1/28
Expediente Nº: EXP202102778
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 31 de octubre de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a FACTOR ENERGÍA,
S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe:
<<
Expediente N.º: EXP202102778
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de agosto de 2021
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra FACTOR ENERGÍA, S.A. con NIF A61893871 (en
adelante, FACTOR ENERGIA). Los motivos en que basa la reclamación son los
siguientes:
-La parte reclamante ha recibido un mensaje publicitario por vía postal, procedente de
FACTOR ENERGÍA, donde se dirigen a él por su nombre y apellidos, y le hacen una
recomendación personalizada en base a las características de su punto de suministro
y de sus hábitos de consumo.
- Considerando que la compañía anunciante está tratando de forma ilegal sus datos,
ya que él no guarda ninguna relación con la misma, el afectado se ha puesto en
contacto con ella para solicitar información, y su Delegado de Protección de Datos le
ha contestado que los datos proceden del Sistema de Información de Puntos de
Suministro (SIPS). Éste, según le han explicado, es la base de datos que las
empresas distribuidoras de energía eléctrica y gas natural ponen a disposición de las
empresas comercializadoras, a los efectos de poder realizar ofertas en el mercado.
- Según ha podido averiguar de Internet, la parte reclamante explica que el sistema
SIPS viene regulado en el Real Decreto 1435/2002 y el intercambio de información
que tiene lugar en su contexto lo gestiona la Comisión Nacional de los Mercados y la
Competencia (CNMC). Este organismo ha asegurado por escrito al afectado que no
dispone de los datos de usuarios de electricidad desde que, con fecha 27 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/28
noviembre de 2015, se aprobó el Real Decreto 1074/2015, que modificaba distintas
disposiciones en el sector eléctrico. Dicho decreto incorporó la prohibición de que las
empresas comercializadoras y la CNMC pudieran acceder a cualquier información que
directamente identificara al titular del punto de suministro.
-La parte reclamante sigue estimando que se está produciendo un tratamiento ilegal
de sus datos personales. O bien la empresa los está obteniendo de otra fuente, o bien
los está extrayendo del SIPS, pero, si es así, ni su empresa distribuidora debería
proporcionar estos datos, ni la CNMC consultarlos, y tampoco las demás empresas
distribuidoras deberían de poder acceder a ellos para ningún tratamiento, mucho
menos para acciones comerciales.
Junto a la notificación se aporta:
-Anverso de una comunicación comercial enviada por FACTORENERGIA, con su
traducción al castellano, en la que se observan recuadros en color rojo que
corresponderían a datos anonimizados.
-Correo electrónico enviado desde la dirección: [email protected] que incluye
una hoja de cálculo con datos anonimizados.
-Correo electrónico que la parte reclamante envió a la Comisión Nacional del Mercado,
y respuesta del Delegado de Protección de Datos, desde la dirección [email protected]
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a FACTOR ENERGIA,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 04/10/2021, como consta en el
acuse de recibo que obra en el expediente.
Con fecha 05/10/2021 se recibe en esta Agencia escrito de respuesta indicando que
se ha recibido notificación con traslado de reclamación y solicitud de información, pero
no se adjunta copia de la reclamación presentada y documentos anexos (en su caso),
sino únicamente un extracto de la información relevante de la misma, y por tanto
interesa al derecho de quien suscribe tener acceso y obtener copia completa de dicha
reclamación, con el objetivo de poder evacuar el requerimiento de información de la
forma más detallada, completa y veraz posible, comprobando la identidad y correcta
identificación del reclamante, así como los hechos descritos en la solicitud de
información y en la reclamación presentada.
TERCERO: Con fecha 4 de noviembre de 2021, de conformidad con el artículo 65 de
la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/28
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
Documentación relevante aportada por la parte reclamante:
- Copia del anverso de una comunicación comercial con encabezado de
FACTOR ENERGIA. Escrita en catalán, se encuentra anonimizada (no
contiene los datos del destinatario ni referencia a la fecha). La parte reclamante
facilita traducción y referencia a la inclusión de las siguientes categorías de
datos: nombre, apellidos, dirección del destinatario, dirección del punto de
suministro. La comunicación recomienda un tipo de instalación eléctrica de
autoconsumo (placas solares) en base a “un estudio de tus datos y hábitos de
consumo eléctrico”.
- Transcripción de parte de la respuesta al ejercicio del derecho de acceso
dirigida por FACTOR ENERGIA a la parte reclamante, fechada el 2 de agosto
de 2021. Con respecto al origen de los datos tratados expresa:
“[…] sus datos personales, y concretamente los relativos a condiciones técnicas de su
punto de subministro, tales como el CUPS (número identificativo del punto de
subministro), tarifa de acceso, potencia, etc. (detallados en el Excel adjunto) han
estado obtenidos de forma lícita a través del Sistema de Información de Puntos de
Subministro (SIPS), que es la base de datos que las empresas distribuidores de
energía eléctrica y gas natural ponen a disposición de las empresas
comercializadoras, a los efectos de poder realizar ofertas en el mercado.
En cuanto a los hábitos de consumo a los que hacemos referencia en la comunicación
comercial, tal como indicamos a pie de la misma en el apunte 2, son datos estimados
y estandarizados, no específicamente personalizados de acuerdo con las
características concretas ni de su hogar ni de sus hábitos concretos de consumo.”
- Transcripción de los datos facilitados a la parte reclamante por FACTOR
ENERGIA como respuesta al derecho de acceso. No es la hoja de cálculo
original, sino el listado de categorías de datos que le habrían sido facilitados.
Incluye las categorías nombre, apellidos, y dirección del punto de suministro,
además de datos técnicos (tarifa, potencia, etc.).
- Correo electrónico de respuesta del DPD de la CNMC a la parte reclamante de
fecha 16 de agosto de 2021 que contiene los siguientes párrafos:
“En estricto cumplimiento de la normativa de aplicación que usted bien señala, la
CNMC no dispone de los datos de usuarios de electricidad desde que con fecha 27 de
noviembre de 2015 se aprobó el Real Decreto 1074/2015 por el que se modifican
distintas disposiciones en el sector eléctrico. Dicho RD incorporó la prohibición de que
las empresas comercializadoras y la CNMC pudieran acceder a cualquier información
que directamente identifique al titular del punto de suministro. Por lo tanto, y en el
supuesto de que se estuviesen intercambiando datos de este tipo entre empresas del
sector, estos datos no provienen en ningún caso de la CNMC.
