← España

PS-00668-2022

1/17  Expediente N.º: EXP202105473 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 04/11/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Naturgy Iberia, S.A. (en adelante Naturgy) por los motivos siguientes: La parte reclamante pone de manifiesto que, con fecha 02/11/2021, recibió una llamada telefónica de una empresa comercializadora de Naturgy ofreciendo un descuento en los suministros de luz y gas, la cual disponía de sus datos personales relativos a nombre, apellidos, fecha de nacimiento, DNI, domicilio y cuenta bancaria, además de los importes que venía abonando por aquellos suministros. Indica que durante esa llamada no confirmó ningún cambio de contrato ni subrogación en el mismo a favor de Naturgy. Añade que se le informó sobre el envío de dos SMS con la información sobre los descuentos a aplicar y que posteriormente recibió un correo electrónico de la dirección “no-reply@Naturgy.com” con la indicación “ya tienes disponible tu contrato”, al que se adjunta un contrato de suministro dual y servicios que no autorizó y cuyas condiciones desconoce. Según la parte reclamante, en el mismo día de la reclamación tramitó el desistimiento de dicho contrato y formuló ante Naturgy la pertinente reclamación por uso indebido de sus datos personales y estafa comercial. Con la reclamación se aporta la documentación siguiente: . Copia de un “Contrato de suministro dual y servicios” formalizado a nombre de la parte reclamante, que incluye las condiciones particulares y generales, así como la orden de domiciliación de adeudos. Se acompaña, asimismo, una certificación que acredita la firma digital del contrato emitida por una entidad tercera debidamente inscrita en el Registro de Operadores de Red (Aviva Voice Systems And Services, S.L., en lo sucesivo Aviva Voice), la cual actúa en su condición de Tercera Parte de Confianza, en la que consta el detalle de las siguientes comunicaciones por mensajes SMS, email y WEB: “1. Envío: mensaje SMS el día 2021-11-02 19:16 CET al número de móvil ***TELÉFONO.1 con remitente Naturgy con el siguiente texto: “Para finalizar su contratación acceda a ***URL.1”. 2. La página WEB a la que apunta el link ***URL.1 se halla alojada en nuestros servidores y se ha generado automáticamente de forma personalizada… Según nuestros registros, a las 202111-02 19:16 CET se accedió a esta página. Según nuestros registros, el botón “Acepto” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 contenido en la página WEB a la que apunta dicho link fue pulsado a las 2021-11-02 19:16 CET desde la dirección IP ***NÚMERO.1. 3. Envío: mensaje SMS el día 2021-11-02 19:16 CET al número de móvil ***TELÉFONO.1 con remitente Naturgy con el siguiente texto: “…(nombre de la parte reclamante) Gracias por confiar en Naturgy! Revisa tu contrato. Accede a: ***URL.1”. . Historial de llamadas, en el que consta marcada la llamada recibida por la parte reclamante. . Correo electrónico, de fecha 02/11/2021, al que se refiere la parte reclamante en el texto de su reclamación. Incluye un enlace al “Área de Clientes”. . Correo electrónico, de fecha 04/11/2021, remitido desde la dirección “(...)@Naturgy.com”, mediante el que se acusa recibo de la reclamación formulada por la parte reclamante ante Naturgy. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a las entidades Naturgy y Aviva Voice, para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 18/12/2021 por la entidad Aviva Voice y el día 20/12/2021 por Naturgy, como consta en los acuses de recibo que obran en el expediente. Con fecha 28/12/2021 se recibió en esta Agencia escrito de respuesta de Aviva Voice, mediante el que informa que presta a Naturgy servicios de envío de SMS y correos electrónicos certificados, actuando como prestador de servicios de confianza para firma electrónica, sin que ninguno de sus servicios consista en la emisión o recepción de llamadas para ofrecer productos y servicios comercializados por dicha entidad ni ninguna otra. Por otra parte, con fecha 20/01/2022 se recibió en esta Agencia escrito de respuesta de