REPOSICION-PS-00541-2023

1/35  Expediente nº.: EXP202304821 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por NATURGY IBERIA, S.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 17 de septiembre de 2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 17 de septiembre de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202304821, en virtud de la cual se imponía a NATURGY IBERIA, S.A. “IMPONER a NATURGY IBERIA, S.A. con NIF A08431090, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de por un importe de 100.000 euros (cien mil euros)”. Dicha resolución, que fue notificada a la parte recurrente en fecha 18 de septiembre de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00541/2023, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO. – Consta en el expediente el Contrato de Suministros Dual y Servicios de Naturgy, de fecha 26 de octubre de 2022, en el que consta datos personales del reclamante (nombre y apellidos, NIF, teléfono móvil, dirección de correo electrónico), la dirección del punto de suministro y de la prestación de los servicios, la dirección postal de correspondencia, la CUPS de gas y la CUPS de electricidad y la orden de domiciliación de adeudo directa SEPA. SEGUNDO. – Obra en el expediente certificación, de fecha 26 de octubre de 2022, expedida por la entidad Aviva Voice Systems & Services, S.L., que actúa en su condición de Tercera Parte de Confianza, con el siguiente contenido: “CERTIFICA: La entidad Naturgy Iberia S.A. con CIF/NIF A08431090 está dada de alta en nuestro servicio de envío y recepción de mensajes SMS, email y alojamiento de microportales WEB. Haciendo uso de nuestro servicio, dicho usuario ha realizado las siguientes comunicaciones por mensajes SMS, email y WEB: 1. Envío: mensaje SMS el día ***FECHA.1 CET al número de móvil ***TELÉFONO.1 con remitente Naturgy con el siguiente texto: "Para confirmar contratación, acceda al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/35 siguiente enlace ***URL.1 en el encontrara su contrato, política de privacidad y decirnos si quiere que tratemos sus datos para ciertos fines" Según nuestros registros, el texto del mensaje fue entregado a las ***FECHA.1 CET. 2. La página WEB a la que apunta el link ***URL.1 se halla alojada en nuestros servidores y se ha generado automáticamente de forma personalizada. El contenido de la misma se anexa en la última página de este certificado y para acceder a la misma se requiere introducir el NIF del destinatario del contrato. Según nuestros registros, a las ***FECHA.1 CET se accedió a esta página, previa introducción del identificador ***NIF.1. Según nuestros registros, el botón "Contratar" contenido en la página WEB a la que apunta dicho link fue pulsado a las ***FECHA.1 CET desde la dirección IP ***IP.1” TERCERO. - Consta en el expediente correo electrónico remitido por el reclamante, el 1 de diciembre de 2022, al Servicio de Atención al Cliente de Naturgy con el nombre de asunto “Contrato fraudulento” y el siguiente contenido: “(…) En el día de hoy recibo un correo de mi suministradora de electricidad (endesa) y me dicen que tramitan mi baja en el contrato. Me indican que es a instancia de mi nueva suministradora. Llamo a la distribuidora (Unión Fenosa) y me indican que mi nueva suministradora en Naturgy, desde el 28 de octubre. Llamo a Naturgy, (…) (…) En la opción 5 me indican que tengo contrato con Naturgy desde el 28 de octubre de luz, gas y otros servicios. Pero que no tiene acceso al supuesto contrato firmado por mi. NORMAL, YO NO FIRMÉ NINGÚN CONTRATO CON NATURGY EN OCTUBRE. Así, me facilita este correo para que les pida el CONTRATO FIRMADO POR MI con efectos del 28 de octubre. Insisto, yo no firmé ningún contrato. Todas las facturas que se me giren por este contrato falso serán devueltas. (…)” CUARTO. - Consta en el expediente correo electrónico remitido por el Servicio de Atención al Cliente de Naturgy, el 2 de diciembre de 2022, al reclamante con el siguiente contenido: “Te informo que he enviado tu solicitud al departamento correspondiente para que puedan solucionar tu solicitud. Se pondrán en contacto contigo en la mayor brevedad posible cuando este solucionado. Código de solicitud: R2-29193334573.” QUINTO. - Consta en el expediente correo electrónico remitido por el Servicio de Atención al Cliente de Naturgy, el 2 de diciembre de 2022, al reclamante con el nombre de asunto “Contrato fraudulento” y el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/35 “Atendiendo tu solicitud, te informo que la incidencia con código R2-29193334573 abierta el día 02/12/22 por el motivo que nos comentas, se encuentra en gestión. En cuanto el departamento asignado para ello lo haya revisado y gestionado, se pondrá en contacto contigo lo antes posible. Con respecto a la cesión de datos, indicarte que al tener contrato activo con nuestra comercializadora, tus datos se ceden, además de a las empresas suministradoras, a las empresas