La CNMC sólo dispone de los datos de usuarios finales de gas (BD de puntos de
suministro), y las comercializadoras sí que los obtienen legalmente a través de nuestro
organismo, pero el uso que hagan de ellos es, lógicamente, responsabilidad suya en
exclusiva. No obstante, el usuario puede oponerse a que sus datos sean puestos a
disposición de otras comercializadoras de gas indicándoselo expresamente a la
compañía que le da suministro.”
Los antecedentes que constan en los sistemas de información son los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/28
FACTOR ENERGIA presentó dos escritos (de 5 de octubre de 2021 y de 3 de
noviembre de 2021) en los que manifiesta:
- Que en julio de 2021 Dª. B.B.B. ejerció el derecho de acceso desde el correo
electrónico de la parte reclamante.
- Que no se pudo atender con normalidad dicho ejercicio dado que el día 24 de
junio de 2021 los sistemas informáticos de FACTOR ENERGIA fueron
afectados por un virus que provocó gran impacto al encriptar los sistemas y
datos de la compañía.
- Que el día 2 de agosto de 2021 se envió respuesta al derecho ejercido, si bien,
manifiesta que “la persona que se encargó de dar respuesta a la solicitante fue
un empleado en prácticas dado que la fecha coincidía con el periodo
vacacional de parte del personal de la compañía, y que tal respuesta adolece
de cierta falta de exactitud y/o concreción”.
- Que los datos personales relativos a nombre, apellidos, y dirección postal
fueron obtenidos de fuentes de acceso público. Añade que no puede concretar
la fuente de acceso público como consecuencia de la afectación del virus
informático.
- Que fueron obtenidos del SIPS de forma lícita los datos relativos a las
condiciones técnicas del punto de suministro. Añade que puede descargar el
SIPS “de las empresas distribuidoras y la CNMC periódicamente en su calidad
de comercializadora y que no incluye los datos personales de la solicitante
relativos al nombre y apellidos ni a su dirección postal”.
- Que se encuentra todavía (a fecha del escrito -3 de noviembre de 2021-)
inmersa en el proceso de recuperación de archivos.
Además, adjuntó la siguiente documentación relevante:
- Correos electrónicos intercambiados el día 30 de junio de 2021 entre el
responsable de informática de FACTOR ENERGIA y el INCIBE en los que se
refiere el ataque de ransomware sufrido por la entidad.
- Escrito firmado por B.B.B. ejerciendo el derecho de acceso frente a FACTOR
ENERGIA el día 2 de julio de 2021 desde la dirección de correo electrónico de
la parte reclamante.
- Correo electrónico dirigido el día 2 de agosto de 2021 por FACTOR ENERGIA
a B.B.B. (a la dirección de correo electrónico de la parte reclamante) en
respuesta al ejercicio del derecho de acceso referido en el punto anterior.
Facilita copia del original en catalán y traducción al castellano. Incluye los
siguientes párrafos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/28
“Por otro lado, queremos aclarar que en ningún caso hemos realizado un
estudio preciso y exacto con su datos y hábitos de consumo concretos, sino
que, tal y como se indicaba al pie de la mencionada comunicación (apunte 2),
sus datos son estimados y estandarizados, no personalizados ni calculados
según las características concretas ni de su casa, ni de sus hábitos de
consumo, en el bien entendido de que nuestra intención era poner de relieve
las ventajas que ofrece el autoconsumo fotovoltaico.
[…] Concretamente, en relación al art. 5.1 a) a que se refiere, en nuestra
comunicación se indicaba que sus datos han sido tratados de manera lícita,
leal y transparente en todo momento, ya que fueron recogidas de fuentes a las
cuales tenemos acceso como comercializadora y de fuentes accesibles al
público, cumpliendo con los requisitos exigidos por el Reglamento General de
Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y Garantía de los Derechos Digitales
(LOPDGDD).
[…] Específicamente, en nuestra web, se indica dentro de las finalidades de
tratamiento de datos personales por lo que respecta a ”No clientes", la finalidad
siguiente: "Informar sobre servicios, promociones y productos relacionados con
nuestra actividad”.
[…] Sus datos personales, y concretamente los relativos a condiciones
técnicas de su punto de suministro, tales como el CUPS (número identificativo
del punto de suministro), tarifa de acceso, potencia, etc. (detallados en el Excel
adjunto) han sido obtenidos de forma lícita a través del Sistema de información
de Puntos de Suministro (SIPS), que es la base de datos que las empresas
distribuidoras de energía eléctrica y gas natural ponen a disposición de las
empresas comercializadoras, a los efectos de poder realizar ofertas en el
mercado.
En cuanto a los hábitos de consumo a los cuales hacemos referencia en la
comunicación comercial, tal como indicamos al pie de la misma en el apunte 2,
son datos estimados y estandarizados, no especialmente personalizados
según las características concretas ni de su hogar, ni de sus hábitos concretos
de consumo.
[…] De ser posible, el plazo previsto de conservación de los datos personales,
o, de no ser posible, los criterios utilizados para determinar este plazo:
mientras usted no ejerza alguno de sus derechos”
Refiere asimismo en este escrito la dirección de internet
www.factorenergia.com para consulta de la política de privacidad.
ENTIDADES INVESTIGADAS
Durante las presentes actuaciones se han investigado las siguientes entidades:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/28
- FACTOR ENERGÍA, S.A. con NIF A61893871 con domicilio en
***DIRECCIÓN.1 (BARCELONA)
RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
Además de la documentación aludida anteriormente, se recoge información de las
siguientes fuentes:
- Escrito procedente de FACTOR ENERGIA con fecha de 28 de junio de 2022,
en adelante Escrito#1.
- Escrito procedente de FACTOR ENERGIA con fecha de 19 de julio de 2022, en
adelante Escrito#2.
- Diligencia con información de relevancia para las presentes actuaciones
(Diligencia Referencias).