Naturgy informando lo siguiente: . La contratación del suministro de gas, energía eléctrica y mantenimiento se refiere a un punto de suministro del que es titular la parte reclamante y fue realizada el 02/11/2021 por un agente comercial de la entidad Gesterpool, S.L.U. (en lo sucesivo, GESTERPOOL), con NIF B54691977, que presta a Naturgy servicios de asesoría y apoyo comercial y técnico para la captación de clientes, incluida la realización de acciones de venta telefónica, e interviene como encargada del tratamiento. Dicha contratación fue certificada por la entidad Aviva Voice, según se recoge en la documentación aportada por la parte reclamante, y confirmada mediante llamada telefónica de “verificación” realizada por GESTERPOOL, la cual consta grabada. . Naturgy atendió el desistimiento ejercitado por la parte reclamante el 04/11/2021, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 modo que el contrato no llegó a activarse ni generó cargo alguno. La baja efectiva de los servicios de mantenimiento contratados se llevó a cabo el día 09/11/2021. . Señala Naturgy que, no obstante, la revisión del caso realizada con motivo del traslado de la reclamación ha permitido apreciar incumplimientos muy graves de las obligaciones contractuales que asumió GESTERPOOL. Así, a pesar de que en los sistemas de Naturgy consta que la contratación fue realizada por un agente comercial de GESTERPOOL habilitado, esta entidad ha reconocido que la contratación fue realizada por una entidad subcontratada por ella, denominada Callsisten Energy, S.L., sin el consentimiento ni conocimiento de Naturgy, a pesar de que el Contrato de Servicios y el Contrato de Encargo del Tratamiento celebrados entre Naturgy y GESTERPOOL contienen cláusulas que prohíben expresamente a GESTERPOOL la subcontratación de trabajos sin la aprobación previa y por escrito de Naturgy. GESTERPOOL no ha registrado la llamada telefónica inicial que dio lugar al envío del SMS en el que se recaba el consentimiento para la contratación, por lo que Naturgy no puede acceder a la grabación para evaluar la calidad del servicio ofrecido y el cumplimiento por parte de GESTERPOOL del Código de buenas prácticas comerciales y el Argumentario para venta en remoto, que Naturgy impone a todas sus empresas colaboradoras. Añade Naturgy que solicitó a GESTERPOOL más información sobre la actuación de Callsisten Energy, S.L. y que GESTERPOOL informó que dicha subcontrata se negó a colaborar, entorpeciendo de este modo a Naturgy en sus tareas de auditoría e investigación contractualmente previstas. Por estos motivos, Naturgy ha revocado todos los accesos de GESTERPOOL a la herramienta de contratación y ha puesto fin a la relación contractual con ésta, por lo que no seguirá prestando servicios a Naturgy al no haber seguido sus instrucciones e incumplido las obligaciones impuestas para garantizar la calidad en la contratación. TERCERO: Con fecha 04/02/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. La entidad Naturgy, en respuesta al requerimiento que le fue realizado por los Servicios de Inspección de la AEPD, aportó (

  1. i)copia del Contrato de Servicios suscrito el 01/01/2021 con la entidad GESTERPOOL, en virtud del cual esta entidad prestaba a la primera servicios de asesoría y apoyo comercial y técnico para la captación de clientes, que incluye la realización de acciones de venta telefónica; (
  2. ii)Adendum a dicho contrato suscrito por ambas entidades en fecha 01/07/2021, que modifica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 algunas cláusulas iniciales; (iii) y Contrato de Encargo de Tratamiento, suscrito también en fecha 01/07/2021, que según Naturgy complementa el Contrato de Servicios.
  3. a)De lo estipulado en el Contrato de Servicios aportado cabe destacar las cláusulas siguientes: “(…) (…). (…): (…) (…) (…) (…). (…) ”.
  4. b)En el mencionado Adendum al Contrato de Servicios se acuerda modificar las estipulaciones Séptima (apartados 4 y 5) y Decimoquinta de este Contrato, las cuales quedan redactadas como sigue: “. (…) (…) . (…) (…). (…). . (…) (…). (…)”.