colaboradoras que llevan a cabo los servicios que tienes contratados que son SVE Xpress y ServiGas Complet con calefacción. Igualmente, te confirmo que los contratos de electricidad y gas de la dirección de suministro ***DIRECCIÓN.1 se encuentran datos de baja con fecha 07/12/22 y 10/12/22 respectivamente y por este motivo, quedan anulados con fecha de hoy los servicios mencionados anteriormente.” SEXTO. - Consta en el expediente comunicaciones remitidas por Naturgy, el 11 y el 13 de enero de 2023, al reclamante con el siguiente contenido: “Lamentamos comunicarle que finalmente hemos tenido que darle de baja del contrato de energía y/o servicios. Recuerde, que la baja de su/s contrato/s no implica que la deuda, de (…) se haya cancelado. (…) Detallamos la/s factura/s pendientes al final de esta carta.” En la comunicación de 11 de enero de 2023 figuran dos facturas de fecha 9 de diciembre de 2022. En la comunicación de 13 de enero figuran las mencionadas facturas de fecha 9 de diciembre de 2022 y otra de fecha 13 de diciembre de 2022. SÉPTIMO – Consta en el expediente escrito de la Oficina de Garantía del Servicio al Cliente de Naturgy, de fecha 25 de enero de 2023, dirigido a la parte reclamante, con el siguiente contenido: “(…) En referencia al punto de suministro ***DIRECCIÓN.1, comprobamos que, el 26 y 28 de octubre de 2022, activamos los contratos de suministro eléctrico y gas, así como los contratos de servicio de mantenimiento ServiElectric y ServiGas. El 1 y 7 de diciembre de 2022, procedimos a inactivar los contratos de gas y electricidad por cambio de comercializadora. El 16 de diciembre de 2022 tramitamos la baja del servicio de mantenimiento “ServiElectric y ServiGas, dejando sin efecto todas las cuotas emitidas desde la activación del contrato. Actualmente no tiene importes pendientes de pago. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/35 OCTAVO. - Con fecha 19 de mayo de 2023, en respuesta al traslado de la presente reclamación y el día 8 de abril de 2024, en las alegaciones al Acuerdo de Inicio, la parte reclamada reconoce que la contratación realizada a través de SEI revistió un carácter fraudulento, manifestando que “se constató que esta contratación fue gestionada por la empresa SOLUCIONES EMPRESARIALES INTEGRALES 2022 S.L. • Se ha verificado que SEI no había registrado en los sistemas de Naturgy la grabación de la llamada de contratación de los Servicios Objeto de la Reclamación, por lo que Naturgy ha requerido a la entidad SEI que aporte dicha grabación, sin que hasta la fecha haya sido entregada por SEI. • El Reclamante indica que la contratación se realizó a través de un teléfono y de una IP que desconoce. Naturgy ha realizado comprobaciones y ha identificado ciertas prácticas irregulares por parte de SEI en relación con dicha IP. • Se ha producido una renuencia de SEI a colaborar con la investigación” pues “solamente perseguiría la obtención ilícita de una comisión por la consecución de nuevas contrataciones”. NOVENO. - Consta en el expediente contrato de prestación de servicios comerciales para empresas colaboradoras suscrito el 1 de mayo de 2022 entre Naturgy Iberia, S.A. y Soluciones Empresariales Integrales 2022, S.L. En tal contrato se indica: “ Que NATURGY IBERIA es una sociedad especializada en la comercialización de bienes y prestación de servicios relacionados con la energía.  Que EL COLABORADOR (Soluciones Empresariales Integrales 2022, S.L.), es una sociedad dentro de cuyo objeto social se concreta el relativo a que desarrolla, entre otras, la actividad de asesoría y de apoyo comercial y técnico para la captación de clientes tanto presencial como telefónicamente de Residencial y Pyme y Renovación de clientes (Pyme).” DÉCIMO. - Consta en el expediente contrato de encargo del tratamiento de datos suscrito el 1 de mayo de 2022 entre Naturgy Iberia, S.A. y Soluciones Empresariales Integrales 2022, S.L.. En tal contrato se indica: “I.- Que, con fecha 01 de mayo , las Partes han suscrito un Contrato de prestación de servicios (en adelante, “Contrato de Servicios”) en virtud del cual el ENCARGADO DEL TRATAMIENTO, en los términos establecidos en el mismo, asesorará en materia de energía a usuarios finales residenciales y PYMES, y prestará apoyo comercial y técnico para la captación de nuevos clientes (Residencial y Pyme) y renovación de clientes (Pyme) a los que ofrecer los productos y servicios comercializados por NATURGY, tanto presencial como telefónicamente (en adelante, los Servicios). (…) 5. OBLIGACIONES DEL RESPONSABLE DEL TRATAMIENTO Corresponden al RESPONSABLE DEL TRATAMIENTO las siguientes obligaciones:

1. a)Cumplir con el RGPD, la LOPD, así como con cualquier otra normativa en materia de protección de datos que, en cada momento, resulte de aplicación al Tratamiento de Datos objeto del Contrato.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/35 DECIMOPRIMERO. - Consta en el expediente comunicación remitida por Naturgy a Soluciones Empresariales Integrales 2022, S.L., el 15 de mayo de 2023, con el nombre de asunto “Comunicación de resolución anticipada del contrato de Colaboración por incumplimiento de la Empresa Colaboradora” y el siguiente contenido: Contactamos con Uds. con ocasión del Contrato de Colaboración suscrito entre Naturgy Iberia, S.A. (“NATURGY”) y SOLUCIONES EMPRESARIALES INTEGRALES 2022, SL (el “COLABORADOR”) firmado por Ustedes el 29 de septiembre de 2022 y que fue prorrogado por ambas partes en fecha 24 de febrero de 2023 (el “Contrato”). “El motivo del presente es comunicarles la decisión irrevocable de esta parte de terminar el Contrato con carácter inmediato de conformidad con lo previsto en Cláusula DECIMOTERCERA apartado (iii) del mismo con motivo de los incumplimientos llevados a cabo por el COLABORADOR y que se detallan más adelante. Así, se hace constar que NATURGY ha tenido constancia de que el COLABORADOR ha incumplido de forma reiterada, entre otras, las obligaciones detalladas en cláusula SÉPTIMA.3 (“Metodología de trabajo para la comercialización”), cláusula SÉPTIMA.6 (“Derechos de Propiedad Industrial”), Anexo IV (Mercado Residencial) del Contrato y Código de Buenas Prácticas Comerciales Anexo al mismo y que se mencionan en la columna “Incumplimiento” en relación con los clientes a que hacen referencia las reclamaciones de la columna “Reclamación”: Reclamación R2-29684898341 Incumplimiento: Irregularidades en la contratación. Ausencia de evidencias del consentimiento del cliente a la contratación o irregularidades en las mismas. Reclamación EXP202304821 Incumplimiento: Irregularidades en la contratación. Ausencia de evidencias del consentimiento del cliente a la contratación o irregularidades en las mismas. (…) Por último, les requerimos para que en el plazo de quince días nos hagan entrega de todas las locuciones telefónicas de verificación de la contratación de los productos y servicios de Naturgy realizadas con la intervención del COLABORADOR durante la vigencia del Contrato. Las mencionadas locuciones deberán remitirse a Naturgy en formato mp3 a través de Tranxfer con acuse de recibo y un mes de fecha de expiración al gestor asignado a su cuenta y al Delegado de la zona y de manera tal que se puedan relacionar inequívocamente con el cliente al que hacen referencia. De igual modo si existiera algún contrato en papel que no haya sido enviado aún para su custodia se enviara por correo certificado al gestor asignado. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/35 DECIMOSEGUNDO. - Consta en el expediente correo electrónico remitido por la Oficina de Garantía del Servicio al Cliente de Naturgy al reclamante el 21 de febrero de 2024, con el nombre de asunto “R2-30949904132 R2-31357887577” y el siguiente contenido: “Como le indicábamos en nuestro escrito del pasado 13 de noviembre de 2023, desde NATURGY lamentamos sinceramente la situación ocurrida con su contrato y estamos dispuestos a abonarle todos los daños y perjuicios que se le hubiesen podido causar y nos pueda acreditar documentalmente. Por este motivo, en fecha 20 de enero de 2023 anulamos el importe total de ***CANTIDAD.1 correspondiente a las facturas que desde Naturgy le habíamos emitido por el suministro de gas y electricidad en su domicilio y que Ud. nos había devuelto. (…)”>>. TERCERO: La parte recurrente ha presentado en fecha 18 de octubre de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, como fundamento del recurso la recurrente, en síntesis, manifiesta: “PRIMERA. RESUMEN DE LOS HECHOS El presente expediente sancionador deriva de la reclamación presentada por el Reclamante en la que manifestaba que mi mandante procedió a realizarle un cambio de su compañía comercializadora del suministro gasista y de electricidad sin su autorización... NATURGY dio respuesta a la AEPD (‘‘Respuesta al requerimiento de información’’) informando de que, tras una investigación sobre lo sucedido, se había concluido que las contrataciones objeto de reclamación habían sido realizadas y gestionadas por parte de un agente de ventas de la empresa subcontratada, SOLUCIONES EMPRESARIALES INTEGRALES 2022, S.L. Tal y como fue expuesto a la AEPD en la Respuesta al requerimiento de información, NATURGY, tras la investigación llevada a cabo por su parte, requirió a la entidad SOLUCIONES EMPRESARIALES INTEGRALES 2022, S.L.(‘‘SEI’’) para que aportara la grabación de la llamada de contratación de los servicios objeto de la presente reclamación, sin que hasta la fecha SEI haya hecho entrega de la misma... El 31 de mayo de 2023, la Directora de la Agencia Española de Protección de datos dictó resolución acordando el archivo de la reclamación presentada por el Reclamante... A pesar de que inicialmente la AEPD había archivado la reclamación del Reclamante, ahora la AEPD entiende que dicha supuesta infracción supone la comisión de la infracción del artículo 6.1. tipificada en el artículo 83.5.
