REPOSICION-PS-00295-2024

1/31  Expediente nº.: EXP202310583 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por COMERCIALIZADORA REGULADA, GAS & POWER, S.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 29 de agosto de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 29 de agosto de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202310583, en virtud de la cual se imponía a COMERCIALIZADORA REGULADA, GAS & POWER, S.A., por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del RGPD, una multa de 80.000 euros (ochenta mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 1 de septiembre de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00295/2024, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO. – Consta en el expediente que la excónyuge de la parte reclamante realizó la contratación del suministro de gas a su nombre con fecha 9 de mayo de 2022, de forma presencial, en la oficina de una empresa colaboradora de Comercializadora Regulada. SEGUNDO. – Obra en el expediente que la excónyuge aportó el día de la contratación 9 de mayo de 2022 la siguiente documentación: - Libro de familia en el que constaban como cónyuges tanto el reclamante con la excónyuge. - Copia de la escritura de titularidad conjunta de la vivienda en la que se deseaba contratar el gas (punto de suministro). - Resguardo de titularidad conjunta de la cuenta bancaría en la que se deseaban domiciliar los pagos. TERCERO. - Consta en el expediente llamada de verificación de la contratación del suministro de gas. En dicha grabación la excónyuge manifiesta expresamente ser cónyuge del reclamante y actuar en representación del mismo para realizar la contratación del suministro de gas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 TERCERO: La parte recurrente ha presentado en fecha 1 de octubre de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo en la reiteración de las alegaciones previamente presentadas a la propuesta de resolución, que reproduce íntegramente de forma literal, es decir: Después de describir los hechos y trámites realizados, aclarando que A.A.A., con N.I.F. ***NIF.1, que realizó la contratación en nombre del reclamante, en ese momento su esposa, (…), esa entidad formula las consideraciones siguientes: 1. Reitera que la AEPD nunca notificó a Comercializadora Regulada la resolución de fecha 11/06/2024, por la que se estimó el recurso de reposición interpuesto por el reclamante contra la resolución de archivo de su reclamación de fecha 03/11/2023, siendo esto contrario a lo dispuesto en el artículo 40.1 de la LPACAP, que obliga a notificar a los interesados los actos y resoluciones que afecten a sus derechos e intereses, y causa de indefensión, además de una vulneración del derecho de defensa, derecho a un proceso con garantías y derecho de acceso a la jurisdicción de la entidad, que no tuvo oportunidad de recurrir dicha resolución interponiendo el pertinente recurso contencioso-administrativo. Entiende vulnerado el artículo 53 de la LPACAP, que prevé el derecho del administrado a la defensa y a recurrir en vía contencioso-administrativa. Defiende que no se trata de una mera infracción formal, como califica la AEPD, sino una infracción de las garantías mínimas que la normativa exige a toda actuación administrativa, la cual no puede ampararse en el artículo 65.5 de la LOPDGDD al no tratarse simplemente de un acto que admita a trámite la reclamación presentada, sino la resolución de un recurso de reposición que pone fin a la vía administrativa y desestima las alegaciones de Comercializadora Regulada. Según esta entidad, el hecho es más lesivo desde el momento en que la resolución del recurso sí se notificó a uno de los interesados. Señala que la propia resolución no notificada a Comercializadora Regulada indica expresamente que pone fin a la vía administrativa y puede recurrirse ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional. No cabe que la Administración considere y desconsidere una resolución susceptible de recurso a su conveniencia. Frente a ello, no puede oponerse, como hace la AEPD, que en el procedimiento sancionador posterior el interesado ha podido alegar todo cuanto a su derecho ha estimado conveniente. 2. Comercializadora Regulada entiende vulnerado el procedimiento sancionador considerando que después del inicio del presente procedimiento sancionador recibió resolución de la AEPD, de fecha 17/12/2024, otorgando “un nuevo plazo de pago voluntario” de la sanción de 200.000 euros (importe fijado en el acuerdo de inicio), así como la liquidación de unos supuestos intereses de demora, omitiendo la AEPD todas las fases que la normativa exige en estos procedimientos y que garantizan el derecho de defensa. Comercializadora Regulada se vio obligada a realizar acciones adicionales para velar por su derecho de defensa, presentando un escrito de 16/01/2025, manifestando que no procedía la reclamación de ese importe y recordando las garantías procesales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 previstas. Todo ello vulnerando lo previsto en el Título IV de la Ley 39/2015 y, en concreto, sus artículos 53, 64, 84, 85, 89 y 90; y el artículo 25.1 de la Ley 40/2015 que exige que la potestad sancionadora de las Administraciones Públicas se ejerza aplicando el procedimiento previsto para ello. En fecha 07/02/2025, recibió un escrito de la AEPD anulando su resolución anterior. Considerando esta actuación, entiende que la Administración ha omitido, obstaculizado y menoscabado su derecho de defensa al haber sido obligada a realizar actos positivos adicionales para poder preservar tal derecho. 3. De la Arbitrariedad en la fijación de la sanción económica. Los mismos hechos por los que en fecha de 03/11/2023 la AEPD no apreciaba indicio alguno de infracción, en fecha de 19/09/2024 pasaron a ser considerados una infracción muy grave, cuantificándose la sanción económica en 200.000 euros en el acuerdo de Inicio del presente procedimiento, según las circunstancias que en el mismo se indican (artículos 83.2.a),