Sobre el envío de publicidad postal a personas que no son clientes de FACTOR
ENERGIA
Manifiesta FACTOR ENERGIA (Escrito#2) que el envío de comunicaciones postales a
no clientes no es una práctica frecuente de la compañía, sino que se realiza “en
ocasiones y dirigido a un número reducido de destinatarios”. Expresa además que “en
la mayoría de las ocasiones los datos son obtenidos de los propios interesados. De
forma más residual, y en menor volumen, se ha remitido comunicación comercial por
vía postal a no clientes cuyos datos fueron obtenidos de fuentes de acceso público sin
restricciones”.
Especifica FACTOR ENERGIA (Escrito#2) las condiciones que han de cumplirse para
su utilización con fines de mercadotecnia:
- “(1) que el destinatario no haya ejercido anteriormente el derecho de
oposición”.
- “(2) que las fuentes a consultar se encuentren actualizadas”. Respecto a este
punto aclara FACTOR ENERGIA que estas fuentes de acceso público se
corresponden con “repertorios o guías telefónicas cuya consulta puede ser
realizada, por cualquier persona y sin restricciones, no impedida por una
norma limitativa”. Con fecha 22 de julio de 2022 se dirigió un escrito a FACTOR
ENERGIA solicitando concreción en relación estas fuentes de acceso público
que utiliza. Al día de firma del presente informe no se ha recibido respuesta al
respecto.
- “(3) que se haya consultado el listado de exclusión publicitaria Lista Robinson
(a la que estamos suscritos) y comprobar que el interesado al que se le enviará
la publicidad no conste en ella”. Sobre esto señala FACTOR ENERGIA que
consulta el sistema de exclusión publicitaria de forma previa al envío y adjunta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/28
(documento 1 del Escrito#2) copia de las facturas de suscripción al servicio
lista Robinson de Adigital de 2021 y 2022.
- “(4) cumplir con el deber de información al afectado conforme con el RGPD y la
LOPDGDD”. Más adelante en el presente informe se detalla la información
incluida en las comunicaciones comerciales que, en relación con el origen de
los datos personales expresa que “proceden de fuentes obtenidas lícitamente
y/o fuentes de acceso público disponibles sin restricciones”.
En relación con el volumen de destinatarios de la campaña publicitaria, manifiesta
FACTOR ENERGIA (Escrito#2) lo siguiente:
“En relación a lo anterior, hacer constar que en el mes de junio de 2021 se hizo una
campaña publicitaria por vía postal para dar a conocer las ventajas de incorporar el
autoconsumo en el suministro de electricidad. Dentro del grupo de destinatarios había
un segmento de la campaña dirigido a clientes (ya clientes de suministro de
electricidad, con un modelo de comunicación) y otro grupo de destinatarios dirigido a
no clientes […]:
Junio 2021: campaña de envío de publicidad del autoconsumo para obtener ahorro en
el coste de la luz.
Nº de destinatarios: 42.670 destinatarios (en total)
En relación a lo anterior, referir que dicha campaña tenía como ámbito territorial la
comunidad autónoma de Cataluña (no todo el territorio nacional).”
Información consignada en el Registro de Actividades de Tratamiento (RAT):
Adjunta FACTOR ENERGIA (documento 1 adjunto al Escrito#1) la información incluida
en el Registro de Actividades de Tratamiento (RAT) sobre la “Actividad de gestión de
no clientes”. El registro incluye la siguiente información:
- Categorías de datos personales: nombre y apellidos, DNI/NIF, dirección/mail,
teléfono, CUPS. Incluye la siguiente anotación: “Se incluyen todas las
categorías de datos posibles que puede contener según la fuente o lead de
contacto.”
- Finalidad: captación de nuevos clientes / gestionar y atender solicitudes de
información, peticiones u ofertas comerciales, presupuestos, etc. / informar y
enviar ofertas sobre servicios, promociones y productos relacionados con
nuestra actividad.
- Base jurídica: consentimiento del interesado / interés legítimo -siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos
personales-.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/28
El interés legítimo como base jurídica del tratamiento:
En relación con la utilización del interés legítimo como base jurídica para el tratamiento
de los datos personales de personas que no son clientes con la finalidad de enviarles
publicidad por vía postal, facilita FACTOR ENERGIA (documento 3 adjunto al
Escrito#1) un informe de ponderación de intereses de fecha 12 de febrero de 2021.
Incluye los siguientes párrafos:
“2.1. Evaluación del beneficio obtenido por Factor Energía
Por parte de Factor Energía, el tratamiento de los datos personales de los interesados
(potenciales clientes/no clientes) para la finalidad de mercadotecnia directa,
anteriormente indicada, pretende alcanzar mediante correo postal a aquellos
interesados no clientes con el fin de que conozcan los servicios ofrecidos por Factor
Energía, logrando que se encuentren interesados en contratar a Factor Energía como
su nueva comercializadora eléctrica.
En este sentido, los beneficios que obtiene Factor Energía del tratamiento de dichos
datos personales consisten en conseguir:
Un aumento de la contratación de sus servicios;
Una mayor captación de clientes;
Un aumento de visibilidad en el competitivo mercado de las comercializadoras
eléctricas.
2.2. Evaluación del interés o derechos y libertades del interesado
[…] La acción de mercadotecnia directa por correo postal que se pretende realizar se
hará en base a datos personales obtenidos conforme a la normativa de protección de
datos aplicable (datos identificativos y datos de contacto) y con datos estandarizados
y anonimizados de carácter técnico.
Para poder configurar las distintas ofertas comerciales se tendrán en consideración
datos públicos no protegidos obtenidos del Catastro, así como información estadística
y no personal de carácter técnico obtenida a través del Sistema de Información de
Puntos de Suministro (SIPS) utilizando el código postal de residencia. De este modo
se obtendrá información genérica para realizar una estimación estandarizada de la
tensión, tarifas y potencias contratadas en determinadas zonas geográficas, que
permitirá realizar las comunicaciones publicitarias remitidas por correo postal, pues se
considera lógico y apropiado que la publicidad de una comercializadora eléctrica
incluya información sobre posible ahorro en el consumo eléctrico.