2. a)del RGPD y propone una sanción de 100.000 euros… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/35 SEGUNDA. AUSENCIA DE RESPONSABILIDAD Y DE CULPABILIDAD DE MI MANDANTE A continuación, se reiteran los motivos por los cuales no se dan los elementos del tipo sancionador indicados en la Resolución, así como los motivos por los que NATURGY no ha cometido los hechos que se le imputan en la misma: 1) No es cierto que NATURGY haya reconocido la existencia de una actuación incorrecta por su parte en la gestión de los datos de el Reclamante... Tal y como NATURGY expuso en la Respuesta al requerimiento de información, tras una investigación, se concluyó que la contratación objeto de la reclamación fue realizada por la empresa colaboradora SEI. En ese momento, NATURGY requirió a SEI para que aportara la grabación de la llamada de contratación de los servicios objeto de la presente reclamación, sin que hasta la fecha SEI haya hecho entrega de la misma... 2) La actuación de SEI es absolutamente contraria al Código de Conducta y al Código de Buenas Prácticas Comerciales de NATURGY, así como a las instrucciones que NATURGY traslada y exige a sus empresas colaboradoras... Por tanto, en el caso que nos ocupa, SEI incumplió todas y cada una de las obligaciones referenciadas en dicha cláusula. (
3. ii)Cláusula 7.4, relativa a la concreta metodología aplicable a la venta telefónica: en la que se establece que SEI únicamente puede utilizar bases de datos en las que los datos hayan sido recabados de forma lícita, lo cual también fue incumplido por SEI. Contrato de encargo del tratamiento suscrito entre NATURGY Y SEI en fecha de 1 de enero de 2022 en el que se establecían los términos y condiciones en los que SEI (como encargado del tratamiento) debía tratar los datos personales por cuenta de NATURGY (como responsable del tratamiento)-anexo al contrato de prestación de servicios mencionado... Por tanto, en el caso que nos ocupa, SEI incumplió las obligaciones referenciadas en dicho contrato y NATURGY no tuvo forma de descubrirlo hasta que recibió el Requerimiento de información. En conclusión, SEI no únicamente no siguió las instrucciones de NATURGY, sino que se apartó por completo de ellas, constituyendo su conducta un absoluto fraude contra NATURGY, quien resulta un perjudicado más en la medida en que SEI solamente perseguía la indebida obtención de una comisión por venta de producto por una contratación que se ha demostrado que se llevó a cabo mediante prácticas irregulares por parte de sus agentes y que, lejos de reportar beneficio económico alguno a NATURGY, causó un perjuicio económico al Reclamante que NATURGY tuvo que subsanar. 3) NATURGY aplicó medidas contundentes tan pronto como tuvo conocimiento de los hechos con el objetivo de perseguir y sancionar este tipo de conductas... C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/35 4) La propia AEPD decidió archivar la reclamación del Reclamante tras la Respuesta de NATURGY al Requerimiento de información... En dicha Respuesta al requerimiento de información NATURGY detalló el funcionamiento del proceso de contratación consistente en que, por medio de una herramienta el cliente manifiesta su intención de contratar un producto, se le envía un SMS, que contiene un enlace a una web en la que es mostrada al cliente la información de los productos ofrecidos y condiciones contractuales, y donde debe pulsar un ‘‘botón’’ para dar su consentimiento para la contratación y el adeudo SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su voluntad de contratar, así como la IP desde la que se realiza. Tal y como se manifestó en dicha respuesta, todo el proceso de contratación, desde el envío del SMS, contenido del mismo, acceso a la web enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la contratación, certificado por una Tercera Parte de Confianza, la entidad Aviva Voice Systems & Services, S.L., con CIF B-84216142 y domicilio en la Calle Golfo de Salónica, 27-5B, 28033, Madrid. Asimismo, SEI -en virtud del contrato suscrito con NATURGY- tenía la obligación de grabar la llamada de contratación de los productos e introducirla en el repositorio de contratación de NATURGY. Tras analizar la descripción de los hechos y la Respuesta al requerimiento de información remitida por parte de NATURGY, la AEPD archivó la reclamación del Reclamante. No obstante, sorprende que 9 meses más tarde la AEPD incoe el presente expediente sancionador imputando la infracción del artículo 6.1. del RGPD, sin explicar cuál ha sido el cambio de criterio para valorar de forma diferente unos hechos que ya fueron valorados y respecto de los cuales no se ha producido alteración alguna ni se ha conocido con posterioridad información alguna que los altere o pueda modificar su calificación desde el punto de vista de la normativa de protección de datos. Dichos extremos no se motivaron ni en el Acuerdo de Inicio ni en la Propuesta de Resolución y siguen sin motivarse en la Resolución, aspecto que indiscutiblemente produce indefensión a mi mandante, tal y como ya se manifestaba en las alegaciones presentadas a lo largo del presente expediente sancionador. Es más, en la Resolución se manifiesta que el Reclamante, a través de la interposición del recurso de reposición aportó nuevos hechos, motivo por el cual la AEPD cambió de criterio. No obstante, en el recurso de reposición del Reclamante éste únicamente reiteraba sus pretensiones y reclamaba unas indemnizaciones económicas que escapan de la competencia de la AEPD. Por tanto, esto no puede alterar en modo alguno la calificación de los hechos desde el punto de vista de la normativa de protección de datos... Por tanto, la normativa y doctrina administrativa no permite a la Administración contradecir sus propias decisiones sin una justificación adecuada y mucho menos, sancionar por los mismos hechos que ya fueron evaluados, calificados como no infractores y archivados en