de datos en la organización durante el proceso de contratación con la Reclamante.” (El subrayado es nuestro) MASLUZ ENERGY POWER, S.L., manifiesta en relación con el procedimiento de contratación que sigue: -Que el procedimiento cuando “el proceso de contratación […]se realiza por una compañía prestadora de servicios de telemarketing” es el siguiente: ▪ El prestador de servicios de telemarketing cede a MAS LUZ los datos personales de interesados a los que se les ofrecerá los productos y servicios de MAS LUZ. Posteriormente, el prestador de servicios de telemarketing actúa en calidad de encargado del tratamiento de MAS LUZ para la realización de las actividades de oferta de sus productos y servicios y de contratación de los productos y servicios que corresponda. ▪ No obstante, el prestador de servicios de telemarketing únicamente puede realizar acciones comerciales sobre aquellos interesados que le hayan proporcionado su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 consentimiento para la cesión de sus datos personales a MAS LUZ para dicha finalidad. (El subrayado es nuestro) -Que no puede determinar de dónde obtuvo el prestador de servicios de telemarketing los datos personales de la parte reclamante “puesto que éste los obtuvo en calidad de responsable del tratamiento independiente de MAS LUZ” . -Que el prestador de servicios se comprometió en el contrato suscrito a cederle únicamente los datos personales de aquellos interesados que hubiesen dado su consentimiento para dicha finalidad. OCTAVO: MASLUZ ENERGY POWER, S.L., (empresa del mismo grupo empresarial que SIE) manifiesta en relación con las causas que han originado los hechos objeto de reclamación: -Que el “procedimiento para la formalización del contrato de suministro eléctrico en MAS LUZ requiere, como es lógico, de la verificación y autentificación de la manifestación de voluntad del cliente de proceder a la firma del contrato. Ello implica que, cuando un prestador de servicios de telemarketing formaliza un contrato de suministro por cuenta de MAS LUZ, debe aportar la grabación del proceso de venta. De este modo, MAS LUZ puede verificar que la contratación se ha llevado a cabo de forma adecuada.” (El subrayado es nuestro) Que “ […], por un error atribuible al proveedor a MAS LUZ no se le facilitó ni la grabación de la llamada, ni tampoco la certificación de firma digital mediante SMS que establecen nuestros procedimientos internos para proceder a dar de alta un nuevo cliente.” (El subrayado es nuestro) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Consideraciones generales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 En relación con los hechos objeto de la reclamación, y a tenor de lo establecido en los artículos 4.1 y 4.2 del RGPD, en el supuesto que examinamos consta la realización de un tratamiento de datos de carácter personal que conciernen a la parte reclamante efectuado por la reclamada, habida cuenta de que SIE recogió y utilizó los siguientes datos personales de la reclamante para dar de alta a su nombre sendos contratos de electricidad: el nombre y dos apellidos, el NIF, la dirección postal, los datos bancarios, los números de CUPS y la dirección de ubicación de los dos puntos de suministro de los que ella es titular. SIE ha tratado los datos personales de la reclamante en calidad de responsable, pues, con arreglo al artículo 4.7 del RGPD, es quien ha determinado los fines y los medios del tratamiento efectuado. Por lo que respecta a esa entidad, responsable del tratamiento, se ha puesto de manifiesto en párrafos anteriores que en el encabezamiento de las facturas emitidas no figura el nombre la de la empresa comercializadora. En el encabezamiento de ambas facturas figura solo el anagrama de “más Luz Energía” y la dirección de correo ***EMAIL.1. La Resolución de la Dirección General de Política Energética y Minas, de 28/04/2021, dictada en