REPOSICION-PS-00680-2022

1/27  Expediente Nº.: EXP202213285 (RR/00753/2023) RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por la entidad HOLALUZ-CLIDOM, S.A., con CIF: A65445033 (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 15/09/23, y en base a los siguientes: HECHOS PRIMERO: Con fecha 15/09/23, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202213285 (PS/0680/2022), en virtud de la cual se imponía a la entidad HOLALUZ-CLIDOM, S.A., con CIF: A65445033 (en lo sucesivo la parte recurrente, la parte reclamada o CLIDOM), una multa de 100.000 euros (cien mil euros), por la vulneración de lo dispuesto en el artículo 25 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD); infracción tipificada en el artículo 83.4.

1. a)del mismo Reglamento y calificada como grave a efectos de prescripción en el artículo 73.
2. d)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDPGDD). En la misma resolución se acordó requerir a la entidad CLIDOM la adopción, en el plazo de seis meses, de las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VI de dicha resolución; que debe acreditar ante esta Agencia. Dicha resolución, que fue notificada a la parte recurrente en fecha 19/09/23, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento EXP202213285 (PS/0680/2022), quedó constancia de los siguientes: sancionador, “Primero: Consta acreditado la existencia de un contrato de arrendamiento entre la reclamante y la Inmobiliaria ENFOKA de fecha 24/05/21. En dicho contrato y dentro de las obligaciones contractuales de la arrendataria (la reclamante), se encuentra el pago del consumo de luz. La reclamante tiene contratado este servicio con la comercializadora Iberdrola. Segundo: En su escrito de reclamación, la reclamante manifiesta que el día 07/04/22 comprobó que en su cuenta corriente había un cargo de XXX,XX euros de otra comercializadora de luz, de “HOLALUZ”, con la que ella no tenía ninguna relación contractual, por lo que se puso en contacto con esta comercializadora para conocer lo que había ocurrido, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 De las conversaciones mantenidas con los operadores de HOLALUZ, pudo saber que el contrato de luz había sido cambiado de compañía con fecha 24/02/22 y que dicho contrato había sido firmado por una tercera persona ajena, dándose el hecho de que era trabajadora de la inmobiliaria ENFOKA: A.A.A. NIF: ***NIF.1. Notar que la inmobiliaria ENFOKA es una subcontrata de la entidad QLIP, que a su vez tiene un contrato de servicio con la compañía de luz HOLALUZ, y cuya misión es captar nuevos clientes para la compañía eléctrica. Tercero: Según manifiesta la Inmobiliaria ENFOKA ante esta Agencia, se instó a la arrendataria (la reclamante) en numeras ocasiones para que modificase la titularidad del suministro eléctrico, pues se estaba realizando un cambio masivo de compañía, de los contratos de luz de todas las viviendas gestionadas por ellos. Al no tener contestación de la inquilina (la reclamante), en el mes de febrero/22 se la envió un e-mail informándola de que se procedería a cambiar de compañía eléctrica el suministro de la vivienda que tenía alquilada, comunicando sus datos personales a la empresa Runup Business, S.L. (QLIP), empresa del canal comercial de HOLALUZ-CLIDOM. Cuarto: Según manifiesta CLIDOM ante esta Agencia, el subencargado de QLIP, la inmobiliaria ENFOKA, actuó en contra de las instrucciones de CLIDOM, en cuanto a la obligación de recabar el consentimiento de los interesados ya que ésta suplantó la identidad de la afectada y, además, firmó un consentimiento no válido sin que pudiera cumplir con los principios de transparencia, libertad y consentimiento expreso y por ende, QLIP es plenamente responsable de las actuaciones negligentes de su proveedor. Quinto: Respecto de las medidas técnicas y organizativas implantadas en la entidad CLIDOM, para comprobar la recogida del consentimiento válido de los datos personales de los interesados, manifiesta que el sistema que dispone se basa en la revisión de un determinado porcentaje significativo de altas de usuarios finales, especialmente cuando éstos proceden de canales indirectos a CLIDOM, como es el caso. Si bien por razones de volumetría, no se realiza el control a la totalidad de las solicitudes de alta recibidas. No obstante, no se presenta ningún informe o certificado donde se detalle el porcentaje de llamadas realizadas para las comprobaciones indicadas”. TERCERO: Con fecha 19/10/23, dentro del plazo establecido, se ha interpuesto recurso de reposición por CLIDOM contra la resolución reseñada en el Antecedente Primero, de fecha 15/09/23, en el que pone de manifiesto las mismas circunstancias y alegaciones recogidas las alegaciones formuladas durante la tramitación del procedimiento que dio lugar a la resolución impugnada y solicita que se acuerde su archivo. De lo expuesto en el recurso planteado cabe destacar las manifestaciones siguientes: Previa.- En primer lugar, queremos hacer constar la cronología del presente procedimiento que se ha llevado a cabo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 Que en fecha 12 de julio de 2022 se notificó a CLIDOM el traslado de reclamación y solicitud de información del Expediente EXP202207418. Dicha notificación se refiere a la reclamación presentada por Dª B.B.B. Que, en fecha 9 de agosto de 2022 CLIDOM envía a esta Agencia escrito de contestación a la solicitud realizada. Que, a continuación, en fecha 26 de enero de 2023, recibió la notificación de Acuerdo de inicio de procedimiento sancionador. Seguidamente, tras solicitar la ampliación del plazo para presentar alegaciones, CLIDOM, con fecha 15 de febrero de 2023, presenta escrito de alegaciones a la incoación del expediente. Con fecha 6 de abril de 2023, se notifica la propuesta de resolución en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se procediera al ARCHIVO del presente procedimiento sancionador a la entidad CLIDOM con arreglo a lo dispuesto en los artículos 63.