consecuencia... C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/35 5) La AEPD no notificó en ningún momento a NATURGY la resolución estimatoria del recurso de reposición presentado por el Reclamante... La falta de notificación de dicha resolución a NATURGY produce una clara indefensión y una vulneración del derecho de defensa y derecho de acceso a la jurisdicción a mi mandante (ex artículo 24.2 de la Constitución Española), por cuanto esta resolución podría haber sido recurrida por NATURGY interponiendo recurso contencioso administrativo ante la sala de lo Contencioso-administrativo de la Audiencia Nacional. Asimismo, dicha actuación por parte de la Agencia vulnera el derecho a un procedimiento con garantías según lo estipulado por el artículo 53 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas (‘’Ley 39/2015’’), causado por la omisión de notificación por lo que impide ejercitar el derecho a la defensa y recurrir en vía contencioso-administrativa... En el caso que nos ocupa, es indiscutible que la falta de notificación a NATURGY de la resolución estimatoria del recurso de reposición del Reclamante produce indefensión material, en la medida en la que NATURGY, de haber sido notificado, podría haber recurrido dicha resolución en vía contencioso-administrativa frente a la Audiencia Nacional, previamente a la apertura del presente expediente sancionador, lo cual resulta un perjuicio real y efectivo que no corresponde al principio de buena fe que debe regir en la actuación de la Administración... 6) Las contrataciones irregulares llevadas a cabo por SEI en contra de las instrucciones de NATURGY no le permiten ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY, actuaron, por tanto, como responsable del tratamiento... Por tanto, es indiscutible que si un encargado trata datos personales infringiendo la normativa de protección de datos o bien actuando al margen de las instrucciones del responsable del tratamiento -tal y como hizo SEI- éste deja de tener la consideración de encargado del tratamiento pues está actuando de facto como responsable del tratamiento. Así, resulta evidente que SEI trató de forma ilícita los datos personales de el Reclamante como responsable del tratamiento, pues no solo estaba actuando al margen de las instrucciones documentadas de NATURGY, sino incumpliéndolas deliberadamente con el único objetivo de cometer un fraude contra NATURGY. En ningún momento NATURGY puede ser considerado como responsable del tratamiento con respecto a dicho tratamiento realizado por SEI, quien se ha apartado por completo de las instrucciones emitidas por NATURGY tal y como se ha detallado en la alegación segunda... Por último, - a pesar de lo ya alegado por NATURGY en las alegaciones a la Propuesta de Resolución-, en la Resolución se referencian las siguientes Sentencias del Tribunal de Justicia de la Unión Europea: • De 5 de diciembre de 2023, dictada en el asunto C-683/21, referenciándose los puntos 83 y 84: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/35 Pues bien, el punto 83 no es más que un recordatorio del concepto de encargado del tratamiento definido en la normativa de protección de datos y que coincide con la argumentación defendida por NATURGY en sus alegaciones y que no está siendo aplicada en la presente Resolución. Con relación al punto 84, éste se limita exclusivamente a reconocer la posibilidad de que un responsable sea sancionado por la actuación de un encargado de tratamiento aspecto que no ha sido discutido por NATURGY en el presente expediente sancionador-… • De 5 de diciembre de 2023, dictada en el asunto C-807/21, referenciándose los puntos 24 y 44: (…) En el presente expediente sancionador es indiscutible que el comportamiento indeseable ha sido realizado por la empresa SEI mediante sus propios empleados. En este sentido, debe tenerse en cuenta que, tal y como se estableció en la cláusula duodécima del Contrato de prestación de servicios suscrito entre NATURGY y SEI: <<del presente Contrato no se deriva entre las partes la generación de vínculo societario, ni de Asociación, agencia, sucursal o representación. Cada parte reconoce que son independientes sus derechos, responsabilidades y obligaciones, legales o contractuales, en que pudieran incurrir>>... En conclusión, no cabe sancionar a NATURGY por un tratamiento que SEI ha realizado como responsable del tratamiento independiente. Más aún cuando el artículo 82.2 del RGPD prevé que el encargado del tratamiento responda de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD dirigidas específicamente a los encargados o hay actuado al margen o en contra de las instrucciones legales del responsable, tal y como ha ocurrido en el caso que nos ocupa. Adicionalmente, no se han cumplido los requisitos del procedimiento administrativo común por cuanto se está contraviniendo la doctrina de actos propios, así como no se notificó a NATURGY, en tanto que parte interesada, la estimación del recurso de reposición presentado por el Reclamante contra la Resolución de archivo de la reclamación contra mi mandante”. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/35 II Fundamentos de la resolución recurrida En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II al V, de la Resolución recurrida, tal como se transcribe a continuación: <<II Contestación a las alegaciones presentadas En relación con las alegaciones de la parte reclamada que manifiesta: <<Las contrataciones irregulares llevadas a cabo por SEI en contra de las instrucciones de NATURGY no le permite ser considerado como un encargado del tratamiento en el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de NATURGY –tal y como éstos han reconocido- actuaron, por tanto, como responsable del tratamiento: Teniendo en cuenta que el artículo 4.8 del RGPD define la figura del encargado del tratamiento como aquella persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento, tal y como se expondrá a continuación, SEI no actuó como encargado del tratamiento en las contrataciones objeto de la presente reclamación. En otras palabras, <> significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado>>. Así se establece precisamente en el artículo 28.10 del RGPD en el que se prevé que si un encargado del tratamiento infringe el RGPD al determinar los fines y medios del tratamiento, será considerado como responsable del tratamiento con respecto a dicho tratamiento>>. Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7 de julio de 2021, detallan lo siguiente: “Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su contenido esencial, el contrato debe servir para que el responsable y el encargado aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGPD, sino que debe incluir una información más específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de seguridad que se precisará para el tratamiento de los datos personales objeto del contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento.” Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/35 práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado” Sobre los «Los fines y medios» las citadas directrices recogen las siguientes consideraciones: “(…) Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo» (…) La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios del tratamiento, tal como se describe más adelante. En consecuencia, no puede limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que un ente se considere responsable del tratamiento y en qué medida puede el encargado del tratamiento tomar decisiones propias. (…)” Pues bien, la parte reclamada añade que la empresa colaboradora no siguió sus instrucciones, sino que se apartó por completo de ellas. Sin embargo, la parte reclamada no solamente debe dar instrucciones a SEI, tal como manifiesta, sino está obligada a supervisar su actuación, es decir debe establecer controles de cumplimiento para garantizar que se cumplan y así detectar cualquier actividad ilegal o inadecuada por parte del encargado del tratamiento cosa que no hizo la reclamada. A mayor abundamiento, se hace necesario acudir a la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, dictada en el asunto C683/21 (Nacionalinis visiomenès sveikatos centras), la cual indica: “83 Por lo que respecta, en segundo lugar, a la cuestión de si puede imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento en relación con las operaciones de tratamiento efectuadas por un encargado, es preciso recordar que, según la definición que figura en el artículo 4, punto 8. del RGPD, se entiende por encargado del tratamiento <<la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuanta del responsable del tratamiento>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/35 84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe el mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en las que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que se ha recurrido, quien ha efectuado el tratamiento por cuenta suya” Así como citar la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 20223, dictada en el asunto C-807/21 (Deutsche Wohnen), que indica “24 En efecto, según el mencionado órgano jurisdiccional, esta jurisprudencia, al igual que la mayoría de la doctrina nacional, concede especial importancia al concepto de <<empresa>>, en el sentido de los artículos 101 TFUE y 102 TFUE y, por tanto, a la idea de que la responsabilidad se imputa a la entidad económica en la que se ha adoptado el comportamiento indeseable, por ejemplo, un comportamiento contrario a la competencia. A su entender, conforme a esta concepción <<funcional>>, todos los actos de todos los empleados autorizados a actuar en nombre de una empresa son imputables a la empresa también en el marco de un procedimiento administrativo. 44 Por lo que respecta a las personas jurídicas, esto implica, por una parte, como ha señalado, en esencia, el Abogado General en los puntos 57 a 59 de sus conclusiones, que estas son responsables no solo de las infracciones cometidas por sus representantes, directores o gestores, sino también por cualquier otra persona que actúe en el ámbito de la actividad empresarial de esas personas jurídicas y en su nombre. Por otra parte, las multas administrativas previstas en el artículo 83 del RGPD en caso de que se produzcan tales infracciones deben poner imponerse directamente a personas jurídicas cuanto estas pueden ser calificadas de responsables del tratamiento en cuestión” Por tanto a la vista de lo expuesto, el responsable de un tratamiento de datos de carácter personal puede responder por las actuaciones negligentes de los empleados de su encargado del tratamiento. Naturgy ha señalado en sus alegaciones que esta conclusión se aparta de otros pronunciamientos de esta AEPD. Sin embargo, lo alega invocando un precedente en el que se sanciona a la entidad responsable del tratamiento, y no al encargado, en base a fundamentos de derecho similares a los valorados en este acto. Así, en ese precedente se indica: “El art. 33.2 de la LOPDGDD indica que se consideran responsables y no encargados los que “en su propio nombre y sin que consten que actúen por cuenta de otro establezca relaciones con los afectados”; lo que, interpretado en sentido contrario, supone que es encargado quien en nombre del responsable establece relaciones con los afectados. Ello es independientemente de si para ello es preciso acceder a datos por cuenta de terceros. El encargado, para serlo, no ostenta ningún interés propio respecto del resultado del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/35 tratamiento objeto de encargo, sin perjuicio de la compensación económica que recibe por el servicio prestado y que es lo que acontece en el supuesto examinado. Los encargados no tienen ningún interés propio, actúan por cuenta y en nombre del responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo que determina que sean encargados desde el principio”. “La existencia de encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar ella misma determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. La esencia de la función de «encargado del tratamiento» es que los datos personales sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica, es el responsable el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene una función de prestar servicios a los Responsables del Tratamiento. En otras palabras, “actuando en nombre y por cuenta del responsable del tratamiento” significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado”. “Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por cuenta del responsable del tratamiento pertenece la esfera de actuación de éste último, de igual forma que si lo realizara directamente él mismo. El encargado de tratamiento, en el supuesto examinado, es una extension del responsable del tratamiento. El responsable del tratamiento tiene la obligación de integrar y desplegar la protección de datos dentro de todo lo que constutiya su organización, en todos sus ámbitos. Se debe de tener muy presente que en última instancia la finalidad determinante es la de garantizar la protección del interesado. Interpretarlo en sentido contrario -las obligaciones que el artículo 28 del RGPD impone al responsable del tratamiento se limitan a verificar las capacidades del encargado ab initio y a suscribir el contrato de encargado del tratamiento- no sólo contravendrían la legalidad vigente constituyendo una actuación claramente fraudulenta, sino que violaría el espíritu y finalidad del RGPD”. “…los encargados podrán ser considerados responsables cuando hayan actuado al margen del mandato otorgado por el responsable del tratamiento, o no hayan cumplido sus propias obligaciones contractuales o con arreglo al RGPD. En estos casos, el encargado del tratamiento puede ser considerado total o parcialmente responsable de la “parte” de la operación de tratamiento en la que participa. Solo será el encargado plenamente responsable cuando sea enteramente responsable de los perjuicios ocasionados en cuanto a los derechos y libertades de los interesados afectados ; todo ello, sin eludir la responsabilidad en la que el responsable del tratamiento haya incurrido a fin de evitarlos”. A fin de contestar a la alegación por haberse producido un cambio de criterio sin la suficiente motivación basta con hacer una remisión a los Antecedentes, en los que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/35 ha abordado esta cuestión, hay que señalar que el reclamante interpuso recurso de reposición ante la resolución de esta Agencia de archivo de la reclamación aportando nueva documentación junto con el recurso escritos que fueron remitidos por la parte reclamada al reclamante el 11 y el 13 de enero de 2023 reclamando el pago de una deuda. En contra de lo señalado por Naturgy, la estimación de dicho recurso de reposición interpuesto por la parte reclamante, que da lugar a la admisión a trámite de la reclamación formulada, no vulnera la doctrina de los actos propios. Y, por otra parte con fecha 31 de octubre de 2023 se notificó el recurso interpuesto a la parte reclamada, lo que se ha verificado mediante escrito de respuesta de fecha 13 de noviembre de 2023, y con fecha 23 de noviembre de 2023 se estimó el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 31 de mayo de 2023, por la que se acordaba el archivo de la reclamación, indicando en el mismo: “Se observa en el presente caso que la entidad encargada de la contratación, actuando en nombre de la parte reclamada, realizó una conducta fraudulenta, lo que queda plenamente reconocido por la parte reclamada, ocasionando un perjuicio al cliente. El sistema de contratación permite que entidades ajenas a la parte reclamada, sobre cuya actuación niega toda responsabilidad, realicen contratos en su nombre. Destaca además el hecho de que, pese a que la parte reclamada insiste en que se establecen medidas adecuadas en el cumplimiento de estos contratos y que se trata de una actuación con mala fe de la entidad concreta que participó en la contratación, existe precedente de contrataciones fraudulentas, realizadas en términos semejantes, en otros expedientes de esta Agencia, todas realizadas en nombre de NATURGY IBERIA, S.A. por otras entidades contratadas distinta de la señalada en el presente procedimiento. Por tanto, en el presente caso procede la estimación del recurso interpuesto”. Respecto a la existencia de indefensión para que pueda apreciarse no resulta suficiente con que se haya producido una infracción formal sino que ha de haberse producido una indefensión de carácter material, en palabras del TC, STC 290/1993, fundamento jurídico 4 “Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/35 meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso pues, en fecha 27 de octubre de 2023, se remitió el recurso interpuesto a Naturgy Iberia, S.A., y con fecha 31 del mismo mes y año accedió la parte reclamada al contenido del mismo en el marco de lo establecido en el artículo 118.1 de la LPACAP, a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, además la parte reclamada ha podido alegar en el procedimiento sancionador todo cuanto a su derecho ha estimado conveniente, por lo que ninguna indefensión material se ha producido. Cabe señalar, asimismo, que la resolución estimatoria del recurso de reposición, por la que se admite a trámite la reclamación que motiva las presentes actuaciones, fue notificada a la parte reclamante conforme a lo dispuesto en el artículo 65.5 de la LOPDGDD, según el cual “La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante…”. III Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