aplicación de la competencia que le otorga a esa Dirección General la disposición adicional tercera del Real Decreto 148/2021, de 9 de marzo, “por la que se establece el contenido mínimo y el modelo de factura de electricidad a utilizar por las comercializadores de referencia”, (BOE número 103, de 30/04/2021) determina el formato de las facturas que deben emitir las empresas comercializadoras. Conforme a la citada Resolución, deberá incluirse en las facturas la siguiente información relativa a la entidad comercializadora: el “Logotipo, denominación, NIF y domicilio social de la COR” en los supuestos de contratación previstos en el punto Tercero. Y en los supuestos de contrataciones previstos en el punto Cuarto de esa Resolución, el contenido mínimo a incluir será la “Identidad, domicilio social de la empresa comercializadora y, en su caso, la indicación de que se trata de un suministro en mercado libre.” Por lo que respecta a la ubicación en la factura de dicha información, únicamente para los supuestos contemplados en el apartado Tercero de la citada Resolución de la Dirección General de Política Energética y Minas se concreta cuál es el espacio de la factura en el que debe de incluirse: en el encabezamiento de la factura en la esquina superior derecha. Por el contrario, para los supuestos a los que se refiere el apartado Cuarto, no se especifica el espacio dentro de la factura en el que deba constar la información de la empresa comercializadora. En el presente caso la parte reclamante se refirió a la comercializadora reclamada con el nombre “Más Luz”. Expresión que no identifica a una persona jurídica. Se añade a lo anterior que en el texto de las facturas emitidas a nombre de la reclamante no aparece en ningún caso el nombre de la empresa MASLUZ ENERGY POWER, S.L. -entidad a la que se dio traslado de la reclamación-. En las facturas se mencionan sin embargo estas dos personas jurídicas, ninguna de ellas en el encabezamiento: En la página 2 de cada factura, al pie de la página: “Suministrador Ibérico de Energía, S.L. -Rambla del Garraf nº76- 08812 Sant Pere de Ribe-Barcelona- Inscrita en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 Registro Mercantil de Barcelona- Tomo 46.872, Folio 84, Hoja B-533.749, Inscripción 1 -CIF B67421867”. El último párrafo de las facturas menciona a VISALIA ENERGÍA, S.L., de quien especifica que “los datos recogidos se encuentran almacenados en un fichero propiedad de VISALIA ENERGÍA, S.L. De acuerdo con la Ley anterior, tiene derecho a ejercer los derechos de acceso […] mediante correo electrónico a ***EMAIL.1 o bien en la dirección […] Más Luz Energía está adherida a una entidad de resolución alternativa de litigios […]” (El subrayado es nuestro) Teniendo en cuenta la información que consta en las facturas emitidas a nombre de la parte reclamante en relación con los dos contratos que se dieron de alta a su nombre es SIE quien tiene la condición de responsable del tratamiento efectuado. III Disposiciones aplicables El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
  7. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) [...] El apartado 2 del artículo 5 del RGPD establece que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  8. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  9. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  10. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  11. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  12. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  13. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 Lo dispuesto en la letra