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), pues, según se desprende de la relación contractual que existe entre CLIDOM y QLIP, se incluía, como obligación contractual de QLIP, en calidad de encargado de tratamiento, la responsabilidad proactiva de recoger el consentimiento de los interesados de conformidad con las exigencias del citado RGPD, incumpliendo el contrato de encargo firmado con CLIDOM. Concretamente la Propuesta de Resolución establecía: “Por tanto, de conformidad con las evidencias de las que se dispone, tras el análisis realizado sobre los documentos aportados por la entidad reclamada, se puede constatar que no existen evidencia de la vulneración del RGPD por parte de esta entidad”. Que mi representada no presentó alegaciones a la mencionada Propuesta dado que se encontraba de acuerdo con la misma. Seguidamente, con fecha 10 de julio de 2023, tres meses después de la notificación de ARCHIVO, y sin existir ningún hecho o prueba nueva ni alegaciones por las partes implicadas en el procedimiento, la Administración actuante notifica de oficio a mi representada la concesión de un plazo de quince días para alegar cuanto considere en su defensa por la presunta infracción del artículo 25 del RGPD, al considerar, en este caso que, cuando se realizó el cambio de contratación del servicio a nombre de la inquilina, CLIDOM, no realizó las comprobaciones necesarias para corroborar si la reclamante había consentido en realizar el cambio de compañía eléctrica, sobre todo después de que el contrato de cambio de compañía viniese firmado por otra persona ajena a la inquilina, sin justificar representación alguna y dándose el hecho significativo de que esta persona pertenecía a la inmobiliaria ENFOKA, subcontrata de la entidad QLIP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27 Que, mi representada procede a presentar escrito de alegaciones en fecha 2 de agosto de 2023 tendente en la misma línea al cual se presentó el 15 de febrero de 2023 y por el cual se archivó dicho procedimiento. Finalmente, en fecha 19/09/23 se notifica la Resolución del Procedimiento Sancionador cuya resolución establece la imposición de una sanción de 100.000 euros (cien mil euros) por la infracción del artículo 25 del RGPD, tipificada en el artículo 83.4.
3. a)del RGPD. Asimismo, también ordena la implantación, en el plazo de seis meses, las medidas técnicas y organizativas adecuadas para que se verifique el consentimiento presuntamente dado por los nuevos clientes de la compañía y/o la veracidad de los presuntos representantes de los mismos. Primera.- La Resolución establece, como supuesta infracción, la posible vulneración del artículo 25 del RGPD en base a que CLIDOM realizara un tratamiento de los datos personales de la reclamante sin corroborar previamente la acreditación de la representación de quien le proporcionó los datos, o comprobar, por cualquier medio, que la reclamante consintiera efectivamente, realizar el cambio de compañía eléctrica o que consintiera que se pudiera realizar un tratamiento de sus datos personales para ese fin. El artículo aludido regula la protección de datos desde el diseño y por defecto, es decir que el responsable debe aplicar, tanto en el momento de establecer los medios de tratamiento como en el momento del tratamiento mismo, todas aquellas medidas técnicas y organizativas adecuadas y concebidas para aplicar, de manera efectiva, los principios de protección de datos e integrar, en el tratamiento, las garantías necesarias para cumplir los requerimientos que nos señala el RGPD; además, el responsable debe aplicar las citadas medidas para garantizar que, por defecto, sólo se tratan los datos personales necesarios para cada finalidad específica del tratamiento. Que, en relación a la posible vulneración del principio de protección de datos desde el diseño, si bien es cierto que CLIDOM responde y se identifica con las definiciones referidas al responsable de tratamiento en los artículos 4 y 24.1 del RGPD, lo es ante la relación contractual que existe con Runup Business SL (en adelante, “QLIP”) a los efectos del contrato de servicios firmado con éste en fecha 24 de agosto de 2021 para la realización de servicios de promoción de contratos de suministro de energía eléctrica y captación de potenciales clientes, que consta adjunto en el escrito de alegaciones como Documento número 1. Para el cumplimiento del contrato, se requiere el tratamiento de datos de personas físicas, pues QLIP debe captar potenciales clientes para que éstos se den de alta a los servicios de suministros energéticos de CLIDOM. No obstante lo anterior, es importante incidir que, en el contrato que se firmó entre las dos partes, CLIDOM, como responsable del tratamiento, incluyó, como obligación contractual a QLIP, en calidad de encargado de tratamiento, la responsabilidad proactiva de recoger el consentimiento de los interesados de conformidad con las exigencias del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 En concreto, en la cláusula séptima del contrato, titulado “obligaciones del colaborador” se detalla lo siguiente: “En el ejercicio de su actividad, el Colaborador debe actuar lealmente y de buena fe, velando por los intereses de Holaluz. Así, el Colaborador desarrollará su actividad con arreglo a las prácticas habituales de la industria y usos de comercio, procurando en todo momento que la información y el asesoramiento que suministre a los Clientes Potenciales sea veraz y acorde con las prácticas empresariales de la más alta categoría. Asimismo, Holaluz requiere que el Colaborador, al ser un principal aliado en el desarrollo del negocio, adopte sus conductas conforme con los principios generales del Código Ético. Por ello, mediante la firma del presente Contrato, el Colaborador se adhiere al Código Ético de Holaluz y se compromete a adecuar las pautas de conducta establecidas en el mismo. El incumplimiento del Código Ético se considera muy grave en Holaluz y comportará las consecuencias previstas en el presente Contrato.” [.......] “En especial, deberá asumir las siguientes obligaciones para la prestación del Servicio: (