Los datos personales de los interesados tratados con la finalidad de mercadotecnia
directa se refieren únicamente a los datos necesarios para enviarles la comunicación
por correo postal (datos identificativos y datos de contacto).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/28
El tratamiento no tendrá en ningún caso efectos jurídicos o similares sobre los
interesados, ya que la finalidad de mercadotecnia directa por correo postal no afecta al
acceso a servicios, ni a la ejecución de un contrato.
Desde Factor Energía se considera que el envío de comunicaciones publicitarias por
correo postal tiene una afectación mínima sobre los interesados que se verán
impactados exclusivamente por un canal de contacto: el correo postal. Dicho canal
debe ser considerado un método menos agresivo e invasivo que otros canales
utilizados habitualmente para el envío de publicidad, como las llamadas comerciales y/
o el envío de correos electrónicos. Asimismo, este tipo de campañas se prevén como
acciones puntuales, que podrá reforzarse con la realización de otras campañas
similares posteriores (habiendo transcurrido como mínimo el plazo de seis (6) meses
desde el envío de las comunicaciones de la campaña precedente).
En la presente ponderación debe tenerse en cuenta la expectativa razonable de los
interesados que se produjera un tratamiento de sus datos personales con esta
finalidad. En este sentido, debemos tener en cuenta que es práctica habitual en el
mercado enviar publicidad por correo postal a potenciales clientes, sino que además,
en atención a los usos del mercado, los interesados son perfectamente conscientes de
la posibilidad de que tales comunicaciones puedan aparecer en su buzón y que
además pueden resultar beneficiosas o aportar un valor añadido a los interesados en
su rol de consumidores en el mercado eléctrico español, ya que tales comunicaciones
pueden ser de su interés o ajustarse a sus concretas necesidades, redundando a una
mejora de su situación económica al descubrir una comercializadora eléctrica que se
ajuste más a sus necesidades.
Teniendo en cuenta todo lo anteriormente mencionado, desde Factor Energía no se
encuentra en nuestra valoración ningún método alternativo que permita comunicar
nuestro interés en ofrecer nuestros servicios y que así mismo nos permita cumplir con
nuestras obligaciones legales (informar sobre el tratamiento de los datos personales
de los interesados) y con el menor impacto para los interesados.
Por todo ello, se considera que el impacto que el tratamiento tiene o podrá tener sobre
los intereses, derechos fundamentales y libertades de los interesados es BAJO, y no
derivaría en consecuencias adversas y negativas para ellos.
2.3. Garantías aplicadas al tratamiento
Desde Factor Energía se tienen implementadas las medidas técnicas y organizativas
para realizar el tratamiento manteniendo los estándares de seguridad de la Empresa
Entre las garantías aplicadas directamente al tratamiento se encuentran las siguientes:
Factor Energía tiene implementadas medidas de seguridad técnicas y
organizativas necesarias para garantizar la integridad, disponibilidad y
confidencialidad de la información, habiendo asimismo designado un Delegado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/28
de Protección de Datos, en cumplimiento de lo establecidos en el artículo 37
del RGPD.
Las comunicaciones por correo postal se envían únicamente a interesados que
no hayan ejercido su derecho de oposición y que no constan en listas de
exclusión publicitaria (Lista Robinson). Aquellos interesados que constan en
listas de exclusión publicitaria y/o han ejercido su derecho de oposición ante
Factor Energía, no serán destinatarios de campañas publicitarias de ningún
tipo.
Las comunicaciones comerciales que reciban los interesados permiten ejercer
sus derechos de oposición al envío de publicidad de manera que de forma
sencilla y gratuita los interesados pueden informar a Factor Energía que no
desean recibir publicidad de la misma.
Estas campañas se prevén como una acción puntual, que podrán reforzarse
con la realización de otras campañas similares posteriores, habiendo
transcurrido como mínimo el plazo de seis (6) meses desde el envío de las
comunicaciones de la campaña precedente.
Factor Energía refuerza los canales para garantizar el adecuado ejercicio por
los interesados de los derechos establecidos en la normativa de protección de
datos, estableciendo tanto el cauce postal como el electrónico, sin perjuicio de
que, conforme a lo establecido en la normativa de protección de datos, el
interesado podrá ejercer sus derechos a través del canal que estime
conveniente.
Todas las comunicaciones contienen la información sobre el tratamiento de sus
datos personales conforme las exigencias de los artículos 13 o 14 del RGPD.
3. Resultado
En base a todo lo expuesto, se determina que Factor Energía puede realizar el
tratamiento consistente en el envío por correo postal de comunicaciones publicitarias a
potenciales clientes (mercadotecnia directa).
Se trata de un tratamiento que repercutirá positivamente sobre Factor Energía y que a
su vez supone un impacto bajo a los derechos y libertades de los interesados.”
La utilización de los datos del SIPS:
Sobre la utilización de los datos del SIPS facilita FACTOR ENERGIA (documento 5
adjunto al Escrito#1) la copia del código de conducta sobre el tratamiento de datos
incluidos en el SIPS de fecha 24 de abril de 2019, de la que se extraen los siguientes
párrafos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/28
“Concretamente, este RD 1435/2002 contempla la posibilidad de que todos los
comercializadores de energía eléctrica accedan a consultar la información disponible
en el Sistema de Información de puntos de suministro (SIPS) que gestionan los
distribuidores, como encargados de la lectura, y concretamente a ciertos datos allí
contenidos. Por tanto, y conforme se desprende de la exposición de motivos del citado
RD 1435/2002, el SIPS se configuró como una herramienta para incentivar una mayor
competencia en el mercado minorista de electricidad.
Con posterioridad, el Real Decreto 1074/2015, de 27 de noviembre, por el que se
modifican distintas disposiciones en el sector eléctrico, introdujo algunos cambios en
la regulación de la base de datos SIPS de electricidad, modificando parcialmente el
art. 7 del Real Decreto 1435/2002, y concretamente eliminando la posibilidad de tener
acceso las comercializadoras a ciertos datos de la base de datos SIPS de las
distribuidoras y estableciendo la obligación a cargo de los comercializadores de
suscribir un código de conducta y garantizar la confidencialidad de la información
contenida en dicha base de datos.
Por lo que respecta a la regulación del gas natural, el Real Decreto 1434/2002, de 27
de diciembre, por el que se regulan las actividades de transporte, distribución,
comercialización, suministro y procedimientos de autorización de instalaciones de gas
natural (RD 1434/2002) estableció en su art. 43 regulación similar, si bien con algunas
diferencias, no viéndose afectado el RD 1434/2002 por las modificaciones del RD
1074/2015.