10. f)del párrafo primero no será de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/35 aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que Naturgy Iberia realiza, entre otros tratamientos, la recogida y conservación de los siguientes datos personales de personas físicas, tales como: nombre y apellido, documento de identidad, domicilio, número de teléfono, datos bancarios, datos de suministro, entre otros tratamientos. Naturgy Iberia realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Pues bien, ha quedado constatado, que la parte reclamada activó los contratos de gas y electricidad y los servicios de mantenimiento y se emitieron facturas y requerimientos de pago respectivos. Por otro lado, la documentación que obra en el expediente evidencia que la reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello. Los datos personales de la reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento efectuado. Los datos personales de la parte reclamante fueron registrados en los ficheros de la reclamada y fueron tratados para la emisión de facturas por servicios asociados a la parte reclamante. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Resultaba por ello esencial que la reclamada acreditara ante esta Agencia que el reclamante había contratado con ella los suministros de gas y electricidad; que al tiempo de la contratación había desplegado la diligencia que las circunstancias del caso exigían para asegurarse de que la persona que tramitó la baja de los contratos de gas y electricidad, dando de alta los nuevos con el reclamante era efectivamente su titular. Pues bien, es preciso señalar en primer lugar que, en respuesta de fecha 19 de mayo de 2023 a la actuación de traslado, enviada a Naturgy, esta manifestó que: 1) “Que la contratación se realizó por medio de una herramienta en la que, durante el proceso de contratación, si el cliente manifiesta su intención de contratar un producto, se le envía un SMS, que contiene un enlace a una web en la que es mostrada al cliente la información de los productos ofrecidos y condiciones contractuales, y donde debe pulsar en un “botón” para dar su consentimiento para la contratación y el adeudo SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su voluntad de contratar, así como la IP desde la que se realiza. Todo el proceso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/35 contratación, desde el envío del SMS, contenido del mismo, acceso a la web enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la contratación, es certificado por una Tercera Parte de Confianza, la entidad Aviva Voice Systems & Services, S.L. Así, tal y como se recoge en la primera página de la certificación expedida por Aviva para la contratación de los Servicios Objeto de la Reclamación, el día 26 de octubre de 2022, a las 13:31h. se remitió un SMS al número de teléfono móvil ***TELÉFONO.1. Dicho SMS contenía un enlace a la web en la que se mostraba la información de los productos ofertados, así como las condiciones de contratación, y se solicitaba el consentimiento para contratar. A continuación, siendo las 13:31h., se accedió a la citada web, y desde la dirección IP ***IP.1 se pulsó en el botón “Contratar” contenido en dicha página web, mediante el que se confirma la voluntad de contratar”. 2) Naturgy indica que a raíz de la primera reclamación formulada por el reclamante en fecha 1 de diciembre de 2022, Naturgy inició una investigación pormenorizada de lo ocurrido, con el resultado de que esta contratación fue gestionada por la empresa Soluciones Empresariales Integrales 2022 S.L. (en adelante, SEI), en calidad de encargado del tratamiento. También indica Naturgy que ha verificado que el encargado del tratamiento no había registrado en sus sistemas la grabación de la llamada de contratación de los servicios objeto de la reclamación, por lo que Naturgy ha requerido al encargado del tratamiento que aporte dicha grabación, sin que hasta la fecha haya sido entregada por SEI. 3) Que la contratación realizada, a través de SEI revistió un carácter fraudulento, pues "solamente perseguiría la obtención ilícita de una comisión por la consecución de nuevas contrataciones." 4) Considera que la conducta de SEI "no ha obedecido, directa o indirectamente, a ninguna instrucción o mandato de Naturgy, y se habría realizado en clara contravención de las instrucciones y buenas prácticas que Naturgy exige a sus empresas colaboradoras y, además de un grave incumplimiento de las obligaciones contractuales, constituiría un fraude contra Naturgy". 5) Que se han adoptado una serie de medidas contra SEI, resolviendo de forma inmediata el contrato que tenía suscrito con esa entidad. Por tanto, Naturgy, ha reconocido la existencia de una actuación incorrecta en la gestión de los datos de la parte reclamante, tal como señala la contratación realizada, a través de un encargado de tratamiento revistió un carácter fraudulento. No se comprobó el número de teléfono a quien se envió el SMS para la confirmación de la contratación. Además, consta en el expediente que la parte reclamante advirtió a Naturgy, mediante correo electrónico de fecha 01/12/2022, que no había solicitado el alta de los suministros a los que se refiere la reclamación ni suscrito contrato alguno con dicha entidad, los cuales fueron dados de baja por un cambio de comercializadora realizado por la propia parte reclamante, que activó dichos suministros nuevamente con su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/35 comercializadora anterior, y no en atención a esa reclamación, como parece señalar la parte reclamada. Asimismo, consta que, a pesar de la reclamación formulada por la parte reclamante ante Naturgy, esta entidad emitió facturas y requerimientos de pago con posterioridad, y que anuló los cargos emitidos en febrero de 2024, una vez la reclamación que ha motivado las actuaciones fue admitida a trámite por la AEPD. A la vista de lo anterior, la parte reclamada no logra acreditar que se actuara diligentemente y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En este sentido el Considerando 40 del RGPD señala: “