4. i)Ocuparse con la diligencia de un ordenado empresario en la prestación del Servicio entre los Clientes Potenciales, cumpliendo lo previsto en el presente Contrato y en la normativa aplicable, especialmente la normativa del sector eléctrico y de defensa de los consumidores y usuarios. En primer lugar, el Colaborador se compromete a proporcionar información veraz, clara y transparente sobre Holaluz y su actividad en aras de que el consumidor sea consciente de la empresa con la que contrata y el servicio que le van a ofrecer y en segundo lugar, el Colaborador se abstendrá en todo caso de formalizar altas con Holaluz si el Cliente no ha prestado de forma clara e inequívoca su consentimiento para la contratación del suministro con Holaluz. En el caso de que el cliente sea consumidor no profesional, el Colaborador garantizará que la contratación cumple también la normativa de protección de los Consumidores y Usuarios. Por ello, recae en el Colaborador hacer las comprobaciones pertinentes en relación con la identidad del consumidor y de su voluntad de contratar, para asegurarse de la misma. Paralelamente, Holaluz realizará llamadas de control de forma aleatoria y contactará directamente con el cliente sin necesidad de aviso al Colaborador para verificar que se cumplían dichos requisitos.” Atendiendo a la cláusula anterior, se puede comprobar que CLIDOM obliga a QLIP a cumplir con un seguido de instrucciones y buenas prácticas para que éstos procedan al tratamiento de los datos personales de los potenciales clientes de conformidad con el RGPD. Asimismo, dentro del propio contrato se recogen las obligaciones de QLIP como encargado del tratamiento. Por ello, y para asegurar la diligencia y el buen cumplimiento de las instrucciones impuestas a QLIP, CLIDOM ha establecido medidas de responsabilidad proactiva para la comprobación de la recogida de los consentimientos válidos de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 Segunda.- Que en el artículo 28.4 del RGPD se recoge lo siguiente ante las obligaciones del Encargado del Tratamiento: “Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado.” En concreto, esta última parte del artículo 28.4 RGPD, hace referencia a que el encargado del tratamiento será responsable ante los tratamientos que realicen sus encargados, de conformidad con el cumplimiento de las obligaciones del artículo 28 del RGPD. Esto se traduce que, en caso de incumplimiento por parte de los proveedores seleccionados por el encargado del tratamiento, es decir, como en el caso presente por QLIP, éste deberá responsabilizarse directamente de las acciones y/u omisiones de sus proveedores, y no, por el contrario CLIDOM. Tercera.- En relación a la atribución de las responsabilidades del presente procedimiento sancionador, es importante señalar que en el artículo 82 del RGPD, titulado “Derecho a indemnización y responsabilidad” señala en su segundo apartado que: “Cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo 5 dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable.” Éste último apartado, refleja el caso actual puesto que el subencargado de QLIP, la inmobiliaria ENFOKA, actuó en contra de las instrucciones de CLIDOM en cuanto a la obligación de recabar el consentimiento de los interesados ya que, éste suplantó la identidad de la afectada y, además, firmó un consentimiento no válido sin que pudiera cumplir con los principios de transparencia, libertad y consentimiento expreso. Por ende, siendo QLIP plenamente responsable de las actuaciones negligentes de su proveedor, por el incumplimiento de los artículos 28.4 y 82.2 del RGPD. Cuarta.- Que, en relación al cumplimiento de lo dispuesto en el artículo 25.1 RGPD, en lo que respecta a la aplicación de medidas técnicas y organizativas para comprobar la recogida del consentimiento válido de los datos personales de los interesados, CLIDOM dispone de un sistema de calidad y autenticación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 en relación a la identidad de sus clientes finales mediante un protocolo de revisión de un determinado porcentaje significativo de altas de usuarios finales, especialmente cuando éstos proceden de canales indirectos a CLIDOM, como es el caso en concreto. En aplicación de este protocolo, los agentes de atención al cliente internos de CLIDOM llaman por teléfono a dicha muestra de nuevos clientes cuya alta ha sido gestionada por medio del canal indirecto. Mediante estas llamadas CLIDOM tiene como objetivo cerciorarse de la validez del consentimiento según las características definidas por el propio RGPD y, paralelamente, comprobar y evidenciar que las correspondientes actuaciones de sus encargados son de conformidad a la ley y, a las instrucciones y obligaciones reflejadas en los respectivos contratos con éstos. Mediante dicho protocolo de calidad, CLIDOM ha implementado medidas de comprobación de las acciones encomendadas a QLIP, cumpliendo con el principio de responsabilidad proactiva. Asimismo, con el fin de cumplir con el principio de responsabilidad proactiva, también se le solicita a QLIP documentación que acredite que el interesado ha consentido el tratamiento de sus datos para la gestión de la contratación de su suministro de energía. En esta línea, se aporta a modo ejemplificativo dos correos electrónicos remitidos por QLIP donde se aporta la documentación solicitada, tal