[…] La Compañía asume el firme compromiso de cumplir con las siguientes
obligaciones:
[…] - Tratar los Datos SIPS únicamente para los fines propios de la actividad de
comercialización (de luz y gas, respectivamente), tanto en relación a clientes
potenciales/no clientes como a la gestión de los clientes, independientemente de su
tarifa de acceso y régimen concreto aplicable en cada caso (incluyendo los acogidos a
autoconsumo en caso de electricidad), no utilizándolos con una finalidad distinta a la
que justifica su cesión a la Compañía en su calidad de comercializadora por parte de
la correspondiente empresa distribuidora o CNMC.”
El artículo 7 del Real Decreto 1435/2002 que regula el contenido del SIPS en el sector
eléctrico especifica lo siguiente:
“1. Las empresas distribuidoras deben disponer de una base de datos referidos a
todos los puntos de suministro conectados a sus redes y a las redes de transporte de
su zona, permanentemente completa y actualizada, en la que consten al menos los
siguientes datos:
a) Código Universal de Punto de Suministro, esto es, el “CUPS” completo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/28
[…] c) Ubicación del punto de suministro, que incluye dirección completa (tipo de vía,
nombre de la vía, número, piso y puerta). Esta información debe referirse en todo
momento al punto de suministro y no a la ubicación, población y provincia del titular de
dicho punto de suministro que se exige en la letra aa) de este mismo artículo.
d) Población del punto de suministro, que incluye el nombre de la población y el
código postal. Esta información debe referirse en todo momento al punto de suministro
y no a la ubicación, población y provincia del titular de dicho punto de suministro.
e) Nombre de la Provincia del punto de suministro. Esta información debe referirse en
todo momento al punto de suministro y no a la ubicación, población y provincia del
titular de dicho punto de suministro.
[…] z) Nombre y apellidos, o en su caso denominación social y forma societaria, del
titular del punto de suministro.
[…] aa) Dirección completa del titular del punto de suministro. Esta información debe
referirse en todo momento al titular del punto de suministro y no a la ubicación,
población y provincia de dicho punto de suministro que se exige en la letra c) de este
mismo artículo.
[…] ac) Empresa comercializadora que realiza actualmente el suministro
[…] En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los
Mercados y la Competencia podrán acceder a cualquier información que directamente
identifique al titular del punto de suministro, y en particular, a los datos recogidos en
los apartados c), z) y aa) del apartado 1.
Adicionalmente, las empresas comercializadoras no podrán acceder a la información
del apartado ac), quedando accesible para la Comisión Nacional de los Mercados y la
Competencia, en el ejercicio de sus funciones.”
En relación a la utilización de los datos del SIPS eléctrico al objeto de realizar las
comunicaciones comerciales a no clientes, expresa FACTOR ENERGIA que los utiliza
para “obtener datos estimados y estandarizados de los hábitos de consumo de la
población según las características de los hogares”. Aclara que “no se refieren a datos
personalizados ni vinculados a los datos de carácter personal de las personas a
quienes se dirigía la comunicación comercial o publicitaria”. Así, facilita (documento 8
adjunto al Escrito#1) una descripción del proceso de estimación que se realiza para
adecuar, conjuntamente con los “instaladores”, la oferta de autoconsumo
(infraestructura de placas solares, etc.). Para ello, según dispone este documento se
utilizan:
- Los datos públicos no protegidos del catastro (cartografía y consulta catastral
descriptiva y gráfica -superficie, referencia catastral, dirección, clase de suelo,
año de construcción-).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/28
Se han obtenido de la sede electrónica del catastro ejemplos de la información
a disposición pública.
- Información no individualizada (anonimizada) de la base de datos del SIPS de
la empresa distribuidora, que permite mediante agregación por código postal,
asignar una potencia instalada promedio, potencia contratada promedio,
consumo anual promedio estimado a los suministros de una zona determinada,
según tipología de suministro.
El artículo 43 del Real Decreto 1434/2002 que regula el contenido del “Sistema de
intercambio de información para la gestión del cambio de suministrador” en el sector
gasista especifica lo siguiente:
“2. Las empresas distribuidoras deben disponer como soporte del sistema de
intercambio de información de una base de datos referidos a todos los puntos de
suministro conectados a sus redes y a las redes de transporte de su zona,
permanentemente completa y actualizada, en la que consten al menos los siguientes
datos relativos al punto de suministro:
1.º Código de identificación del punto de suministro, esto es, el “CUPS” completo.
[…] 3.º Ubicación del punto de suministro: dirección, población y provincia, que incluye
dirección completa (tipo de vía, nombre de la vía, número, piso y puerta), nombre de la
población, código postal y nombre de la provincia. Esta información debe referirse en
todo momento al punto de suministro y no a la ubicación, población y provincia del
titular de dicho punto de suministro que se exige en el ordinal 16 de este mismo
apartado
[…] 14. Datos relativos al titular del punto de suministro: persona física o persona
jurídica.
15. Nombre y apellidos, o en su caso denominación social y forma societaria, del
titular del punto de suministro.
16. Dirección completa del titular del punto de suministro. Esta información debe
referirse en todo momento al titular del punto de suministro y no a la ubicación,
población y provincia de dicho punto de suministro que se exige en el ordinal 3.º de
este mismo apartado.
5. Los comercializadores inscritos en la sección correspondiente del Registro
Administrativo de Distribuidores, Comercializadores y Consumidores Directos en
Mercado, así como la Oficina de Cambios de Suministrador, de acuerdo con la norma
reguladora de su funcionamiento, podrán acceder gratuitamente a las bases de datos
de puntos de suministro de cada empresa distribuidora”
Así, según dispone el sitio de internet de la CNMC (ver Diligencia Referencias):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/28
“No obstante, hay que aclarar que el SIPS eléctrico de la CNMC no dispone de
información que identifique al titular de un punto de suministro. Esta información fue
eliminada por el Real Decreto 1074/2015, de 27 de noviembre, por el que se modifican
distintas disposiciones en el sector eléctrico. En el artículo segundo del citado Real
Decreto, se aprobó una modificación del artículo 7.2 del Real Decreto 1435/2002,
incluyendo que: «En todo caso, ni las empresas comercializadoras ni la Comisión
Nacional de los Mercados y la Competencia podrán acceder a cualquier información
que directamente identifique al titular del punto de suministro […]».