  5. c)De lo estipulado en el Contrato de Encargo del Tratamiento, que recoge los elementos descritos en el artículo 28 del RGPD y complementa al Contrato de Servicios, cabe destacar lo siguiente: “1. (...)”. “(…)”. “(…): (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 (…)”. 2. A requerimiento de los Servicios de Inspección, la entidad Telefónica Móviles España, S.A.U., operador del número de línea de la parte reclamante ***TELÉFONO.1, confirmó la recepción en esta línea móvil de una llamada realizada por la línea ***TELÉFONO.2 el día 02/11/2021. Por otra parte, la compañía Orange Espagne, S.A.U., operadora de la línea llamante ***TELÉFONO.2, informó que esta línea está asignada al reseller de dicha mercantil Neotel 2000, S.L., la cual, a su vez, informó que la titularidad de la citada línea llamante corresponde a la entidad Callsisten Energy, S.L., con NIF B01866565. Aportó, asimismo, detalles de la realización de una llamada el 02/11/2021 al número de la parte reclamante con una duración de 1614 segundos. 3. Con fecha 25/08/2022 se recibió información adicional facilitada por Naturgy en la que se indica lo siguiente: . Los datos de la parte reclamante empleados en la acción de venta telefónica no procedían de ninguna base de datos proporcionada por Naturgy. . La entidad GESTERPOOL informó a Naturgy que la acción de venta telefónica fue efectuada por la entidad Callsisten Energy, S.L., subcontratada por GESTERPOOL, y que los datos personales de la parte reclamante empleados para esa acción procedían de una base de datos de la propia Callsisten Energy, S.L., adquirida de una entidad tercera. A este respecto, advierte Naturgy que GESTERPOOL realizó esta subcontratación sin su consentimiento ni conocimiento, incumpliendo las obligaciones contractuales contraídas. 4. Con fecha 19/08/2022, se remitió a la entidad GESTERPOOL un requerimiento de información, que consta entregado el 25 del mismo mes. Ante la falta de respuesta, se envió un nuevo requerimiento en fecha 30/09/2022, que también fue entregado a GESTERPOOL el 10/10/2022, sin que en esta Agencia se haya recibido respuesta alguna. 5. Con fecha 10/10/2022, se remitió un requerimiento de información a la entidad Callsisten Energy, S.L., que consta expirado el 21/10/2022. Se reiteró el requerimiento el 10/11/2022 por correo postal, que fue devuelto por el Servicio de Correos con la indicación “Desconocido”. Este último requerimiento se envió a la dirección de Callsisten Energy, S.L. que consta en el Registro Mercantil, la cual coincide con la comprobada ante la AEAT. QUINTO: Con fecha 11/01/2023, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre GESTERPOOL en “Axesor”. (…). SEXTO: Con fecha 23/01/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad GESTERPOOL, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los artículos 28 y 58.1 del RGPD, tipificadas en el artículo 83.4.
  6. a)y 83.5.
  7. e)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 mismo Reglamento, y calificada a efectos de prescripción como grave y muy grave en los artículos 73.
  8. l)y 72.1ñ) y
  9. o)de la LOPDGDD, respectivamente. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 15.000 euros (quince mil euros): . Por la presunta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4.
  10. a)del mismo Reglamento, una sanción por importe de 10.000 euros (diez mil euros). . Por la presunta infracción del artículo 58.1 del RGPD, tipificada en el artículo 83.5.
  11. e)del mismo Reglamento, una sanción por importe de 5.000 euros (cinco mil euros). Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas de acuerdo con lo establecido en el artículo 58.2
  12. d)del RGPD. SÉPTIMO: La notificación a la parte reclamada del acuerdo de apertura reseñado en el antecedente anterior, en la que se concedía plazo para formular alegaciones y proponer prueba, se entregó a GESTERPOOL a través del Servicio de Notificaciones Electrónicas en fecha 01/02/2023. Transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna de la parte reclamada. OCTAVO: Con fecha 24/02/2023 se formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la parte reclamada, por una infracción del artículo 28 del RGPD, tipificada en el artículo 83.4.
  13. a)del mismo Reglamento, y calificada como grave a efectos de prescripción en el artículo 73.
  14. l)de la LOPDGDD, con multa de 10.000 euros (diez mil euros); y por una infracción del artículo 58.1 del RGPD, tipificada en el art. 83. 5.