2. e)y
3. k)del RGPD), que fueron rebatidas en las alegaciones formuladas frente a dicho acuerdo. Posteriormente, en la propuesta de resolución, por la misma infracción y habiendo rechazado sus alegaciones, la AEPD rebaja la sanción a 80.000 euros sin argumentar el motivo de la reducción, produciendo con todo ello una clara inseguridad jurídica en el administrado, que desconoce los motivos de este cambio y los criterios de fijación de la cuantía de la multa. Añade que, en caso de que hubiera optado por el pago voluntario para acogerse a las reducciones previstas, habría pagado un importe más elevado que el fijado en la propuesta. Adicionalmente, la AEPD pretendió cobrar esos 200.000 euros más intereses a través del requerimiento antes mencionado, convirtiendo en firme una resolución inexistente. A este respecto, añade que la AEPD anuló su resolución una vez Comercializadora Regulada se percató de esta irregularidad y tuvo que presentar un nuevo escrito para velar por su derecho de defensa, lo que supone que en caso de que no hubiera presentado este escrito adicional -por cierto, no previsto en ningún procedimiento administrativo-, hubiera tenido que cumplir con el periodo pago que ofrecía la AEPD saltándose todas las posibilidades de alegación posteriores que prevé el procedimiento sancionador. Entiende que obligar al administrado a presentar escritos adicionales no previstos en ninguna normativa administrativa con el único objetivo de recordar a la Administración las garantías de procedimiento, ya supone un perjuicio en sí mismo y una merma de los derechos del administrado. 4. Ausencia de responsabilidad y culpabilidad. Acreditación de la representación de la persona que facilitó los datos personales. Comercializadora Regulada reitera que, según el modus operandi habitual de su sociedad conyugal, existe un mandato verbal otorgado por el reclamante, que conocía el contrato, siendo la reclamación contraria a sus propios actos. El contrato se realizó por la persona que en aquel momento era su cónyuge y compartía el punto de suministro de gas, asociado a la vivienda propiedad de ambos, y compartía la titularidad de la cuenta bancaria en la que se domiciliaron los pagos. En el proceso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 contratación se aportaron los datos identificativos del reclamante y la documentación que acredita tales circunstancias, habiéndose realizado, además, una llamada de verificación. A este respecto, resulta especialmente relevante la mensajería intercambiada entre el reclamante y la persona que realizó el contrato en su nombre, detallados en sus escritos anteriores, así como lo hechos que ya constan relatados sobre el tiempo de vigencia del contrato, el consumo efectivo y cargos bancarios realizados o las gestiones sobre los pagos pendientes y solicitud de copia de facturas realizadas directamente por el reclamante ante Comercializadora Regulada, además, de no haber manifestado en ningún momento su disconformidad hasta que ambos se encontraron incursos en un proceso de divorcio. Siendo así, destaca dicha entidad que es falso lo manifestado en la propuesta de resolución cuando se indica que el afectado no ha sido parte en el contrato y que Comercializadora Regulada no ha aportado documentación que acredite la representación, cuando se aportó libro de familia escritura de propiedad de la vivienda y resguardo de titularidad conjunta de la cuenta bancaria. Sobre esta última cuestión, alega que no corresponde a la AEPD valorar si esa documentación es suficiente para acreditar el mandato verbal conforme a la normativa del Código Civil y añade que la resolución recurrida no justifica por qué el mandato verbal no es una forma válida de representación a pesar de estar previsto en nuestro ordenamiento jurídico. Todo lo expuesto contraviene la jurisprudencia sobre los actos propios fijada por el Tribunal Supremo, por cuanto las conductas del reclamante son inequívocas y perfectamente delimitadas pues definen sin ninguna duda la situación jurídica afectante a su autor (en su calidad de titular del contrato de suministro, usuario efectivo de la energía y de mandante verbal) de manera que son incompatibles y contradictorias con la conducta expresada por éste más tarde, consistente en negar el conocimiento del contrato de suministro a su nombre y negar que autorizase a su entonces cónyuge a la suscripción del mismo. Por otra parte, alega Comercializadora Regulada que no existe suplantación de identidad por cuanto la persona que solicita el contrato no se hizo pasar por el reclamante en ningún momento, sino que manifestó y acreditó actuar en su representación mediante un mandato verbal, sin que el reclamante haya acreditado lo contrario. En todo caso, añade, sería una cuestión a dirimir entre el reclamante y su ahora excónyuge o sustanciarse en vía penal. Fueron las desavenencias personales las que motivaron la presentación de la reclamación, no una cuestión relativa a su derecho a la protección de datos personales. En relación con lo expuesto, cita la resolución dictada por esta AEPD en el expediente EXP202213395, en el que esta Agencia manifiesta no ser competente para dirimir cuestiones civiles, como las relativas a la validez civil o mercantil de un contrato, que deberán instarse ante los órganos administrativos o judiciales competentes, y que