REPOSICION-PS-00366-2023

1/14  Expediente nº.: EXP202210927 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por NATURGY IBERIA, S.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 17 de abril de 2024, y en base a los siguientes: HECHOS PRIMERO: Con fecha 17 de abril de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202210927, en virtud de la cual se imponía a a NATURGY IBERIA, S.A. con NIF A08431090, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de por un importe de 100.000 euros (cien mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 19 de abril de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00366/2023, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. – Consta en el expediente tanto el correo de confirmación de la contratación como el contrato celebrado en nombre de la reclamante con Naturgy Iberia, en el que figura en ambos la fecha de 5 de septiembre de 2022. SEGUNDO. – Consta en el expediente el nombre de la parte reclamante en las facturas emitidas por Naturgy Iberia en julio y agosto de 2022, siendo cargadas en su cuenta bancaria. Posteriormente, la parte reclamada procedió a la devolución de dichos importes. TERCERO. – La parte reclamante ejercitó su derecho de acceso ante Naturgy Iberia el 29 de julio de 2022 mediante un correo electrónico para solicitar copia de la llamada de contratación de algunos servicios. Y, con fecha 10 de agosto de 2022 Naturgy Iberia envió a la parte reclamante copia de la grabación de voz de la contratación, dividida en dos archivos. CUARTO. - Con fechas 21 de noviembre de 2022 y 5 de diciembre de 2023, la parte reclamada reconoce que: “YELLOW THINKS reconoció a NATURGY que: (

1. i)Uno de sus agentes de ventas utilizó las claves de otro agente de ventas de la misma empresa para gestionar dicha contratación. (
2. ii)Dichos agentes de ventas incurrieron en prácticas irregulares para realizar dicha contratación. (iii) El teléfono utilizado para confirmar la contratación no pertenece a la Reclamante, sino que está vinculado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 alguna forma a la agente de ventas de dicha empresa. (
3. iv)Debido a que NATURGY obliga a sus empresas colaboradoras a grabar la locución contractual, el agente de ventas de YELLOW THINKS habría simulado una locución contractual aceptada por la Reclamante y la habría subido a los sistemas de NATURGY”. TERCERO: La parte recurrente ha presentado en fecha 20 de mayo de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, como fundamento del recurso la recurrente reitera los argumentos expuestos a lo largo del procedimiento, manifestando en síntesis que en ningún momento Naturgy puede ser considerado como responsable del tratamiento con respecto a dicho tratamiento realizado por YELLOW THINKS, S.L., quien se ha apartado por completo de las instrucciones emitidas por Naturgy, y solicita que se tenga por presentado este recurso, por formuladas las alegaciones que en el mismo se contienen, y previos los trámites oportunos, se archive el procedimiento. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II al V, de la Resolución recurrida, tal como se transcribe a continuación: <<II En relación con las alegaciones de la parte reclamada que manifiesta: <<Las contrataciones irregulares llevadas a cabo por YELLOW THINKS, S.L. en contra de las instrucciones de NATURGY no le permiten ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY –tal y como YELLOW THINKS, S.L. ha reconocido- su actuación debe entenderse realizada en su calidad de responsable del tratamiento>>. Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7 de julio de 2021, detallan lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 “Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su contenido esencial, el contrato debe servir para que el responsable y el encargado aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGPD, sino que debe incluir una información más específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de seguridad que se precisará para el tratamiento de los datos personales objeto del contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento.” Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado” Sobre los «Los fines y medios» las citadas directrices recogen las siguientes consideraciones: “(…) Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo» (…) La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios del tratamiento, tal como se describe más adelante. En consecuencia, no puede limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que un ente se considere responsable del tratamiento y en qué medida puede el encargado del tratamiento tomar decisiones propias. (…)” Pues bien, la parte reclamada añade que la empresa colaboradora no siguió sus instrucciones, sino que se apartó por completo de ellas. Sin embargo, la parte reclamada no solamente debe dar instrucciones a Yellow Thinks, tal como manifiesta, sino está obligada a supervisar su actuación, es decir debe establecer controles de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 cumplimiento para garantizar que se cumplan y así detectar cualquier actividad ilegal o inadecuada por parte del encargado del tratamiento cosa que no hizo la reclamada. Como tal, Naturgy Iberia como responsable debe asegurar la aplicación de las medidas organizativas y técnicas pertinentes para garantizar el tratamiento adecuado de la información personal recabada y, por ello, es el agente sobre el que recae la obligación de probar el cumplimiento efectivo y exhaustivo de la normativa vigente en materia de protección de datos, cuando así le fuera requerido por esta Agencia. Estas exigencias surgen del principio de responsabilidad proactiva o accountability introducido por el RGPD. A mayor abundamiento, se hace necesario acudir a la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, dictada en el asunto C683/21 (Nacionalinis visiomenès sveikatos centras), la cual indica: “83 Por lo que respecta, en segundo lugar, a la cuestión de si puede imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento en relación con las operaciones de tratamiento efectuadas por un encargado, es preciso recordar que, según la definición que figura en el artículo 4, punto 8. del RGPD, se entiende por encargado del tratamiento <<la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuanta del responsable del tratamiento>> 84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe el mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en las que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que se ha recurrido, quien ha efectuado el tratamiento por cuenta suya” Así como citar la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 20223, dictada en el asunto C-807/21 (Deutsche Wohnen), que indica “24 En efecto, según el mencionado órgano jurisdiccional, esta jurisprudencia, al igual que la mayoría de la doctrina nacional, concede especial importancia al concepto de <<empresa>>, en el sentido de los artículos 101 TFUE y 102 TFUE y, por tanto, a la idea de que la responsabilidad se imputa a la entidad económica en la que se ha adoptado el comportamiento indeseable, por ejemplo, un comportamiento contrario a la competencia. A su entender, conforme a esta concepción <<funcional>>, todos los actos de todos los empleados autorizados a actuar en nombre de una empresa son imputables a la empresa también en el marco de un procedimiento administrativo. 44 Por lo que respecta a las personas jurídicas, esto implica, por una parte, como ha señalado, en esencia, el Abogado General en los puntos 57 a 59 de sus conclusiones, que estas son responsables no solo de las infracciones cometidas por sus representantes, directores o gestores, sino también por cualquier otra persona que actúe en el ámbito de la actividad empresarial de esas personas jurídicas y en su nombre. Por otra parte, las multas administrativas previstas en el artículo 83 del RGPD en caso de que se produzcan tales infracciones deben poner imponerse directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 a personas jurídicas cuanto estas pueden ser calificadas de responsables del tratamiento en cuestión” Por tanto a la vista de lo expuesto, el responsable de un tratamiento de datos de carácter personal, puede responder por las actuaciones negligentes de los empleados de su encargado del tratamiento. En relación con la segunda cuestión planteada: “no se notificó a NATURGY, en tanto que parte interesada, la estimación del recurso de reposición presentado por la Reclamante contra la resolución de archivo de la reclamación contra mi mandante”. Para que pueda apreciarse la existencia de indefensión no resulta suficiente con que se haya producido una infracción formal sino que ha de haberse producido una indefensión de carácter material, en palabras del TC, STC 290/1993, fundamento jurídico 4 “Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso pues, en fecha 26 de junio de 2023, se remitió el recurso interpuesto a Naturgy Iberia, S.A., en el marco de lo establecido en el artículo 118.1 de la LPACAP, a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, además la parte reclamada ha podido alegar en el procedimiento sancionador todo cuanto a su derecho ha estimado conveniente, por lo que ninguna indefensión material se ha producido. III Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que Naturgy Iberia realiza, entre otros tratamientos, la recogida y conservación de los siguientes datos personales de personas físicas, tales como: nombre y apellido, documento de identidad, domicilio, número de teléfono, datos bancarios, datos de suministro, entre otros tratamientos. Naturgy