[…] En el ámbito del gas natural, en el SIPS al que se accede consta la identificación
del titular del punto de suministro y su dirección.”
FACTOR ENERGIA figura inscrita en el Listado de Comercializadoras de electricidad y
de gas de la CNMC.
En relación con el deber de información al interesado:
Manifiesta FACTOR ENERGIA que se cumple mediante la consignación, en la propia
comunicación publicitaria, del siguiente texto: “De conformidad con la normativa de
protección de datos de carácter personal, es decir, de acuerdo con el Reglamento
General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD),
le indicamos que los datos proceden de fuentes obtenidas lícitamente y/o fuentes de
acceso público disponibles sin restricciones, y que esta comunicación se efectúa
según los requisitos admisibles en la normativa señalada. Puede ejercitar sus
derechos de acceso, rectificación, cancelación, oposición, transparencia de la
información, supresión, limitación y portabilidad dirigiéndose a FACTOR ENERGIA,
SA por correo postal a la dirección av. Diagonal, 612 Entl. 08021 de Barcelona o por
correo electrónico a [email protected]. Asimismo, tendrá derecho a dirigir sus
reclamaciones ante las autoridades de protección de datos. Para más información
consulte nuestra política de privacidad en nuestra web www.factorenergia.com.”
Asimismo expresa que en su sitio de internet (www.factorenergia.com) se incluye la
política de privacidad (documento 4 adjunto al Escrito#1). Ésta contiene apartados con
información sobre: datos del responsable y contacto del DPD; finalidades de los
tratamientos; bases de legitimación de los tratamientos; destinatarios; posibilidad de
ejercer los derechos y presentar reclamación ante la AEPD; plazos de conservación;
información adicional (indicación de implantación medidas de seguridad y garantías
con encargados del artículo 28 del RGPD).
Sobre el caso concreto objeto de reclamación
Manifiesta FACTOR ENERGIA (Escrito#1) que los datos personales de la parte
reclamante que figuran en sus sistemas son: nombre y apellidos; dirección postal.
Reitera que el origen de estos datos son “fuentes públicas, sin que a la fecha
podamos identificar de forma cierta su trazabilidad exacta”. Expresa que el periodo de
conservación de los datos es de un año, si bien “en este caso se encuentran
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/28
bloqueados y únicamente se conservan por el hecho de haber dado respuesta al
requerimiento anterior relativo a expediente al margen referido y sin que la compañía
realice ni vaya a realizar otro tratamiento de dichos datos.”
Como se ha visto previamente, FACTOR ENERGIA señala que dispone además de
los datos técnicos de los puntos de suministro extraídos del SIPS (artículo 7 del Real
Decreto 1435/2002) que periódicamente descarga de las empresas distribuidoras. Con
ellos, según se ha visto, obtiene “datos estimados y estandarizados de los hábitos de
consumo de la población según las características de los hogares” que “no se refieren
a datos personalizados ni vinculados a los datos de carácter personal de las personas
a quienes se dirigía la comunicación comercial o publicitaria”.
En relación con el cumplimiento del deber de información, facilita FACTOR ENERGIA
(documento 7 adjunto al Escrito#1) el que manifiesta sería el reverso de la
comunicación facilitada por la parte reclamante, que incluye el párrafo referido
anteriormente (traducción al castellano del original en catalán):
“De conformidad con la normativa de protección de datos de carácter personal, es
decir, de acuerdo con el Reglamento General de Protección de Datos (RGPD) y la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (LOPDGDD), le indicamos que los datos proceden de fuentes
obtenidas lícitamente y/o fuentes de acceso público disponibles sin restricciones, y
que esta comunicación se efectúa según los requisitos admisibles en la normativa
señalada. Puede ejercitar sus derechos de acceso, rectificación, cancelación,
oposición, transparencia de la información, supresión, limitación y portabilidad
dirigiéndose a FACTOR ENERGIA, SA por correo postal a la dirección av. Diagonal,
612 Entl. 08021 de Barcelona o por correo electrónico a [email protected].
Asimismo, tendrá derecho a dirigir sus reclamaciones ante las autoridades de
protección de datos. Para más información consulte nuestra política de privacidad en
nuestra web www.factorenergia.com.”)
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/28
II
El artículo 6 del RGPD, Licitud del tratamiento, establece en su punto 1 que:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones.”
Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11,
señala que:
“1) «datos personales»: toda información sobre una persona física identificada
o identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en
particular mediante un identificador, como por ejemplo un nombre, un número
de identificación, datos de localización, un identificador en línea o uno o varios
elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona; “
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción; “
11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/28
mediante una declaración o una clara acción afirmativa, el tratamiento de datos
personales que le conciernen”.
En el presente caso, para analizar la validez de esta base legitimadora deben
examinarse cada uno de los elementos que concurren en ella para acreditar la
legalidad del tratamiento. Conviene tener en cuenta los criterios establecidos para ello
en el Dictamen 06/2014, de 9 de abril, sobre el concepto de interés legítimo del
responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva
95/46/CE, del Grupo de Trabajo del artículo 29 (en adelante, Dictamen 06/2014)
1. Interés legítimo del responsable
El Considerando 47 del RGPD establece lo siguiente:
“El interés legítimo de un responsable del tratamiento, incluso el de un responsable al
que se puedan comunicar datos personales, o de un tercero, puede constituir una
base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los
derechos y libertades del interesado, teniendo en cuenta las expectativas razonables
de los interesados basadas en su relación con el responsable. Tal interés legítimo
podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el
interesado y el responsable, como en situaciones en las que el interesado es cliente o
está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo
requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma
razonable, en el momento y en el contexto de la recogida de datos personales, que
pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos
fundamentales del interesado podrían prevalecer sobre los intereses del responsable
del tratamiento cuando se proceda al tratamiento de los datos personales en
circunstancias en las que el interesado no espere razonablemente que se realice un
tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base
jurídica para el tratamiento de datos personales por parte de las autoridades públicas,
esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades
públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal
estrictamente necesario para la prevención del fraude constituye también un interés
legítimo del responsable del tratamiento de que se trate. El tratamiento de datos
personales con fines de mercadotecnia directa puede considerarse realizado por
interés legítimo.”