solo corresponde a esta Agencia determinar si se han cumplido los requisitos legales establecidos para el tratamiento de datos, sin indagaciones propias de la esfera civil. Y se añade que no debe ponerse al servicio de rencillas particulares (SAN de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 01/04/2011). Destaca que nada indica la resolución al respecto. En otro orden, reitera que la actuación de la AEPD contraviene la doctrina de los actos propios, considerando que dictó resolución acordando el archivo de la reclamación y, 10 meses más tarde, sin que concurran nuevos hechos o nuevas circunstancias de cualquier índole ni tan siquiera se haya aportado nueva documentación al expediente, y simplemente bajo la petición del Reclamante mediante recurso de reposición, la AEPD incoe un expediente sancionador, manifestando en el acuerdo de inicio justo lo contrario de lo que había manifestado en aquella resolución de archivo. Señala en el recurso que la propia resolución impugnada indica que, en aquel recurso, el reclamante reiteraba su pretensión, entendiendo con ello que no se aportaban nuevos hechos ni documentación. Todo ello, según Comercializadora Regulada contraviene la doctrina de los actos propios que debe regir la actuación de la Administración, tal y como establece el Tribunal Supremo, así como la jurisprudencia administrativa sobre los principios de seguridad jurídica y de confianza legítima, que “impone que las decisiones de la Administración no supongan un cambio de sentido respecto de los actos administrativos previamente dictados, con base en cuyo fundamento actuó el administrado, dando con ello estabilidad a la relación jurídico administrativa (STS de 06/03/2014, rec. de cas. 2171/2012). En definitiva, la actuación de la Administración Pública no puede ser alterada arbitrariamente, contrariamente a lo que ha sucedido en el presente expediente sancionador, en el que se genera un conflicto con la seguridad jurídica al iniciar un procedimiento sancionador incompatible con el archivo de la reclamación anterior. Con ello se creó una expectativa legítima y de confianza del administrado de no iniciar un procedimiento sancionador por estos hechos, que, 10 meses más tarde y sin motivación alguna, ha sido contrariada por el mismo órgano administrativo. 5. En el presente procedimiento sancionador, la AEPD se excede de sus competencias. Respecto a la representación mediante mandato verbal, la AEPD sostiene que el reclamante nunca fue parte del contrato y que no se acreditó suficientemente la figura del mandato verbal, en base a las estipulaciones del Código Civil, artículos 71 y 1259. Según Comercializadora Regulada, las funciones y potestades de la AEPD se establecen en al artículo 47 de la LOPDGDD, artículos 57 y 58 del RGPD y artículo 5 del Real Decreto 389/2021 por el que se aprueba el Estatuto de la AEPD. Entre ellas no se incluye la de interpretar, analizar ni juzgar sobre normativa que nada tenga que ver con la protección de datos, como ha sucedido en el presente caso. Es decir, las facultades de supervisión y de control por parte de la AEPD se limitan exclusivamente a la normativa de protección de datos personales. No solo no es competencia de la AEPD, sino que dicha cuestión y la interpretación y aplicación de los asuntos civiles es competencia exclusiva de los Juzgados, tal y como estipula el artículo 45 de la Ley 1/2000, de Enjuiciamiento Civil: “corresponde a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31 Juzgados de Primera Instancia el conocimiento, en primera instancia, de todos los asuntos civiles que por disposición legal expresa no se hallen atribuidos a otros tribunales. Conocerán, asimismo, dichos Juzgados de los asuntos, actos, cuestiones y recursos que les atribuye la Ley Orgánica del Poder Judicial”. Destaca el recurso que sobre esta cuestión la AEPD afirma haberse limitado a analizar la licitud del tratamiento, cuando está juzgando la validez del mandato verbal del reclamante a favor de su cónyuge en base al Derecho Civil. Tampoco la AEPD es competente para investigar, dirimir, juzgar y concluir si se ha cometido o no un delito de suplantación de identidad, que corresponde a la jurisdicción ordinaria según lo establecido en los artículos 1 y 10 del Real Decreto de 14 de septiembre de 1882 por el que se aprueba la Ley de Enjuiciamiento Criminal. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, que reproducen literalmente las alegaciones ya presentadas a lo largo del procedimiento sancionador, sin añadir ningún argumento nuevo, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la II a la VII, de la Resolución recurrida, de fecha 29/08/2025, en la que se considera que la misma incumplió lo dispuesto en el artículo 6 del RGPD y se detalla suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. Dichos Fundamentos de Derecho se transcriben a continuación: <<II Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento 1. En relación con las alegaciones de la parte reclamada de la descripción de los hechos que realiza la misma, es evidente que Comercializadora Regulada trató los datos personales del reclamante (nombre, apellidos, NIF, domicilio) vinculados al alta de un contrato de suministro de gas sin que tuviera legitimidad para ello, dado que no ha acreditado que la excónyuge ostentará la representación del reclamante. La parte reclamada en sus alegaciones manifiesta que la excónyuge ostentaba un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 mandato verbal para realizar el contrato de suministro de gas. A este respecto, hay que mencionar el artículo 71 del Código Civil, que dice que ninguno de los cónyuges puede atribuirse la representación del otro sin que le hubiere sido conferida. Y, el artículo 1.259 del Código Civil, señala que la validez de lo actuado por el mandatario verbal depende de que sea luego ratificado por la persona representada. «Para poder inscribirse un negocio celebrado por una persona que actúa por sí y como mandatario verbal de esposa es necesario acreditar fehacientemente la representación (art. 3 LH), o bien la ratificación posterior por la persona representada» (Resolución de 8 de febrero de 2004 de la DGRN). Por lo que es evidente que la excónyuge del reclamante no ostentaba la representación del reclamante. En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte reclamada y debe ser rechazada. 