  14. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV Obligación incumplida: Infracción del artículo 6.1 del RGPD 1.La presente resolución constata la comisión por SIE de una infracción del artículo 6.1. del RGPD, materializada en haber tratado los datos personales de la parte reclamante vinculados al alta de dos contratos de electricidad sin una base jurídica adecuada. Todo tratamiento de datos personales debe estar fundado en, al menos, uno de los motivos de licitud previstos en el artículo 6.1. del RGPD. En tal sentido, el Considerando 40 del RGPD señala: “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” Obra en el expediente la documentación que demuestra que SIE trató datos personales que conciernen a la parte reclamante vinculados a dos contratos de energía eléctrica: recogió sus datos personales, los utilizó para dar de alta dos contratos de electricidad -***CONTRATO.1 y ***CONTRATO.2- y los conservó durante un tiempo vinculados a dichos contratos, pues emitió a nombre de la reclamante, al menos, una factura por cada uno de ellos. Y, como comercializadora entrante, gestionó la baja de la parte reclamante en los contratos que tenía suscritos hasta entonces con su comercializadora. A ese respecto, pueden traerse a colación las dos facturas que la parte reclamada emitió a nombre de la reclamante, una por contrato (Hecho probado tercero) con fecha de emisión el 15/03/2022. En ellas, en el apartado “Datos del titular del contrato”, consta su nombre, dos apellidos y su NIF precedido por el “Nº Contrato”, respectivamente en cada factura, los números ***CONTRATO.1 y ***CONTRATO.2. En el apartado dedicado a “Datos de la factura” consta, además del número de factura (respectivamente, FACXXXXXXX y FACXXXXXXX) el dato de la “Cuenta de cargo”, de la cuenta bancaria de la parte reclamante parcialmente anonimizada, así como la dirección de correspondencia completa (calle, número, localidad, Código Postal y provincia) En el apartado de las facturas denominado “Datos del punto de suministro”, figuran los respectivos CUPS (***CUPS.1 y ***CUPS.2) y la dirección completa donde se ubica cada punto de suministro. También constituyen una prueba del tratamiento de datos de la reclamante efectuado por la reclamada los escritos de fecha 08/03/2022 -“Comunicado de Medidas Excepcionales”- que llevan el anagrama de “más Luz Energía”, pese a que los escritos no se encuentren firmados por ninguna entidad. Estos documentos, que incorporan el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 nombre de la parte reclamante y su dirección postal completa, son una evidencia adicional de la vinculación de los contratos con número ***CONTRATO.1 y ***CONTRATO.2 a los datos personales de la parte reclamante. Así, para cada uno de los números de CUPS ***CUPS.1 (vinculado al contrato ***CONTRATO.1) y ***CUPS.2 (vinculado al contrato ***CONTRATO.2), se solicitaba en los escritos un depósito excepcional por importe, respectivamente, de 345,95€ y 119,05€. Por otra parte, existen indicios razonables y sólidos de que la reclamada trató, además, el número de teléfono móvil de la parte reclamante. Es revelador a ese respecto lo declarado por MAS LUZ ENERGÍA en su respuesta al traslado de la reclamación: que las dos contrataciones a nombre de la parte reclamante se efectuaron con la intervención de una empresa de telemarketing -cuyo nombre no ha facilitado- que, en contra de lo acordado con ella, no le proporcionó la grabación de la llamada telefónica que hizo a la reclamante. Declaración que viene a corroborar el relato de la reclamante, que ha explicado que recibió una llamada en su teléfono móvil de una persona que se identificó hasta en tres ocasiones como personal de su comercializadora de electricidad y que conocía todos sus datos personales. 2. En el supuesto analizado no consta acreditado que el tratamiento de los datos de la parte reclamante que SIE efectuó estuviera amparado en alguna de las bases de licitud contempladas en el artículo 6.1. del RGPD. Llegados a este punto es preciso recordar que incumbe a la parte reclamada, SIE, la carga de la prueba de que el tratamiento que ha llevado a cabo cumple el principio de licitud (artículo 5.1.