y como acreditan los Documentos número 2 y 3, que constan adjuntos en el escrito de alegaciones. Si bien por razones de volumetría, no se solicitan la totalidad de las autorizaciones, en términos generales CLIDOM realiza una auditoría inicial donde se comprueba que el cumplimiento de las instrucciones dadas por éste son cumplidas por parte de sus Colaboradores, solicitando una muestra de las autorizaciones que recogen el consentimiento del interesado, algo fundamental para la continuación de la relación comercial y, además, se realizan solicitudes puntuales cada cierto tiempo o siempre que se detecta alguna incidencia, para corroborar que, efectivamente, el Colaborador, en este caso QLIP, sigue cumpliendo las directrices de CLIDOM. De hecho, el propio contrato de colaboración incluye en su Anexo III un modelo de referencia de autorización de representación por terceros que pueden usar de 6 base los Colaboradores de CLIDOM, todo ello porque es práctica común en el sector que los titulares de los suministros encarguen la gestión de su contratación a sus asesores energéticos (vid. Documento Número 1 - Anexo III. MODELO AUTORIZACIÓN DE REPRESENTACIÓN A TERCEROS). Finalmente, y nuevamente para dar cumplimiento al principio de responsabilidad proactiva, CLIDOM establece en su Anexo IV distintas medidas para controlar la calidad de los servicios prestados por los Colaboradores, entre las que se encuentran la verificación de las políticas de privacidad, seguridad y confidencialidad aplicadas por parte de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 Colaboradores, verificación de los controles de seguridad aplicados por los Colaboradores a sus subcontratas, etc. Quinta.- Que, CLIDOM ha solicitado a QLIP la documentación relativa a la relación comercial que mantiene con ENFOKA, así como el contrato de encargo de tratamiento o de cesión de datos que rige entre las partes, con el fin de conocer, si en calidad de encargado de tratamiento, éste se ha obligado con ellos en los mismos términos en los que QLIP se encuentra obligado con CLIDOM, dado que dicha obligación también se recoge en el contrato de colaboración entre las partes, no obstante, tal y como acreditan los emails adjuntos en el escrito de alegaciones como Documento número 4, QLIP ha mostrado pasividad ante nuestras peticiones. Sexta.- A continuación, también se debe manifestar que CLIDOM lleva a cabo análisis de riesgos de forma periódica para determinar aquellos riesgos que se puedan derivar del tratamiento de datos y así, a partir del resultado obtenido, diseñar y establecer todas aquellas medidas de seguridad que se estimen oportunas para garantizar los derechos y libertades de las personas interesadas. Por lo que respecta al análisis de riesgos ha resultado que ninguno de los riesgos analizados alcanza niveles altos, siendo los niveles de riesgos moderados. Que consta adjunto en el escrito de alegaciones como Documento número 5 el análisis de riesgos relativo al activo de “Proveedores” realizado el pasado 19 de mayo de 2022. Adicionalmente, CLIDOM el pasado 12 de septiembre de 2022 realizó un informe sobre el análisis de la necesidad de realizar una evaluación de impacto, como mecanismo para garantizar esa responsabilidad en la privacidad desde el diseño en el tratamiento de datos personales. El análisis se compone de dos partes: (
5. i)El primero destinado a analizar si alguno de los tratamientos objeto del análisis se encuentra dentro de los supuestos obligatorios o excluidos recogidos en el listado publicado por la autoridad de control y, en su defecto, si pueden considerarse tratamientos de alto riesgo. (
6. ii)En segundo lugar, se determinará si el tratamiento deberá ser objeto de una EIPD o, por el contrario, dicha evaluación no es necesaria a la vista del análisis anterior. Del análisis de primer y segundo nivel, se concluye que los tratamientos de datos realizados por CLIDOM para la prestación de sus servicios determinan que no se requiere una Evaluación de Impacto de Protección de Datos según los criterios del RGPD, de la Agencia Española de Protección de Datos y del Comité Europeo de Protección de Datos. Concretamente, de los análisis analizados, el único indicador que sale positivo es el relativo al tratamiento de datos a gran escala. En base a lo anterior, el tratamiento de datos realizado por CLIDOM NO NECESITA SER OBJETO DE UNA EVALUACIÓN DE IMPACTO. No obstante, al haber un tratamiento de datos a gran escala y, atendiendo a la naturaleza de la actividad de CLIDOM, se decide realizar una evaluación de impacto. En la evaluación de impacto realizada en fecha 15 de septiembre de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 2022 y referida a la gestión de clientes, se concluye que los tratamientos derivados de los procesos de negocio de gestión de clientes de CLIDOM, no suponen un riesgo que requiera la autorización previa de la Autoridad de Control para continuar el tratamiento. Sin embargo deben llevarse a cabo las medidas de seguridad propuestas en la cláusula 3.5 del documento para reducir los riesgos. Y, finalmente, tras la realización de la Evaluación de Impacto de la actividad del tratamiento de “Gestión de Clientes” de CLIDOM, surgieron un seguido de controles a implementar de carácter técnicos y organizativos derivados de las amenazas detectadas. Por ello, se realizó en fecha 22 de septiembre un plan de mitigación de las amenazas, con los controles a aplicar para conseguir la minimización de los riesgos. Que constan adjuntos en el escrito de alegaciones como los Documentos como número 6, 7 y 8 respectivamente. Por ende, de los hechos acaecidos no se desprende, en caso alguno, que CLIDOM no haya aplicado en todo momento las medidas técnicas y organizativas apropiadas. Adicionalmente, también se han adoptado las siguientes medidas