2. Comercializadora Regulada alega que el acuerdo de Inicio de la AEPD manifiesta justamente lo contrario de lo que se había concluido en la resolución de archivo, sin explicar cuál ha sido el cambio de criterio para valorar de forma diferente unos hechos que ya fueron valorados y respecto de los cuales no se ha producido alteración alguna; y señala que se le ha producido indefensión por no habérsele notificado la resolución que estimó el recurso de reposición interpuesto contra dicha resolución de archivo. No ha habido tal cambio de criterio por parte de la AEPD. El reclamante interpuso con fecha 5 de diciembre de 2023 un recurso potestativo de reposición contra la resolución que acordaba el archivo de la reclamación, reiterando que la contratación a su nombre del suministro de gas fue realizada por una tercera persona que manifestó ostentar su representación, sin que Comercializadora Regulada adoptara medida de seguridad alguna para exigirle tal representación. En contra de lo señalado por Comercializadora Regulada, la estimación de dicho recurso de reposición interpuesto por la parte reclamante, que da lugar a la admisión a trámite de la reclamación formulada, no vulnera la doctrina de los actos propios. Por otra parte, debe destacarse que se dio cuenta a Comercializadora Regulada del recurso interpuesto para que pudiera pronunciarse sobre su contenido, lo que se ha verificado mediante escrito de respuesta de fecha 24/05/2024. Respecto a la existencia de indefensión para que pueda apreciarse no resulta suficiente con que se haya producido una infracción formal sino que ha de haberse producido una indefensión de carácter material, en palabras del TC, STC 290/1993, fundamento jurídico 4 “Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 fundamento jurídico 2º)". Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso pues se remitió el recurso interpuesto a Comercializadora Regulada y, con fecha 24/05/2024, formuló las alegaciones que estimó procedentes, todo ello en el marco de la fase de admisión a trámite de la reclamación. Además, la parte reclamada ha podido alegar en el presente procedimiento sancionador todo cuanto a su derecho ha estimado conveniente, por lo que ninguna indefensión material se ha producido. Cabe señalar, asimismo, que la resolución estimatoria del recurso de reposición, por la que se admite a trámite la reclamación que motiva las presentes actuaciones, fue notificada únicamente a la parte reclamante conforme a lo dispuesto en el artículo 65.5 de la LOPDGDD, según el cual “La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante…”. 3. Sobre que en el Acuerdo de Inicio se imputan erróneamente a Comercializadora Regulada dos hechos agravantes que no son aplicables al caso que nos ocupa: Circunstancia del artículo 83.2
4. a)RGPD “la gravedad de la infracción teniendo en cuenta el alcance de la operación del tratamiento” , indicando que el Acuerdo de Inicio justifica únicamente la concurrencia de dicho agravante basándose en que se cargasen diversas cuantías a la parte reclamante, alegando la parte reclamada que dichas cuantías que fueron cargadas en un primer momento en la cuenta bancaria obedecían al consumo de gas que el mismo estaba realizando y que queda acreditado que Comercializadora Regulada acordó abonarle íntegramente todos los importes que había pagado. Los hechos afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de legitimidad, que la norma sanciona con la mayor gravedad; sobre los perjuicios irrogados a la parte reclamante, no hay que olvidar que nos encontramos ante la vulneración de un derecho fundamental como es el de la protección de datos de carácter personal; y que no consta base de legitimación alguna para el tratamiento de los datos de la parte reclamante. Indica igualmente el apartado
5. e)del artículo 83.2 del RGPD, señalando que en el expediente PS/0087/2022 fue sancionada por remitir erróneamente el contrato de suministro del nuevo domicilio de la reclamante a la dirección de su antiguo domicilio y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 en el presente expediente es por dar de alta un contrato de suministro de gas a nombre del reclamante sin su consentimiento. Sobre la circunstancia del artículo 83.2.
6. e)RGPD, “Toda infracción anterior cometida por el responsable o el encargado del tratamiento”, el considerando 148 del RGPD señala “A fin de reforzar la aplicación de las normas del presente Reglamento [...]” e indica a ese respecto que “Debe no obstante, prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional [...] o a cualquier infracción pertinente [...]”. Así pues, conforme al apartado
7. e)del artículo 83.2. RGPD, en la determinación del importe de la sanción de multa administrativa no podrán dejar de valorarse todas aquellas infracciones anteriores del responsable o del encargado de tratamiento en aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto infractor. Además, una correcta interpretación de la disposición del artículo 83.2.