  15. e)del citado RGPD, y calificada como muy grave en el artículo 72.1.ñ) y
  16. o)de la LOPDGDD, con multa de 5.000 euros (cinco mil euros). NOVENO: La notificación de la propuesta de resolución reseñada en el Antecedente Octavo fue entregada a la parte reclamada en fecha 06/03/2023, concediéndosele plazo para formular alegaciones. Dicho plazo transcurrió sin que en esta Agencia se haya recibido escrito alguno de la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La entidad Naturgy suscribió un contrato con la entidad GESTERPOOL, de fecha 01/01/2021, en virtud del cual está última entidad se obligaba a la prestación de servicios de asesoría y apoyo comercial y técnico para la captación de clientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 incluida la realización de acciones de venta telefónica, interviniendo la misma en estas acciones bajo la condición de encargada del tratamiento. Ambas entidades suscribieron una Adenda, de fecha 01/07/2021, por la que se modifican algunas cláusulas del Contrato; y un Contrato de Encargo de Tratamiento, también de fecha 01/07/2021. En todos estos documentos se estipula que GESTERPOOL no podrá subcontratar los derechos y obligaciones derivadas del contrato sin la autorización expresa, previa y escrita de Naturgy. En el Contrato de Encargo de Tratamiento se indica que GESTERPOOL deberá comunicar a Naturgy, con una antelación mínima de un mes, los datos del tercero con el que pretenda subcontratar y la descripción del servicio en concreto que será objeto de la subcontratación, a fin de que pueda oponerse. SEGUNDO: La parte reclamante ha manifestado que, con fecha 02/11/2021, recibió una llamada telefónica en nombre de Naturgy en la que se le ofrecieron descuentos en los suministros de luz y gas. TERCERO: Con fecha 02/11/2021, la parte reclamante suscribió digitalmente un “Contrato de suministro dual y servicios” formalizado a su nombre, que incluye la orden de domiciliación de adeudos. La firma digital de este documento está certificada por una entidad tercera debidamente inscrita en el Registro de Operadores de Red, la cual actúa en su condición de Tercera Parte de Confianza. CUARTO: La parte reclamante tramitó ante Naturgy el desistimiento de la contratación, el cual fue atendido por dicha entidad el 04/11/2021 sin haber llegado a activar los servicios. QUINTO: Naturgy ha manifestado que la contratación de sus servicios por la parte reclamante fue realizada con la intervención de Callsisten Energy, S.L., entidad subcontratada por GESTERPOOL sin el consentimiento ni conocimiento de Naturgy. SEXTO: Naturgy ha declarado ante esta Agencia que ha revocado todos los accesos de GESTERPOOL a la herramienta de contratación y ha puesto fin a la relación contractual con ésta, al no haber seguido sus instrucciones e incumplido las obligaciones impuestas para garantizar la calidad en la contratación. SÉPTIMO: La entidad Telefónica Móviles España, S.A.U., operador del número de línea de la parte reclamante ***TELÉFONO.1, confirmó la recepción en esta línea móvil de una llamada realizada desde la línea ***TELÉFONO.2 el día 02/11/2021. OCTAVO: La entidad Orange Espagne, S.A.U., operadora de la línea ***TELÉFONO.2, informó que la titularidad de esta línea corresponde a la entidad Callsisten Energy, S.L., con NIF B01866565. Aportó, asimismo, detalles de la realización de una llamada desde esta línea, el 02/11/2021, al número de línea móvil de la parte reclamante, con una duración de 1614 segundos. NOVENO: Con fecha 19/08/2022, los Servicios de Inspección de la AEPD remitieron a la entidad GESTERPOOL un requerimiento de información, que consta entregado el 25 del mismo mes. Ante la falta de respuesta, se envió un nuevo requerimiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 fecha 30/09/2022, que también fue entregado a GESTERPOOL el 10/10/2022, sin que esta entidad haya aportado respuesta alguna. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Obligación incumplida. Encargado del tratamiento. El artículo 28 del RGPD, “Encargado del tratamiento”, establece: “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  17. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  18. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  19. c)tomará todas las medidas necesarias de conformidad con el artículo 32; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17
  20. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  21. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  22. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  23. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  24. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  25. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. (…) 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. (…)”. Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del Reglamento o de la LOPDGDD por parte del responsable o el encargado del tratamiento. De acuerdo con lo establecido en el artículo 28 RGPD, el responsable y el encargado de tratamiento de datos deben regular el tratamiento de datos en un contrato u acto jurídico que vincule al encargado respecto al responsable; ese contrato o acto jurídico deberá establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, las obligaciones y derechos del responsable, etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 El encargado del tratamiento, a su vez, podrá recurrir a otro encargado (“subencargado”) siempre que disponga de autorización previa por escrito del responsable del tratamiento, ya sea una autorización específica o general. En estos casos, se impone al encargado la obligación de informar al responsable de los cambios en la incorporación o sustitución de otros encargados, a fin de que dicho responsable pueda oponerse a tales cambios. La relación que vincule al responsable del tratamiento y al encargado, o a éste y a otro encargado, deberá formalizarse por escrito, inclusive en formato electrónico. En ambos casos deberán imponerse al encargado o “subencargado” las mismas obligaciones a que se refiere el apartado 3 del artículo 28 transcrito. En el presente caso, se formula reclamación por la realización de una llamada comercial a la línea de telefonía móvil de la parte reclamante que tenía por objeto ofrecer los servicios de la entidad Naturgy (esta oferta comercial fue aceptada por la parte reclamante, si bien desistió de la misma dos días después de la aceptación). Las actuaciones desarrolladas han acreditado que dicha llamada tuvo lugar y que fue realizada por la entidad Callsisten Energy, S.L., desde una línea de telefonía de su titularidad, en fecha 02/11/2021, según los detalles que constan reseñados en los Hechos Probados Séptimo y Octavo. A este respecto, la entidad Naturgy informó inicialmente que la llamada comercial se realizó por un agente de la entidad GESTERPOOL, que presta a Naturgy servicios de asesoría y apoyo comercial y técnico para la captación de clientes, incluyendo la realización de acciones de venta telefónica, interviniendo como encargada del tratamiento en virtud del contrato de servicios formalizado por ambas entidades en fecha 01/01/2021. No obstante, Naturgy trasladó posteriormente a la AEPD el resultado de la auditoría realizada sobre el caso suscitado por la parte reclamante, dando cuenta de la información que le fue facilitada por GESTERPOOL, según la cual esta última entidad reconoció que la llamada telefónica indicada fue realizada por la entidad Callsisten Energy, S.L., subcontratada con tal fin por GESTERPOOL. Naturgy ha manifestado al respecto que no conocía esta subcontratación y que la misma se realizó sin su consentimiento, a pesar de que el Contrato de Servicios y el Contrato de Encargo del Tratamiento celebrados entre Naturgy y GESTERPOOL prohíben expresamente a GESTERPOOL la subcontratación de trabajos sin la aprobación previa y por escrito de Naturgy, según consta en las estipulaciones contractuales que constan reseñadas en los antecedentes de este acuerdo y en el Hecho Probado Primero. En consecuencia, en virtud de cuanto antecede, se considera que los hechos expuestos vulneran lo dispuesto en el artículo 28 del RGPD por parte de la entidad GESTERPOOL, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. III Obligación incumplida. Entrega de información a los Servicios de Inspección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 Por otra parte, consta acreditado que GESTERPOOL no ha procurado a la Agencia Española de Protección de Datos la información que le fue requerida por los Servicios de Inspección mediante escritos de 19/08/2022 y 30/09/2022, los cuales fueron debidamente notificados a dicha entidad. Con esta conducta, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada. Por tanto, GESTERPOOL ha vulnerado el artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá de todos los poderes de investigación indicados a continuación: “
  26. a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
  27. b)llevar a cabo investigaciones en forma de auditorías de protección de datos;
  28. c)llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
  29. d)notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento;
  30. e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
  31. f)obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros”. Este incumplimiento da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. IV Tipificación y calificación de las infracciones El incumplimiento de lo dispuesto en el artículo 28 del RGPD supone la comisión por GESTERPOOL de una infracción tipificada en el apartado 4.
  32. a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  33. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;”. A este respecto, la LOPDGDD establece en su artículo 71 que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  34. l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles. (…)”. Por otra parte, el incumplimiento de lo establecido en el artículo 58.1 del RGPD es constitutivo de una infracción tipificada en el apartado 5.
  35. e)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  36. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1”. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.
  37. o)La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente”. V Poderes correctivos Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  38. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...)