mitigadoras adoptadas con posterioridad a la recepción de la reclamación: - Se ha redactado un contrato de encargado de tratamiento que regula de forma más detallada la relación entre el Colaborador y CLIDOM respecto al tratamiento de los datos personales, pese a que ya se determinaba de forma expresa en el Contrato de Colaboración (que consta adjunto en el escrito de alegaciones como Documento número 9). - Se han incrementado las llamadas telefónicas de control para aquellas contrataciones que provengan de canales comerciales. - Se está valorando la posibilidad de automatizar la lectura masiva de documentos mediante Inteligencia Artificial con la finalidad de verificar que las autorizaciones remitidas por los canales comerciales han sido debidamente completadas. - Mejora y aumento de la periodicidad de las auditorías de control a los canales comerciales. Además, como otras medidas llevadas a cabo para evitar situaciones que pudieran vulnerar la normativa actual de protección de datos, destaca, entre otras, las formaciones sobre Protección de Datos que se han llevado a cabo para todos los trabajadores de la empresa. No sólo se imparten formaciones de protección de datos a toda la empresa, sino que además se incluye una sesión de protección de datos y seguridad de la información como parte de las sesiones de Onboarding para las nuevas incorporaciones de personal, y mantiene actualizado al personal, por ejemplo, mediante el envío de Newsletter a todos los trabajadores relativa a la protección de datos. Igualmente, la compañía estableció un correo electrónico específico (***EMAIL.1) para ejercer los derechos de rectificación, cancelación, supresión, limitación del tratamiento, portabilidad y cualquier derecho reconocido respecto al tratamiento de datos. Asimismo, para cualquier cuestión relacionada con las funciones del Delegado de Protección de Datos, se estableció el correo electrónico ***EMAIL.2. Finalmente, CLIDOM se somete a una auditoría anual en materia de Protección de Datos con una entidad externa y actualmente, está en proceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 de obtener la ISO 27001 Certificación de los Sistemas de Gestión de Seguridad de la Información. Séptima.- Según el Fundamento de Derecho Tercero del Acuerdo de Inicio, la AEPD analiza una serie de elementos y criterios para valorar la cuantía de la multa a imponer. Sin perjuicio de que nuestras alegaciones demuestran el cumplimiento estricto por parte de CLIDOM de la normativa de protección de datos −y, por tanto, que no procede la imposición de las multas indicadas en la Resolución−, consideramos también relevante, a efectos de hacer valer nuestro derecho de defensa, formular alegaciones a los criterios valorados en dicho punto por parte de la AEPD. (
7. i)El alcance o propósito de la operación de tratamiento de datos, así como los interesados afectados. En este sentido debemos poner de manifiesto que CLIDOM tiene actualmente alrededor de 300.000 clientes y que la presente reclamación incumbe a una interesada afectada. Consideramos que al tratarse de un único caso, ello debería tenerse en cuenta con el fin de rebajar la cuantía de la sanción. Adicionalmente, atendiendo a las circunstancias recogidas en el art. 83.2 RGPD, se debe tener en especial consideración que no existen infracciones anteriores cometidas por parte de CLIDOM y que los datos tratados no se enmarcan en ningún caso como sensibles. (
8. ii)La intencionalidad o negligencia de la infracción. A este respecto, cabe indicar que, tal y como se ha expuesto en el presente escrito, CLIDOM ha cumplido en todo momento y de forma estricta con sus obligaciones en materia de protección de datos. En esta línea, CLIDOM adopta todas aquellas medidas técnicas y organizativas adecuadas para el tratamiento de los datos personales. En conclusión, consideramos que en atención a lo anteriormente indicado se proceda automáticamente al archivo del procedimiento o, alternativamente, al reajuste de los criterios y cuantías valoradas. Octava.- Que, CLIDOM ha solicitado a QLIP en reiteradas ocasiones que ponga a disposición de esta parte el contrato que rige su relación con ENFOKA, al ser un tercero con el que Holaluz no mantiene ningún tipo de relación comercial, para poder verificar que efectivamente cumplen con las directrices dadas por parte de CLIDOM en lo que respecta a los subencargados de tratamiento, y que ha sido imposible conseguir a través de las múltiples comunicaciones que se han llevado a cabo por parte de CLIDOM. En concreto, QLIP ha manifestado que ENFOKA no lo autoriza a compartir el contrato que rige entre las partes, tal y como nos ha acreditado por medio del correo electrónico que se adjunta al presente escrito como Documento número 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 En virtud de lo anterior, se solicita a la AEPD para que requiera de forma expresa a ambas empresas a aportar dicho contrato a esta parte para poder acceder al mismo dado que tiene un papel clave en el presente procedimiento. Esta información es de especial interés para el procedimiento en cuestión dado que supone un elemento esencial a tener en cuenta para dirimir cualquier tipo de responsabilidades en materia de protección de datos, lo que le ha supuesto a CLIDOM una manifiesta indefensión, dado que dicha resolución viene motivada por el papel que ha tenido tanto QLIP como ENFOKA en su calidad de encargado y subencargado del tratamiento, y la implementación correctamente de sus medidas técnicas y/o organizativas. Novena.