8. e)RGPD no puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de multa administrativa en el caso individual planteado atendiendo siempre a que la sanción sea proporcional, efectiva y disuasoria. III Contestación a las alegaciones presentadas a la propuesta de resolución Con carácter previo, debe significarse que las alegaciones formuladas por Comercializadora Regulada en respuesta a la propuesta de resolución elaborada por el instructor del procedimiento se presentaron fuera del plazo otorgado para ello, lo que conlleva su calificación como extemporáneas y la posibilidad de no tomarlas en consideración. No obstante, considerando que con ello no se vulneran derechos de terceros, esta AEPD tiene por presentadas dichas alegaciones. Respecto de las mismas, es preciso señalar que no desvirtúan los fundamentos que justifican el acuerdo adoptado en la presente resolución. Comercializadora Regulada plantea en su escrito de alegaciones a la propuesta de resolución, básicamente, las mismas las mismas alegaciones que formuló con ocasión de la apertura del procedimiento, sin considerar los hechos constatados y los fundamentos que sirvieron de base a la mencionada propuesta, que esta resolución hace suyos, en los que se analizan ampliamente las circunstancias puestas de manifiesto por dicha entidad y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en su nuevo escrito de alegaciones quedan sobradamente rebatidos con los argumentos transcritos en el Fundamento de Derecho anterior y en los que siguen, que se consideran válidos y suficientes para rechazar los planteamientos de Comercializadora Regulada. Así resulta respecto de: (
9. i)la cuestión relativa a la no notificación a Comercializadora Regulada de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 resolución del recurso de reposición interpuesto por el reclamante contra la resolución de esta AEPD de fecha 3 de noviembre de 2023, que simplemente determinó la continuación de las actuaciones con la apertura del presente procedimiento, en el que Comercializadora Regulada ha tenido oportunidad de intervenir con todas las garantías establecidas; (
10. ii)la invocación de la doctrina de actos propios, que Comercializadora Regulada plantea en base precisamente a la estimación de aquel recurso y la consiguiente prosecución de las actuaciones. Ninguna contradicción con esta doctrina de los actos propios puede resultar de ello, so pena de desvirtuar el régimen de revisión de actos en vía administrativa. (iii) o sobre la formalización del contrato de suministro de gas a nombre del reclamante por una tercera persona que intervenía en representación de aquel, cuando es obvio, a la vista de las actuaciones, que Comercializadora Regulada no ha acreditado en modo alguno dicha representación, que no puede entenderse probada por una simple manifestación de esa tercera persona, ni puede deducirse, desde el punto de vista de la protección de datos, del hecho de que, como matrimonio, compartieran propiedad o titularidad de la cuenta bancaria. Menos aún en lo que esta entidad denomina modus operandi del matrimonio, que ni siquiera era conocido por esta empresa en el momento en que se realiza el tratamiento de datos que conlleva el alta del suministro. De conformidad con lo previsto en la SAN de 1 de julio de 2024, en el recurso 900/2022, las medidas de seguridad impuestas no pueden ser tan generales que puedan estar al alcance de un tercero, disponiendo que “se evidencia la insuficiencia de dicho protocolo cuando se requieren, tan solo, datos tan generales que pueden estar al alcance de un tercero y se deberían de haber exigido mayores medidas de seguridad y de garantía de quien actúa en representación, sin que se pueda presumir que quien dice ser la hermana del titular del contrato actúe en representación del mismo. Y deben entenderse como medidas mínimas para asegurarse que el contrato de suministro se modifica a través del representante del titular”. También dicha Sentencia a la obligación de comprobar la representación del consumidor en contrato de energía en los términos siguientes: “Conforme al Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, "Las empresas distribuidoras deben disponer de una base de datos referidos a todos los puntos de suministro conectados a sus redes y a las redes de transporte de su zona, permanentemente completa y actualizada, en la que consten al menos los datos siguientes…”. Lo que viene a significar que cuando se actúa como sustituto del consumidor, la empresa suministradora deberá de comprobar que se está actuando mediante representación del consumidor. La obligación de la empresa (…) era asegurarse de que esa persona actuaba como representante del titular que es el que vio modificado el contrato sin su consentimiento.” En consecuencia, respecto de estas cuestiones, se estima oportunos remitirnos a los argumentos ya expuestos, que se tienen por válidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 Por otra parte, plantea Comercializadora Regulada las cuestiones siguientes: 1. El procedimiento seguido ha omitido todas sus fases, obstaculizando su derecho de defensa, y basa esta alegación en el hecho de que esta AEPD le remitiera, por error, un requerimiento de pago en período voluntario una vez conocido el Auto dictado por la Audiencia Nacional en fecha 04/12/2024, que desestimó la suspensión en la tramitación del procedimiento y no la suspensión de la ejecutividad de una resolución que aún no se había dictado. Dicho error fue inmediatamente subsanado sin ninguna repercusión en el presente procedimiento, que ha cumplido todas sus fases sin alteración alguna de las garantías previstas. 