Iberia realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Así ha quedado constatado, que la parte reclamada activó los contratos de gas y electricidad y los servicios de mantenimiento y se emitieron facturas entre el 22 de julio de 2022 y el 29 de agosto del mismo año, aunque posteriormente ante la reclamación efectuada ante esta Agencia por la parte reclamada, Naturgy Iberia dio de baja todos los contratos que pudieran seguir activos y procedió a anular todas las facturas que pudieran haberse generado durante el periodo de tiempo en que los contratos estuvieron activos, procediendo al reembolso del importe de todas aquellas facturas que ya hubieran sido satisfechas por la parte reclamante. En cualquier caso, la documentación que obra en el expediente evidencia que la reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello. Los datos personales de la reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento efectuado. Los datos personales de la reclamante fueron registrados en los ficheros de la reclamada y fueron tratados para la emisión de facturas por servicios asociados a la reclamante. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Resultaba por ello esencial que la reclamada acreditara ante esta Agencia que la reclamante había contratado con ella los suministros de gas y electricidad; que al tiempo de la contratación había desplegado la diligencia que las circunstancias del caso exigían para asegurarse de que la persona que tramitó la baja de los contratos de gas y electricidad, dando de alta los nuevos con la reclamante era efectivamente su titular. Es por lo que, es preciso señalar en primer lugar que, en respuesta de fecha 21 de noviembre de 2022, enviada a Naturgy Iberia, esta manifestó que: “En la grabación se identifica el agente B a pesar de que en la contratación aparece el identificador de la agente A porque B utilizó las claves de agente de A. Se hace constar que esta práctica no está permitida por NATURGY. - Tras preguntar a la agente A, la agente reconoció haber incurrido en prácticas irregulares al realizar la contratación (sin especificar cuáles). - No pueden explicar qué tipo de colaboración en los hechos hubo entre los agentes A y B. - Reconocen que el teléfono utilizado para confirmar la contratación no pertenece a la Reclamante sino que está de algún modo vinculado a la agente A. - Al ser preguntados por las medidas adoptadas tras conocer los hechos, incurren en incoherencias, señalando inicialmente respecto de la agente A que habían procedido a su despido, si bien posteriormente indicaron que no lo habían hecho. - Señalan que el agente B ya no trabaja en su compañía. […] - Naturgy ha dado de baja todos los contratos que pudieran seguir activos. - Naturgy ha contactado con la Reclamante para pedirle disculpas y ofrecerse a ayudarle para reponer los contratos de gas y electricidad con sus anteriores compañías comercializadoras, si bien la Reclamante ha indicado que prefería gestionar por cuenta propia el cambio a otra comercializadora. - Naturgy ha procedido a anular todas las facturas que pudieran haberse generado durante el periodo de tiempo en que los contratos estuvieron activos con Naturgy, y va a proceder al reembolso del importe de todas aquellas facturas que ya hubieran sido satisfechas por la Reclamante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Por otra parte, en las alegaciones al acuerdo de inicio, de fecha 5 de diciembre de 2023, Naturgy manifiesta: “Dicha empresa reconoció a NATURGY que: (
11. i)Uno de sus agentes de ventas utilizó las claves de otro agente de ventas de la misma empresa para gestionar dicha contratación. (
12. ii)Dichos agentes de ventas incurrieron en prácticas irregulares para realizar dicha contratación. (iii) El teléfono utilizado para confirmar la contratación no pertenece a la Reclamante, sino que está vinculado de alguna forma a la agente de ventas de dicha empresa. (
13. iv)Debido a que NATURGY obliga a sus empresas colaboradoras a grabar la locución contractual, el agente de ventas de YELLOW THINKS habría simulado una locución contractual aceptada por la Reclamante y la habría subido a los sistemas de NATURGY”. Por tanto, Naturgy Iberia, ha reconocido la existencia de una actuación incorrecta en la gestión de los datos de la parte reclamante. No adoptó ninguna medida para comprobar la identidad de la parte reclamante. El envío del SMS al teléfono facilitado en la contratación sólo tiene la finalidad de acreditar la confirmación de la contratación y no constituye medida para evitar la suplantación de identidad. A la vista de lo anterior, la parte reclamada no logra acreditar que se actuara diligentemente y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con el ello el artículo 6 del RGPD. En este sentido el Considerando 40 del RGPD señala: “