Por su parte, el Dictamen 06/2014 contiene un pronunciamiento análogo. Inicialmente
indica que:
“Un interés debe estar articulado con la claridad suficiente para permitir que la prueba
de sopesamiento se lleve a cabo en contraposición a los intereses y los derechos
fundamentales del interesado. Además, el interés en juego debe también ser
«perseguido por el responsable del tratamiento». Esto exige un interés real y actual,
que se corresponda con actividades presentes o beneficios que se esperen en un
futuro muy próximo. En otras palabras, los intereses que sean demasiado vagos o
especulativos no serán suficientes.”
En este sentido, aclara el dictamen, un interés legítimo que sea pertinente debe:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/28
- Ser lícito (es decir, de conformidad con la legislación nacional y de la UE
aplicable);
- Estar articulado con la claridad suficiente para permitir que la prueba de
sopesamiento se lleve a cabo en contraposición a los intereses y los derechos
fundamentales del interesado (es decir, suficientemente específico);
- representar un interés real y actual (es decir, no especulativo).
Y posteriormente incluye una lista no exhaustiva de algunos de los contextos más
comunes en los que puede surgir la cuestión del interés legítimo en el sentido del
artículo 7, letra f). Entre ellos incluye la “la prospección convencional y otras formas de
comercialización o publicidad”.
Podría considerarse en principio que la realización de tratamiento de datos con fines
de “mercadotecnia directa” y “prospección comercial y otras formas de publicidad”
constituirían un principio de interés legítimo. Esto no implica que pueda considerarse
todo tratamiento con dicha finalidad como amparado por la base legitimadora del
interés legítimo. En efecto, aclara el Dictamen 06/2014:
“La legitimidad del interés del responsable del tratamiento es solo un punto de partida,
uno de los elementos que deben analizarse en virtud del artículo 7, letra f). Si el
artículo 7, letra f), puede utilizarse como fundamento jurídico o no dependerá del
resultado de la prueba de sopesamiento siguiente”
Queda por lo tanto la realización por parte del responsable del tratamiento de la
ponderación prevista en el artículo 6.1.f) RGPD, en virtud del cual el tratamiento será
licito si “es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado
que requieran la protección de datos personales, en particular cuando el interesado
sea un niño.”
1. Ponderación de derechos e intereses
De cara a efectuar la ponderación prevista en el Reglamento, la parte reclamada ha
argumentado:
- Como interés del responsable: la captación de clientes y un “aumento de su
visibilidad en el mercado”
- Como posible afectación de derechos de la parte reclamante. El responsable lo
minimiza con diversos argumentos. Entre ellos: la escasez y menor importancia
de los datos tratados (identidad y datos de contacto); la ausencia de efectos
jurídicos sobre el interesado (contratación, acceso a servicios); afectación
mínima en la esfera del interesado (recepción de una comunicación postal, de
carácter menos invasivo que otras vías); la existencia de garantías aplicables al
tratamiento; el respecto a los que ejercen su derecho de oposición; la
existencia de canales para el ejercicio de derechos en materia de protección de
datos, garantías que son impuestas por la Ley, no porque el responsable las
otorgue graciosamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/28
1. Derechos del titular de los datos
Si más arriba se ha examinado el interés legítimo alegado por el responsable del
tratamiento, debe analizarse también en qué modo quedan afectados los derechos e
intereses del interesado, de modo pueda concluirse el juicio de ponderación
A este respecto, debe prestarse especial atención al impacto que el tratamiento puede
generar al interesado. La parte reclamada se centra en declarar que este no sería
significativo en función del medio utilizado (vía postal) y de la escasa o nula afectación
en la esfera jurídica del titular de los datos. No obstante, no son esos los únicos
parámetros a tener en cuenta. A este respecto, el Dictamen 06/2014 afirma:
“El interés legítimo del responsable del tratamiento, cuando es menor y no muy
apremiante, en general, solo anula los intereses y los derechos de los interesados en
casos en los que el impacto sobre estos derechos e intereses sea incluso más trivial.”
En el caso que nos ocupa, está claro que el interés del responsable no puede
calificarse de “apremiante”, ya que conforme él mismo indica se reconduce a su
interés en captar nuevos clientes. Esto hace, como indica el dictamen, que se deba ser
más exigente en cuanto a los derechos afectados del reclamante. El dictamen
prosigue:
“El término «impacto» tal como se utiliza en este Dictamen cubre cualquier posible
consecuencia (potencial o real) del tratamiento de datos. El concepto no está
relacionado con la noción de violación de los datos personales y es mucho más amplio
que las repercusiones que puedan derivarse de dicha violación.”
Y en cuanto al tipo de afectación que el tratamiento de los datos pueda causar en su
titular, declara lo siguiente:
“Además de los resultados adversos que puedan preverse de manera específica,
también deben tenerse en consideración las repercusiones emocionales más
generales, como el enfado, el miedo y la angustia que puedan derivarse de la pérdida
de control sobre la información personal por parte del interesado o del conocimiento
de que dicha información personal ha sido o pueda ser mal utilizada o se vea
comprometida, por ejemplo, mediante su exposición en Internet. El efecto
amedrentador sobre el comportamiento protegido, como la libertad de investigación o
la libertad de expresión, que pueda resultar de una supervisión o un seguimiento
continuo también deberá tenerse en cuenta.”