2. Asimismo, cabe señalar que la modificación de la cuantía de la sanción determinada en el acuerdo de inicio del procedimiento sancionador realizada en la propuesta de resolución no supone arbitrariedad alguna. No en vano, la propuesta de resolución es el acto en el que “se fijarán de forma motivada los hechos que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan, la persona o personas responsables y la sanción que se proponga, la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, así como las medidas provisionales que, en su caso, se hubieran adoptado” (artículo 89.3 de la LPACAP. A juicio de esta AEPD, el acuerdo de inicio dictado se ajusta a lo previsto en el artículo 68 de la LOPDGDD, según el cual bastará con que el acuerdo de inicio del procedimiento concrete los hechos que motivan la apertura, identifique la persona o entidad contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción (en este caso, de los distintos poderes correctivos que contempla el artículo 58.2 del RGPD, la Agencia estimó procedente la imposición de multa, además de la adopción de medidas para ajustar su actuación a la normativa, sin perjuicio de lo que pudiera resultar de la instrucción del procedimiento). Seguidamente, se instruye el procedimiento y se dicta la propuesta de resolución. En el presente caso, la propuesta de resolución elaborada responde sobradamente a las exigencias establecidas en el citado artículo 89.3 de la LPACAP, por lo que no puede achacársele falta de motivación. Para la elaboración de la propuesta de resolución, en tanto que acto que culmina la actividad instructora, deben de tenerse en cuenta todos los hechos y circunstancias que se pongan de manifiesto durante la instrucción, incluidos los alegados por los interesados que se tengan por ciertos, y permitan valorar el supuesto de hecho planteado, así como establecer las responsabilidades y consecuencias que de ellos se deriven. Estos hechos que la instrucción del procedimiento evidencia podrán motivar la modificación de las imputaciones contenidas en el acuerdo de inicio del procedimiento o su calificación jurídica, así como el importe de la sanción que se hubiese determinado inicialmente en el acuerdo de apertura del procedimiento. El instructor del procedimiento designado por el órgano que ostenta la potestad sancionadora dispone de todas las facultades que le atribuye la normativa en cuestión y plena libertad para dictar su propuesta de resolución y para elevar su criterio al órgano decisorio, al que corresponde dictar la resolución que finalice el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 En ningún caso el instructor del procedimiento está constreñido por lo acordado en el momento de la apertura del procedimiento. En el ámbito administrativo sancionador, la imparcialidad del instructor está vinculada al derecho del interesado a un proceso con todas las garantías. Se garantiza con los motivos de abstención o recusación y con la debida separación entre las fases de instrucción y de resolución del procedimiento sancionador, separación entre fases que en este caso no ha quebrado y que se respeta escrupulosamente en todos los procedimientos de esta naturaleza seguidos por la AEPD. Entender que el instructor del procedimiento está obligado a seguir el importe de la sanción señalado en el acuerdo de apertura supondría una quiebra de su imparcialidad y una ruptura del principio de separación de la fase instructora y de sanción, establecido en el artículo 63.1 de la LPACAP, según el cual: “1. Los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente y establecerán la debida separación entre la fase instructora y la sancionadora, que se encomendará a órganos distintos”. Esta AEPD respeta esa plena independencia del instructor del procedimiento para dictar una propuesta de resolución que se separe de la valoración inicial de los hechos efectuada en el acuerdo de inicio. No hay más que acudir a la web “aepd.es”, en la que se publican todas las resoluciones dictadas en procedimientos sancionadores, para verificar la gran cantidad de ellos que finalizan con una resolución de archivo de actuaciones, siguiendo la propuesta emitida por el instructor del procedimiento, así como aquellas otras en las que dicha propuesta modificó la calificación, incrementó o minoró el importe de la sanción fijado en el acuerdo de apertura o propuso, incluso, la aplicación de un poder correctivo distinto a la sanción de multa. Dictada la propuesta de resolución, la misma debe de ser notificada a la parte interesada concediéndosele plazo para formular alegaciones y presentar los documentos e informaciones que se estimen pertinentes. En ningún caso se adoptará resolución sin que el interesado tenga ocasión de manifestarse sobre todos los extremos considerados. Ningún argumento contiene el escrito de alegaciones a la propuesta de resolución presentado por Comercializadora Regulada que lleve a considerar viciado el procedimiento seguido, que ha respetado todas las normas procesales aplicables y todas las garantías del interesado. La citada entidad, atendiendo a la naturaleza contradictoria del procedimiento administrativo sancionador, ha tenido conocimiento de todos los actos relevantes del procedimiento y, con ello, de los argumentos que han servido de base a los acuerdos adoptados, así como oportunidad de rechazarlos. 