- En virtud de lo anteriormente expuesto, cabe reseñar que CLIDOM ha descubierto por fuentes ajenas tanto a QLIP como ENFOKA que existe un procedimiento sancionador contra este último, con número de referencia EXP202207418 (PS/0533/2022), en relación al asunto que se trata en este escrito, en el que ENFOKA ha admitido su responsabilidad, sin que CLIDOM no haya tenido acceso a dicha información en ningún momento, lo cual supone actos que van en contra de la relación de los roles en materia de privacidad. Por todo ello, se solicita nuevamente, tal y como ya se hizo en fecha 17 de octubre de 2023, que se dé traslado a CLIDOM del mencionado expediente, por ser fundamental para su defensa jurídica. Décima.- Que, en virtud de todo de lo expuesto y considerando imprescindible argumentar suficientemente en defensa de los legítimos intereses de CLIDOM, al amparo de lo establecido en 28.4 y 82 del Reglamento Europeo de Protección de Datos, esta parte SOLICITA: 1.- Que se requiera de forma expresa tanto a QLIP como a ENFOKA a aportar el contrato que rige la relación entre ambas en el presente procedimiento. 2.- Que se dé traslado a esta parte del expediente con número de referencia EXP202207418 (PS/0533/2022) iniciado contra ENFOKA por estar directamente vinculado con el presente procedimiento. 3.- Que no se dé publicidad a la Resolución aquí recurrida hasta que, en su caso, la misma sea declarada firme por el orden jurisdiccional contencioso-administrativo. 4.- Que, tenga por interpuesto en tiempo y forma RECURSO DE REPOSICIÓN contra la resolución dictada por la Administración y, a la vista de las manifestaciones que anteceden, dicte resolución por la que, estimando estas alegaciones, el procedimiento sancionador Nº PS/0680/2022 quede archivado. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones presentadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 En relación con las manifestaciones efectuadas por la parte recurrente, que reproducen básicamente las alegaciones presentadas por la misma durante la tramitación del procedimiento sancionador, sin añadir ningún argumento nuevo, debe señalarse que ya fueron analizadas y desestimadas en el Fundamento de Derecho III de la Resolución recurrida, de fecha 15/09/23, en la que se considera que la misma incumplió lo dispuesto en el artículo 25 del RGPD y se detalla suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. No obstante, en relación con las manifestaciones efectuadas por la parte recurrente, se procede a dar respuesta a las mismas según el orden por ella expuesto: <II.-Previa. Hace referencia la parte recurrente en el punto “previo” de su escrito de recurso que en la propuesta de resolución notificada el 06/04/23 se proponía que, por la Directora de la Agencia Española de Protección de Datos se procediera al ARCHIVO del procedimiento sancionador, pues, según se desprendía de la relación contractual que existe entre CLIDOM y QLIP, se incluía, como obligación contractual de QLIP, en calidad de encargado de tratamiento, la responsabilidad proactiva de recoger el consentimiento de los interesados de conformidad con las exigencias del citado RGPD, incumpliendo el contrato de encargo firmado con CLIDOM por lo que ésta carecería de responsabilidad y que después, sin existir ningún hecho o prueba nueva ni alegaciones por las partes implicadas en el procedimiento, la AEPD notificó la concesión de un plazo de quince días para alegar cuanto considere en su defensa por la presunta infracción del artículo 25 del RGPD, al considerar ahora que, cuando se realizó el cambio de contratación del servicio a nombre de la inquilina, CLIDOM, no realizó las comprobaciones necesarias para corroborar si la reclamante había consentido en realizar el cambio de compañía eléctrica, resolviéndose finalmente el expediente sancionador con la sanción de 100.000 euros (cien mil euros) a CLIDOM por la infracción del artículo 25 del RGPD. Sobre este punto indicar que, El TS ha tratado este tipo de cuestión en su STS de 22/10/2020 (RCA 4535/2019) en la que se recoge la cuestión sobre la que debe pronunciarse la Sala de lo Contencioso-Administrativo del Tribunal Supremo, con el objeto de la formación de jurisprudencia, “se centra en determinar si el órgano competente para resolver el procedimiento sancionador (en este supuesto, la Sala de Supervisión Regulatoria de la Comisión Nacional de los Mercados y la Competencia) puede imponer una sanción, con base en la modificación o alteración de la calificación jurídica formulada por el Instructor del procedimiento sancionador, en aquellos supuestos en que la propuesta de resolución propone el sobreseimiento del expediente y el archivo de las actuaciones al considerar que los hechos no son constitutivos de infracción administrativa. También concierne a fijar en qué supuestos este actuar supone una vulneración del principio acusatorio y, por ende, del derecho de defensa y del derecho a ser informado de la acusación, que garantiza el artículo 24.2 de la Constitución, a la luz de la interpretación efectuada por el TriC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27 bunal Constitucional y por este Tribunal Supremo de estas garantías procedimentales.” A tal efecto la Sala, tras analizar la doctrina del Tribunal Constitucional sobre el principio acusatorio y la doctrina derivada de la jurisprudencia del TS sobre este asunto, extrae las siguientes conclusiones: “1ª.- La imposición de una sanción más grave que la anunciada en la propuesta de resolución exige nuevo trámite de audiencia si ello deriva de hechos distintos a los contenidos en la propuesta o si es consecuencia de una modificación de la calificación jurídica de los mismos. 2ª.- Tampoco puede imponerse sanción más grave sin previa audiencia, si ello es consecuencia del rechazo de circunstancias modificativas que hubieren sido tenidas en cuenta en la propuesta de resolución. (En concreto, las citadas sentencias del Tribunal Supremo de 30 de Octubre de 2013 -recurso nº 2184/2012y 21 de Mayo de 2014 -recurso nº 492/2013-, se refieren a una causa de atenuación de la responsabilidad, regulada en el artículo 66 de la Ley 15/2007, de 3 de Julio, de Defensa de la Competencia, que fue apreciada en la propuesta de resolución y rechazada, sin audiencia previa, en la resolución sancionadora). 