  39. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
  40. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
  41. d)anterior es compatible con la sanción consistente en multa administrativa. VI Sanción La infracción de lo establecido en el artículo 28 del RGPD puede ser sancionada con multa de 10.000.000 € como máximo o, tratándose de una empresa, con multa de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD. La infracción de lo establecido en el artículo 58.1 del RGPD puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, con multa de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Con respecto a las infracciones indicadas, atendiendo a los hechos expuestos, se considera que la sanción que corresponde imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de microempresa de la parte reclamada y su volumen de negocio (consta en las actuaciones (…)). A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, precepto que señala: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  42. a)a
  43. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  44. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  45. b)la intencionalidad o negligencia en la infracción;
  46. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  47. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  48. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  49. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  50. g)las categorías de los datos de carácter personal afectados por la infracción;
  51. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  52. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  53. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  54. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  55. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  56. a)El carácter continuado de la infracción.
  57. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  58. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  59. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  60. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  61. f)La afectación a los derechos de los menores.
  62. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  63. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos indicados, a efectos de fijar los importes de las sanciones a imponer en el presente caso, se considera que procede graduar dichas sanciones de acuerdo con los siguientes criterios: 1. Infracción del artículo 28 del RGPD, tipificada en el 83.4.
  64. a)del citado RGPD, y calificada como grave a efectos de prescripción en el artículo 73.
  65. l)del RGPD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  66. a)del RGPD: “
  67. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . El número de interesados: la infracción afecta a todos los interesados que sean objeto de las campañas comerciales que haya ejecutado la entidad subcontratada por GESTERPOOL. . Artículo 83.2.
  68. b)del RGPD: “
  69. b)la intencionalidad o negligencia en la infracción". En este supuesto la negligencia de GESTERPOOL debe calificarse de “grave” por cuanto su conducta supone el incumplimiento de las cláusulas estipuladas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 expresamente en el contrato que suscribió con Naturgy. A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se trata de una empresa que realiza tratamientos de datos personales de manera sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. Entiende esta Agencia que la diligencia tiene que deducirse de hechos concluyentes, que consten debidamente acreditados y directamente relacionados con los elementos que configuran la infracción, de tal modo que pueda deducirse que la misma se ha producido a pesar de todos los medios dispuestos por el responsable para evitarla. En este caso, la actuación de GESTERPOOL no tiene este carácter. . Artículo 76.2.
  70. b)de la LOPDGDD: “
  71. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Se considera la actividad que desarrolla, en la que se ven implicados datos personales de numerosos interesados. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de la responsabilidad de la entidad reclamada en relación con el tratamiento de los datos. Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 28 del RGPD, es de 10.000 euros (diez mil euros). 2. Infracción del artículo 58.1 del RGPD, tipificada en el 83.5.
  72. e)del citado RGPD, y calificada como muy grave a efectos de prescripción en el artículo 72.1.ñ) y
  73. o)del RGPD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  74. b)del RGPD: “
  75. b)la intencionalidad o negligencia en la infracción". En este supuesto la negligencia de GESTERPOOL debe calificarse de “grave”, considerando las circunstancias ya señaladas en el apartado 1 anterior. Se tiene en cuenta, además, que el incumplimiento de la obligación de facilitar información a la autoridad de control se produce en relación con dos requerimientos de información que le fueron remitidos por los Servicios de Inspección de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 Agencia. . Artículo 76.2.
  76. b)de la LOPDGDD: “
  77. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. Según las circunstancias expresadas en el apartado 1 anterior. Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 28 del RGPD, es de 5.000 euros (cinco mil euros). V Adopción de medidas Confirmada la infracción, es preciso determinar si procede o no imponer a GESTERPOOL la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el artículo 58.2
  78. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En este caso, la entidad Naturgy ha declarado haber puesto fin a la relación contractual que había suscrito con GESTERPOOL, a la que ha revocado todos los accesos a la herramienta de contratación, al no haber seguido sus instrucciones e incumplido las obligaciones impuestas. En base a ello, no procede imponer a GESTERPOOL la obligación de adoptar medidas adicionales a la sanción de multa. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GESTERPOOL, S.L.U., con NIF B54691977, por una infracción del artículo 28 del RGPD, tipificada en el artículo 83.4.
  79. a)del mismo Reglamento, y calificada como grave a efectos de prescripción en el artículo 73.
  80. l)de la LOPDGDD, una multa de 10.000 euros (diez mil euros); y por una infracción del artículo 58.1 del RGPD, tipificada en el art. 83. 5.
  81. e)del citado RGPD, y calificada como muy grave en el artículo 72.1.ñ) y
  82. o)de la LOPDGDD, una multa de 5.000 euros (cinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a GESTERPOOL, SLU. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  83. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  84. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.