3. Considerando la rebaja de sanción que se contiene en la propuesta de resolución respecto de la determinada inicialmente, alega Comercializadora Regulada que si hubiese optado por el pago voluntario habría pagado más que la propuesta. Sin embargo, la actuación desarrollada por esta AEPD se ajusta a las previsiones normativas aplicables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 A lo indicado anteriormente sobre la propuesta de resolución y su alcance, debe añadirse, en cuanto a las reducciones de multas, que la norma aplicable establece la posibilidad de beneficiarse de dos reducciones en el momento de la apertura del procedimiento, vinculadas al reconocimiento de responsabilidad por parte del infractor y al pago voluntario de la sanción. De no producirse este reconocimiento de responsabilidad y pago voluntario, se instruye el mismo y se dicta posteriormente la propuesta de resolución. El pago voluntario puede realizarse por el interesado en cualquier momento del procedimiento anterior a la resolución, razón por la que se ofrece al interesado esta opción al notificarse la propuesta de resolución. No así el reconocimiento de responsabilidad, que debe de producirse durante el plazo de formulación de alegaciones a la apertura del procedimiento, como bien se informó a la entidad Comercializadora Regulada en el acuerdo de inicio que le fue puntualmente notificado. No habiendo reconocido la responsabilidad en ese momento, al dictarse la propuesta de resolución la opción para la reducción de la multa se concreta en el pago voluntario de la sanción, con la única reducción del 20%, siempre que dicho pago tuviese lugar en un momento anterior a la resolución. Ello de conformidad con lo establecido en el citado artículo 85 de la Ley 39/2015, según el cual el reconocimiento de la responsabilidad debe producirse “iniciado el procedimiento” para que sea aplicable la reducción prevista del 20% sobre la sanción, mientras que el apartado 2 del mismo artículo se refiere de manera expresa y única al pago voluntario, y no al reconocimiento de la responsabilidad, determinando que dicho pago se podrá producir en cualquier momento anterior a la resolución. Así lo entiende también la Audiencia Nacional, Sala de lo Contencioso-administrativo, Sección 1ª, que en su Sentencia de 05/02/2021, Rec. 41/2019, indica que el pago voluntario puede producirse en cualquier momento anterior a la resolución, mientras que la reducción por reconocimiento de la responsabilidad está ligada al acuerdo de inicio y a la previsión del artículo 64.2.
11. d)de la Ley 39/2015: “En cuanto a la infracción de lo previsto en los artículos 64 y 85 de la Ley 39/2015, que contemplan la posibilidad de reconocer la responsabilidad en el momento de la notificación de la resolución de inicio del procedimiento (art. 64.2.
12. d)y acogerse a las reducciones previstas en el artículo 85, en el acuerdo de inicio del procedimiento hay una expresa referencia a esos artículos, indicando que no resultan de aplicación los apartados 2 y 3 del artículo 85; además, en ningún momento el demandante ha mostrado su voluntad de reconocer la responsabilidad por la infracción sancionada y acogerse a la posibilidad establecida en dichos artículos (el pago voluntario puede hacerse en cualquier momento anterior a la resolución), por lo que procede desestimar también esta alegación”. También la finalidad es distinta para cada uno de aquellos modos de terminación del procedimiento. En el caso del reconocimiento de la responsabilidad (artículo 85.1) se persigue el logro de una mayor eficacia de la actuación administrativa con una finalización rápida del procedimiento que lleva asociada, además, la renuncia al recurso en vía administrativa. Esto implica un ahorro de tiempo, esfuerzo y, por tanto, de costes que bonifican ese reconocimiento de responsabilidad con una rebaja del 20%. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 4. Señala Comercializadora Regulada que la AEPD se excede de sus facultades de supervisión y de control, que se limitan exclusivamente a la normativa de protección de datos personales, al realizar valoraciones en base a estipulaciones del Código Civil o sobre la comisión o no de un delito de suplantación de identidad. Sin embargo, esta Agencia se ha limitado a analizar los elementos que determinan la licitud o ilicitud del tratamiento de datos personales del reclamante realizado y, en concreto, las circunstancias que permiten considerar válidamente prestado el consentimiento del interesado para dicho tratamiento. Así se pronuncia la SAN de 1 de julio de 2024, antes citada, cuando señala que la AEPD es competente para exigir que se acredite la representación voluntaria del interesado por un tercero a los efectos de contratar en su nombre, sin que pueda o deba examinar las características del concreto negocio jurídico de representación: “Refiere la parte recurrente la falta de competencia material de la Agencia Española de Protección de Datos que se trata de una cuestión civil a resolver por la correspondiente jurisdicción. En materia de protección de datos, la autoridad competente encargada de velar por el cumplimiento de la normativa de protección de datos y controlar su aplicación es la Agencia Española de Protección de Datos. Las reglas de competencia en esta materia se recogen en el RGPD y la LO 3/2018 que concede a esta Agencia la protección de datos de las personas físicas en relación con el tratamiento de datos personales que es el objeto de este proceso en el cual no se examina la validez del contrato o negocio jurídico llevado a cabo entre las partes, o entre los hermanos, ni se discute ni analiza la existencia de un contrato de mandato, de apoderamiento o representación en los términos previstos en el ámbito civil. Se analiza la actuación de la compañía de suministro de energía eléctrica en el cumplimiento de la normativa de protección de datos a la que está sometida sin que ésta pueda o deba analizar las características de un negocio jurídico de representación, tan solo puede y debe, como en este caso, y para la debida protección de datos de carácter personal del contratante del servicio de suministro, exigir que se acredite esa representación que se está mencionando constantemente en la demanda”. Por otra parte, ninguna conclusión se adopta en este acto, como tampoco se hizo en la propuesta de resolución, que tenga relación con el orden jurisdiccional penal. Ninguna referencia se contiene sobre una suplantación de identidad. 5. Finalmente, interesa a esta AEPD destacar que las alegaciones a la propuesta de resolución formuladas por Comercializadora Regulada nada manifiestan en relación con los factores de graduación considerados en la propuesta de resolución, que esta resolución reproduce, ni sobre el importe de multa acordado. IV Cuestiones Previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; Comercializadora Regulada es una empresa comercializadora de suministros de gas y electricidad que para el desarrollo de su actividad trata datos de carácter personal de sus clientes: Nombre, apellidos, DNI, domicilio, teléfono, correo electrónico etc., dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. V Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
13. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
14. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
15. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
16. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
17. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
18. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
19. f)del párrafo primero no será de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. La documentación que obra en el expediente acredita que Comercializadora Regulada ha vulnerado el artículo 6.1 del RGPD, toda vez que trató los datos personales del reclamante (nombre, apellidos, NIF, domicilio, cuenta bancaria, entre otros) vinculados al alta de un contrato de suministro de gas en el que el afectado no ha sido parte y sin que la reclamada haya aportado documentación que acredite que la persona que le facilitó los datos personales de éste ostentaba su representación. Durante las actuaciones, Comercializadora Regulada ha afirmado que la contratación del suministro de gas fue realizada en representación de la parte recurrente por la que en ese momento era legalmente su cónyuge. Manifiesta que, a la luz de toda la documentación aportada, no existían elementos que pudieran hacer sospechar de la existencia de fraude o irregularidad alguna en dicha contratación por lo que, en consecuencia, dicha contratación debe de entenderse debidamente celebrada. Sin embargo, entre toda esa documentación no existía ninguna relativa a la autorización otorgada a esa tercera persona por el reclamante para que actuara en su nombre. La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en supuestos como el que aquí se plantea, ha considerado que cuando el titular de los datos que figuran en un determinado contrato niega la contratación corresponde la carga de la prueba a quien afirma su existencia, debiendo el responsable del tratamiento de datos de terceros recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto. La documentación que Comercializadora Regulada ha aportado para dicho fin consiste en la documentación aportada por la excónyuge de la parte reclamante en el momento de la contratación del suministro de gas realizada de manera presencial el día 9 de mayo de 2022 a través de una empresa colaboradora de Comercializadora Regulada. Dicha documentación, consiste en el libro de familia en el que constaban como cónyuges tanto el reclamante como su excónyuge, copia de la escritura de titularidad conjunta de la vivienda y resguardo de titularidad conjunta de la cuenta bancaría. Posteriormente, se realizó una llamada de verificación de la contratación del suministro de gas. En la grabación consta una conversación telefónica mantenida con la misma persona que facilitó los datos del reclamante, quien afirmó que actuaba en representación del afectado y, en ese concepto, gestionaba en su nombre un contrato de gas correspondiente al punto de suministro de la vivienda ubicada en ***DIRECCIÓN.1. Pero no consta ningún contacto, ni si quiera un intento de contacto con el reclamante para que ratificara la contratación. La eficacia o valor probatorio de la documentación aportada por la parte reclamada se refiere, exclusivamente, al origen de los datos personales del reclamante que fueron objeto de tratamiento por Comercializadora Regulada y únicamente muestra las manifestaciones de la persona que realizó dicha contratación en nombre la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 Sin embargo, y esto es lo esencial, la parte reclamada no ha acreditado que el titular de los datos personales objeto de tratamiento hubiera otorgado su representación al tercero para que en su nombre prestara el consentimiento a la celebración de un contrato con la entidad reclamada. El respeto al principio de licitud, que está en la esencia del derecho fundamental de protección de datos de carácter personal, exige que conste acreditado que el titular de los datos consintió que un tercero en su nombre celebrara un contrato con la parte reclamada. De no actuar así -y de no exigirlo así esta Agencia, a quien le incumbe velar por el cumplimiento de la normativa reguladora del derecho de protección de datos de carácter personal- el resultado sería vaciar de contenido el principio de licitud. Debe tenerse en cuenta que, en virtud del principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD, incumbe al responsable la carga de la prueba de que el tratamiento que efectuó de los datos personales de la parte reclamante estaba amparado en alguna de las circunstancias de licitud previstas en el artículo 6.1 del RGPD. El tratamiento de los datos personales de la parte reclamante no encuentra su base de legitimación en la ejecución del citado contrato de suministro de gas, ya que, debe reiterarse, dicho contrato fue celebrado por persona tercera, sin que hubiese acreditado que actuara en nombre y representación de la parte reclamante. A la vista de lo anterior, la parte reclamada no logra acreditar que actuara diligentemente y, por consiguiente, ha de considerarse que hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En este sentido el Considerando 40 del RGPD señala: “