  15. a)pues está fundado en alguna de las bases jurídicas descritas en el artículo 6.1 del RGPD. El RGPD introduce el principio de responsabilidad proactiva (artículo 5.2), a tenor del cual el responsable del tratamiento debe cumplir los principios establecidos en el artículo 5.1 -por lo que ahora interesa, el principio de licitud- y estar en condiciones de demostrar su cumplimiento. En consecuencia, se traslada al responsable la carga de demostrar que el tratamiento que ha realizado está amparado en alguna de las circunstancias del artículo 6.1 del RGPD. Como ha manifestado el Gabinete Jurídico de la AEPD (entre otros, en los informes 17/2019 y 64/2020) el RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales, que pasa a fundamentarse en el principio de “responsabilidad proactiva” (“accountability”) La exposición de motivos de la LOPDGDD dice que “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento a otro que descansa en el principio de responsabilidad activa”. Siguiendo el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173emitido durante la vigencia de la Directiva 95/46/CEE, derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 control qué medidas se han adoptado para alcanzar el cumplimiento de la normativa de protección de datos. De las posibles bases jurídicas del tratamiento descritas en el artículo 6.1. del RGPD la única que podría operar como fundamento de licitud del tratamiento efectuado es la prevista en el apartado b): el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales”. Circunstancia que alude a la existencia entre las partes reclamante y reclamada de un contrato para cuya ejecución y desenvolvimiento es necesario tratar sus datos personales. Sin embargo, a la luz de la documentación que obra en el expediente, en ningún caso ha quedado acreditado que la reclamante hubiera otorgado el consentimiento a la celebración de alguno de los contratos de electricidad que SIE dio de alta a su nombre. En definitiva, no consta acreditada la condición de “parte contratante” de la reclamante en los contratos de electricidad cuyo desenvolvimiento y ejecución constituirían, supuestamente, la base jurídica del tratamiento realizado por la reclamada. Al hecho incuestionable de que la reclamante ha negado que hubiera consentido tales contrataciones -pues explicó en su escrito de reclamacón que quien contactó con ella telefónicamente se identificó como empleado de la comercializadora de la que era cliente y que conocía todos sus datos personales- se añade que la reclamada no está en condiciones de demostrar la concurrencia de la base jurídica del artículo 6.1.
  16. b)del RGPD. En su respuesta al traslado, la mercantil MAS LUZ ENERGY POWER (perteneciente al mismo grupo empresarial que SIE) afirma que ha realizado investigaciones a fin de determinar si la contratación efectuada a nombre de la parte reclamante cumplió con la normativa de protección de datos. Respondió a la pregunta formulada por la Subdirección General de Inspección para que informara “sobre las causas que han motivado la incidencia que ha originado la reclamación” diciendo: “En el caso que nos ocupa, por un error atribuible al proveedor a MAS LUZ no se le facilitó ni la grabación de la llamada, ni tampoco la certificación de firma digital mediante SMS que establecen nuestros procedimientos internos para proceder a dar de alta un nuevo cliente.” (El subrayado es nuestro) Sentado lo anterior, cabe hacer mención al protocolo de contratación a través de un prestador de servicios de telemarketing -que fue el seguido con ocasión del alta de los contratos de electricidad a nombre de la parte reclamante- según la explicación ofrecida por MAS LUZ. Esta entidad ha manifestado: “Que el procedimiento para la formalización del contrato de suministro eléctrico en MAS LUZ requiere, como es lógico, de la verificación y autentificación de la manifestación de voluntad del cliente de proceder a la firma del contrato. Ello implica que, cuando un prestador de servicios de telemarketing formaliza un contrato de suministro por cuenta de MAS LUZ, debe aportar la grabación del proceso de venta. De este modo, MAS LUZ puede verificar que la contratación se ha llevado a cabo de forma adecuada. Durante la llamada telefónica, los comerciales en ningún momento tienen permitido indicar que trabajan para una tercera compañía. En cuanto a la procedencia de los datos personales, cabe hacer las siguientes consideraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 acerca del proceso de contratación cuando ésta se realiza por una compañía prestadora de servicios de telemarketing. El prestador de servicios de telemarketing cede a MAS LUZ los datos personales de interesados a quienes se les ofrecerán los productos y servicios de MAS LUZ. Posteriormente, el prestador de servicios de telemarketing actúa en calidad de encargado del tratamiento de MAS LUZ para la realización de las actividades de