3ª.- La jurisprudencia no es uniforme a la hora de determinar si es necesaria una repetición del trámite de audiencia cuando la resolución sancionadora asume los hechos tal como los refirió el instructor en su propuesta y tampoco varía su calificación jurídica, apartándose de la propuesta únicamente en la determinación del exacto importe de la sanción dentro del abanico o intervalo correspondiente a esa calificación jurídica. No obstante, parece que la jurisprudencia más reciente se inclina por exigir también en estos casos un nuevo trámite de audiencia.". Por ello, con base en la referida jurisprudencia de esta Sala del Tribunal Supremo, así como a la doctrina del Tribunal Constitucional, sostenemos que, en el caso enjuiciado en este recurso de casación, no resultaba procedente que el Tribunal de instancia declarase la nulidad de las sanciones impuestas por infracción del principio acusatorio, puesto que rechazamos que la Comisión Nacional de los Mercados y la Competencia hubiere vulnerado el principio acusatorio, tal como debe entenderse protegido en el artículo 24 de la Constitución, ya que constatamos que en la tramitación del procedimiento sancionador se han respetado las garantías procedimentales que se derivan del referido precepto constitucional, ya que se ha preservado el principio de separación entre el órgano instructor y el órgano resolutor, así como el derecho de defensa y el derecho a ser informado de la acusación. Cabe tener en cuenta, al respecto, el iter procedimental seguido por la Sala de Supervisión Regulatoria de la Comisión Nacional de los Mercados y la Competencia, que, tras culminar la fase de instrucción y formularse la propuesta de resolución de 17 de octubre de 2016, que propugnaba el sobreseimiento del expediente al apreciar que cabía exonerar de responsabilidad a Radio Popular, S.A., por la supuesta comisión de tres infracciones de carácter grave tipificadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 en el artículo 58.8 de la Ley General de Comunicación Audiovisual, porque aprecia que ninguno de los anuncios sobre bebidas alcohólicas estaban dirigidos a menores, decidió conceder trámite para formular alegaciones, en relación con la valoración de los hechos objeto del procedimiento, que fue cumplimentado en tiempo y forma por el presunto responsable. Procede, así mismo, significar que esta Sala no comparte la tesis argumental que desarrolla la defensa letrada de la entidad recurrente, que, partiendo como premisa de la interpretación del artículo 89.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que delimita el alcance de las facultades del órgano instructor del procedimiento sancionador, en orden a decretar el archivo del expediente, (que, entre otras circunstancias, procede cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa), entiende que existen razones para considerar que también la calificación jurídica de los hechos como no constitutivos de infracción administrativa vincula al órgano competente para resolver el expediente sancionador, de modo que no podía calificar como infractores los hechos si la propuesta de resolución concluye que no son constitutivos de infracción alguna, porque supone desapoderar al órgano competente para resolver de la potestad sancionadora reconocida en la legislación de carácter sustantiva, que, al regular el régimen jurídico de las infracciones y sanciones, pretende garantizar la tutela de los bienes jurídicos protegidos.” Por tanto, a la luz de la citada doctrina no cabe apreciar en este caso vulneración del principio acusatorio que realiza la parte recurrente. <<II.1 Primero.- Alega la parte recurrente en el punto “primero” de su escrito que si bien es cierto que CLIDOM responde y se identifica con las definiciones referidas al responsable de tratamiento, lo es ante la relación contractual que existe con Runup Business SL (QLIP) a los efectos del contrato de servicios firmado entre ambos. En dicho contrato se incluyó, como obligación contractual a QLIP, en calidad de encargado de tratamiento, la responsabilidad proactiva de recoger el consentimiento de los interesados de conformidad con las exigencias del RGPD aunque Holaluz realiza llamadas de control de forma aleatoria para verificar que se cumplen dichos requisitos Al respecto, esta Agencia debe reiterar lo ya expuesto en la Resolución Sancionadora de fecha 15/09/23, objeto del presente recurso, en la cual se sancionaba a CLIDOM por el incumplimiento del artículo 25 del RGPD. Y recordemos que el artículo 25 del RGPD establece la obligatoriedad para el responsable del tratamiento de aplicar, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, que garanticen el cumplimiento de los requisitos del RGPD y con ello, la protección de los derechos y libertades de todos y cada uno de los interesados. En el caso que nos ocupa, sería de todos y cada uno de los nuevos clientes obtenidos a través de los canales externos a la compañía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 Recordemos que este artículo tiene como antecedente el artículo 24 del RGPD, en el que se establece que, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme al RGPD. Y a mayor abundamiento, el considerando 78 del RGPD dispone que la protección de los derechos y libertades de las personas físicas con respecto al tratamiento de datos personales exige la adopción de medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del RGPD y a fin de poder demostrar dicha conformidad con el RGPD, el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto. Indicando, respectos de las medidas a tomar, que podían ser, por ejemplo, reducir al máximo el