oferta de sus productos y servicios y de contratación de los productos y servicios que corresponda. No obstante, el prestador de servicios de telemarketing únicamente puede realizar acciones comerciales sobre aquellos interesados que le hayan proporcionado su consentimiento para la cesión de sus datos personales a MAS LUZ para dicha finalidad.” “Teniendo en cuenta lo anterior, MAS LUZ no puede determinar de dónde obtuvo el prestador de servicios de telemarketing los datos personales de la Reclamante, puesto que éste los obtuvo en calidad de responsable del tratamiento independiente de MAS LUZ.” (El subrayado es nuestro) Dice también que “En el momento de la firma del contrato de prestación de servicios, dicho prestador de servicios de telemarketing adquirió el compromiso de ceder únicamente los datos personales de aquellos interesados que hubiesen dado su consentimiento para dicha finalidad. Adicionalmente, el prestador de servicios se comprometió a informar a los interesados debidamente y de acuerdo con la normativa en materia de protección de datos acerca de la cesión a MAS LUZ de sus datos.” (El subrayado es nuestro) A tenor de las citadas manifestaciones de MAS LUZ ENERGÍA -perteneciente al mismo grupo empresarial que SIE- en el protocolo establecido para las contrataciones a través de un prestador de servicios de telemarketing, los datos se obtienen del proveedor, quién los trata inicialmente como responsable. El proveedor los cede a la comercializadora, que desde entonces los trata en calidad de responsable, pasando el proveedor a llevar a cabo el tratamiento de esos mismos datos en calidad de encargado de la comercializadora. Afirma en esas manifestaciones, a propósito de las medidas adoptadas para garantizar el cumplimiento del principio de licitud del tratamiento, que el proveedor de servicios garantiza a través de una cláusula del contrato suscrito con la comercializadora que los datos se han obtenido con el consentimiento del titular y que éste además consiente su cesión a la comercializadora de energía. Parece necesario señalar en relación con este protocolo que ignora deliberadamente que el principio de licitud debe de cumplirse desde que se inicia el tratamiento y que el responsable tiene la obligación de adoptar las medidas necesarias para poder garantizar que se cumplen todos los principios que presiden el tratamiento de datos y estar en condiciones de acreditar su cumplimiento ante la autoridad supervisora. Así pues, debería de poder acreditar cuál es el origen de los datos personales que trata en calidad de responsable y, particularmente, que ese tratamiento es lícito, de forma que sí, como sostiene, el interesado consintió la cesión de sus datos a la comercializadora, debe de disponer y poder acreditar que el titular de los datos presta el consentimiento para que sus datos sean cedidos a la comercializadora con esa finalidad específica. 4. En atención a lo expuesto, se concluye que resulta acreditado que SIE llevó a cabo un tratamiento de numerosos datos personales de la parte reclamante vinculados a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 dos contratos de suministro eléctrico (***CONTRATO.1 y ***CONTRATO.2) que dio de alta a su nombre. Resulta acreditado que la reclamante niega haber consentido esas contrataciones y haber facilitado sus datos personales al prestador de servicios de telemarketing de SIE. Asimismo, resulta acreditado que la entidad reclamada -SIE- no ha aportado ninguna prueba de que el tratamiento de datos efectuado estuviera amparado en alguna de las circunstancias de licitud previstas en el artículo 6.1. del RGPD. La entidad no formuló alegaciones al acuerdo de inicio pese a estar documentalmente acreditado que accedió a la notificación electrónica de dicho acuerdo. Resulta acreditado también que la empresa perteneciente al mismo grupo empresarial que SIE -MAS LUZ ENERGÍA, a quien se dirige el traslado informativo- ha declarado, tras llevar a cabo una investigación interna, que no dispone de la grabación de la contratación pues - dice - “por un error atribuible al proveedor, a MAS LUZ no se le facilitó ni la grabación de la llamada, ni tampoco la certificación de firma digital mediante SMS que establecen nuestros procedimientos internos para proceder a dar de alta un nuevo cliente.” Habida cuenta de que, en virtud del principio de responsabilidad proactiva, incumbe al responsable la carga de demostrar que el tratamiento que lleva a cabo cumple los principios del artículo 5.1 del RGPD -por lo que aquí interesa el principio de licitud- y, toda vez que SIE no ha acreditado que existiera una base jurídica adecuada conforme al artículo 6.1. del RGPD para el tratamiento que ha realizado, y que, además, a tenor de lo manifestado por MAS LUZ (empresa del mismo grupo empresarial que SIE), la reclamada en ningún caso estaría en condiciones de demostrar la concurrencia de la base jurídica del artículo 6.1.
  17. b)del RGPD, se constata que SIE vulneró el artículo 6.1 del RGPD. V Tipificación y calificación de la infracción El tratamiento de los datos personales de la parte reclamante efectuado por SIE, materializado en haber dado de alta a su nombre dos contratos de energía eléctrica para dos puntos de suministro de los que ella es titular sin una base jurídica adecuada de acuerdo con el artículo 6.1 del RGPD, vulnera esta disposición del RGPD, infracción que se encuentra tipificada en el artículo 83.5.
  18. a)del RGPD que establece: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  19. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A los solos efectos de determinar el plazo de prescripción de las infracciones, la LOPDGDD califica de muy grave la infracción del artículo 6.1 del RGPD de la que se responsabiliza a la parte reclamada y fija para ella un plazo de prescripción de tres años. El artículo 72.1.
  20. b)de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: [...]
  21. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” VI Archivo del procedimiento sancionador El principio de personalidad de las sanciones o de responsabilidad personal por hecho propio se encuentra recogido en el artículo 25.1 de la Constitución Española (CE). El Tribunal Constitucional ha considerado reiteradamente que este principio es una de las bases del ordenamiento punitivo del Estado, aplicable también en el ámbito administrativo sancionador, que constituye además una de las bases o garantías del principio de culpabilidad. En su STC 146/1994, de 12 de mayo, el Alto Tribunal se pronuncia en estos términos: “En cuanto a la constitucionalidad del contenido de la norma, como hemos indicado en repetidas ocasiones, los principios inspiradores del orden penal son de aplicación, con ciertos matices, al derecho administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado. Entre los principios informadores del orden penal se encuentra el principio de personalidad de la pena, protegido por el at. 25.1 de la Norma Fundamental (STC 254/1988, fundamento jurídico 5º), también formulado por este Tribunal como principio de la personalidad de la pena o sanción (STC 219/1988, fundamento jurídico 3º), denominación suficientemente reveladora de su aplicabilidad en el ámbito del Derecho administrativo sancionador. El inciso final del apartado 4 del artículo 31 de la Ley 44/1978 establece la obligación solidaria de (todos) los miembros de la unidad familiar frente a la Hacienda; la dicción literal de este precepto permite que la Administración se dirija para el cobro de la deuda tributaria, incluidas las sanciones, no sólo al miembro o miembros de la unidad familiar que resulten responsables de los hechos que hayan generado la sanción, sino también a otros miembros que no hayan cometido ni colaborado en la realización de las infracciones y vulnera, por ello, el aludido principio de personalidad de la pena o sanción protegido por el artículo 254.1 de la Constitución, incurriendo así en vicio de inconstitucionalidad”. (El subrayado es nuestro) El principio de la personalidad de la sanción se encuentra recogido en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) que en su artículo 28, “Responsabilidad” dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” (El subrayado es nuestro) Llegados a este punto hemos de indicar que la sociedad mercantil reclamada -SIEestá actualmente extinguida. La extinción social se publicó en el Boletín Oficial del Registro Mercantil de fecha 13/11/2023. Así pues, la presente resolución declara que la entidad reclamada incurrió en una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  22. a)del RGPD, y acuerda proceder al archivo del expediente sancionador EXP202207235. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Acordar el ARCHIVO del procedimiento sancionador de referencia abierto a SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L., “en liquidación” , con NIF B67421867, al haber sobrevenido la extinción de la persona jurídica. SEGUNDO: NOTIFICAR la presente resolución a SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L., con NIF B67421867. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.