tratamiento de datos personales, seudonimizar lo antes posible los datos personales o dar transparencia a las funciones y al tratamiento de datos personales, permitiendo a los interesados supervisar el tratamiento de sus datos personales. Por tanto, en base a todo ello, el principio de protección de datos desde el diseño es la clave que seguir por el responsable del tratamiento para demostrar el cumplimiento efectivo del RGPD, ya que es éste quien debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto. Esto es, es el responsable del tratamiento quien, desde el momento en que diseña y planifica un eventual tratamiento de datos personales, debe determinar todos los elementos que conforman dicho tratamiento, a los efectos de aplicar de forma efectiva los principios de protección de datos, integrando en el mismo todo lo necesario para dar cumpliendo con las previsiones del RGPD, con el objetivo de proteger con ello los derechos y libertades de todos y cada uno de los interesados. Respecto de los riesgos que pueden estar presentes en el tratamiento, el responsable deberá llevar a cabo un ejercicio de análisis y detección de los mismos durante todo el ciclo de tratamiento de los datos, con la finalidad última de proteger los derechos y libertades de todos los interesados, y no sólo cuando efectivamente se produce el tratamiento. Así se expresa en las Directrices 4/2019 del Comité Europeo de Protección de Datos (CEPD) relativas al artículo 25 Protección de datos desde el diseño y por defecto, indicando al respecto: “35. El «momento de determinar los medios de tratamiento» hace referencia al período de tiempo en que el responsable está decidiendo de qué forma llevará a cabo el tratamiento y cómo se producirá este, así como los mecanismos que se utilizarán para llevar a cabo dicho tratamiento. En el proceso de adopción de tales decisiones, el responsable del tratamiento debe evaluar las medidas y garantías adecuadas para aplicar de forma efectiva los principios y derechos de los interesados en el tratamiento, y tener en cuenta elementos como los riesgos, el estado de la técnica y el coste de aplicación, así como la naturaleza, el ámbito, el contexto y los fines. Esto incluye el momento de la adquisición y la implementación del software y hardware y los servicios de tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27 36. Tomar en consideración la PDDD (protección de datos desde el diseño y por defecto) desde un principio es crucial para la correcta aplicación de los principios y para la protección de los derechos de los interesados. Además, desde el punto de vista de la rentabilidad, también interesa a los responsables del tratamiento tomar la PDDD en consideración cuanto antes, ya que más tarde podría resultar difícil y costoso introducir cambios en planes ya formulados y operaciones de tratamiento ya diseñadas”. Para ello debe recurrir, al diseñar el tratamiento, a los principios recogidos en el artículo 5 del RGPD, que servirán para aquilatar el efectivo cumplimiento del RGPD. Así, las citadas Directrices 4/2019 del CEPD disponen que, “61. Para hacer efectiva la PDDD, los responsables del tratamiento han de aplicar los principios de transparencia, licitud, lealtad, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva. Estos principios están recogidos en el artículo 5 y el considerando 39 del RGPD. (…)”. La Guía de Privacidad desde el Diseño de la AEPD afirma que “La privacidad desde el diseño (PbD) implica utilizar un enfoque orientado a la gestión del riesgo y de responsabilidad proactiva para establecer estrategias que incorporen la protección de la privacidad a lo largo de todo el ciclo de vida del objeto (ya sea este un sistema, un producto hardware o software, un servicio o un proceso). Por ciclo de vida del objeto se entiende todas las etapas por las que atraviesa este, desde su concepción hasta su retirada, pasando por las fases de desarrollo, puesta en producción, operación, mantenimiento y retirada”. La Guía dispone también que, “La privacidad debe formar parte integral e indisoluble de los sistemas, aplicaciones, productos y servicios, así como de las prácticas de negocio y procesos de la organización. No es una capa adicional o módulo que se añade a algo preexistente, sino que debe estar integrada en el conjunto de requisitos no funcionales desde el mismo momento en el que se concibe y diseña (…) La privacidad nace en el diseño, antes de que el sistema esté en funcionamiento y debe garantizarse a lo largo de todo el ciclo de vida completo de los datos”. Por ello, la privacidad desde el diseño, obligación del responsable del tratamiento que nace antes de que el sistema esté en funcionamiento, no es un parche que se utiliza para resolver una incidencia detectada en el sistema. El enfoque de riesgos hace referencia directa e inmediata a un sistema preventivo tendente a visualizar, respecto de un tratamiento de datos personales, los riesgos en los derechos y libertades de las personas físicas. Han de identificarse los riesgos, evaluar su impacto y valorar la probabilidad de que aquellos se materialicen. Se protegen pues, no los datos, sino a las personas que están detrás de ellos. Los riesgos para los derechos y libertades de las personas físicas, derivados del tratamiento de datos personales, pueden ser de gravedad y probabilidad variables y provocar daños y perjuicios físicos, materiales o inmateriales, consecuencias tangibles o intangibles, en los derechos y las libertades de las personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/27 El considerando 75 del RGPD y el art. 28.2 de la LOPDGDD recopilan ejemplificativamente algunos, mas no son los únicos pues dependen del tratamiento y el contexto en el que éste se realiza, de los datos personales tratados, de las personas involucradas o de los medios utilizados: “