No puede olvidarse que la reclamación fue interpuesta por la parte reclamante ante el
evento de haber recibido una comunicación postal de carácter promocional, que iba
directamente dirigida a ella por contener sus datos de identificación y de contacto. Por
ello, no puede compartirse el criterio esgrimido por la parte reclamada en el sentido de
afirmar que “Dicho canal [postal] debe ser considerado un método menos agresivo e
invasivo que otros canales utilizados habitualmente para el envío de publicidad, como
las llamadas comerciales y/o el envío de correos electrónicos”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/28
A este respecto es preciso indicar que, si bien canales como el telefónico podrían en
principio ser considerados como más “invasivos”, lo cierto es que quien recibe la
llamada puede estar en la creencia de que quien llama no dispone de sus datos
identificativos, mientras que la recepción de una comunicación postal con datos
identificativos y de contacto, hace tener al titular de los datos la certeza de que quien
envía la comunicación dispone de dichos datos. Al no ser cliente de la entidad,
además, surge la incertidumbre sobre cuál ha podido ser la fuente de conocimiento de
los datos, que induce al titular a dudar sobre su poder de disposición de los mismos
Esto nos lleva al concepto de “expectativa razonable” como criterio a tener en cuenta
en el tratamiento de los datos basado en el interés legítimos
2. Expectativa razonable en el tratamiento de los datos
Como se ha mencionado anteriormente, el Considerando 47 RGPD establece en
relación con la base legitimadora del interés legítimo que esta pude concurrir cuando
el interés del responsable no prevalezca sobre los derechos el interesado “teniendo en
cuenta las expectativas razonables de los interesados basadas en su relación con el
responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una
relación pertinente y apropiada entre el interesado y el responsable, como en
situaciones en las que el interesado es cliente o está al servicio del responsable”.
La expectativa razonable que pueda tener el interesado en el tratamiento de los datos
es crucial en el juicio de ponderación entre intereses del responsable y derechos del
interesado. El dictamen 06/2014 declara:
“Las expectativas razonables del interesado en relación con el uso y la revelación de
datos también resultan muy pertinentes en este sentido. Tal como se puso de
manifiesto con respecto al análisis del principio de limitación de la finalidad, es
importante considerar si la posición del responsable de los datos, la naturaleza de la
relación o del servicio prestado, o las obligaciones jurídicas o contractuales aplicables
(u otras promesas hechas en el momento de la recopilación de los datos) podrían dar
lugar a expectativas razonables de una confidencialidad más estricta y de limitaciones
más estrictas relativas a su uso ulterior.”
El ejemplo más claro de expectativa razonable en los casos de recepción de
comunicaciones publicitarias viene del hecho de haber sido previamente cliente de una
empresa o al menos haberse puesto en contacto con ella para interesarse por los
productos o servicios por ella comercializados.
En el presente caso, la parte reclamante no ha sido cliente de la parte reclamada y
tampoco se ha puesto en contacto con ella para interesarse por los servicios de la
mercantil interpelada De ahí su sorpresa por la recepción de una comunicación
comercial con sus datos identificativos y de contacto
La parte reclamada, por su parte, alega que:
“En la presente ponderación debe tenerse en cuenta la expectativa razonable de los
interesados que se produjera un tratamiento de sus datos personales con esta
finalidad. En este sentido, debemos tener en cuenta que es práctica habitual en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/28
mercado enviar publicidad por correo postal a potenciales clientes, sino que, además,
en atención a los usos del mercado, los interesados son perfectamente conscientes de
la posibilidad de que tales comunicaciones puedan aparecer en su buzón y que
además pueden resultar beneficiosas o aportar un valor añadido a los interesados en
su rol de consumidores”
Es decir, no aporta justificación alguna de la existencia de una expectativa razonable,
más allá de indicar que cualquier ciudadano puede esperar recibir una comunicación
postal publicitaria en su buzón, sin ser previamente cliente ni estar interesado en los
servicios de una empresa.
Cabe traer a colación el Informe de la Asesoría Jurídica de esta Agencia 2018/0173,
que analiza la legitimidad de acciones de mercadotecnia directa en tanto en el ámbito
del uso de medios electrónicos como otros. A este respecto, incluso en el caso de que
un interesado haya sido previamente cliente de una empresa, o haberse interesado
por sus bienes o servicios, aclara que las actuaciones de marketing directo deben
circunscribirse a bienes o servicios similares a los contratados previamente.
“Como se indicaba en el informe que acaba de reproducirse, el criterio general para
considerar que el tratamiento de los datos puede fundarse en la regla de equilibrio del
interés legítimo del responsable sería el de que los servicios y productos ofertados
fuesen los propios del responsable. En este sentido se clarificaba que, al hablar de
entidades financieras de crédito, dicha publicidad debería entenderse referida a los
propios productos de activo o pasivo de dicha entidad, pero no a otros productos
financieros, tales como, se indicaba expresamente, los de seguros. Ello se funda en
que en relación con dichos productos no existe una expectativa razonable del
interesado de que sus datos sean tratados por la entidad bancaria para la oferta de
productos que en principio no guardan relación con los contratados cuando se acude a
ella.”
Teniendo en cuenta que incluso habiendo sido previamente cliente, el criterio es
restrictivo para el envío de comunicaciones comerciales (debiendo restringirse a los
productos contratados), con mayor razón lo será para el supuesto en que no se haya
sido cliente, en que dichos productos y servicios no existen.
3. Datos tratados
Otro de los argumentos de la parte reclamada consiste en insistir sobre la naturaleza
de los datos, que consistirían únicamente en la identidad del reclamante y su dirección
postal. A este respecto debe señalarse que, si bien es cierto que no está involucrados
datos de especial protección del artículo 9 RGPD, el Dictamen 06/2014 aclara que
“En general, cuanto más sensible sea la información en cuestión, más consecuencias
podrá tener para el interesado. No obstante, esto no significa que los datos que
parezcan en sí mismos y por sí mismos inocuos puedan tratarse libremente
basándose en el artículo 7, letra f). Por supuesto, incluso dichos datos, dependiendo
del modo en que se traten, podrán tener un impacto significativo sobre las personas”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/28
Esto, en combinación con la ausencia de una expectativa razonable del interesado en
el tratamiento de sus datos, hace que la naturaleza de los datos tratados, de por sí, no
pueda justificar el interés legítimo en el tratamiento.
4. Modo en que se tratan los datos
Otro aspecto a tener en cuenta en la ponderación de derechos e intereses sería el
juicio de necesidad, idoneidad y proporcionalidad en el tratamiento de los datos. A este
respecto el Dictamen 06/2014 indica lo siguiente:
“En general, cuanto más negativo e incierto pueda ser el impacto del tratamiento, más
improbable es que el tratamiento se considere, en conjunto, legítimo. La disponibilidad
de métodos alternativos para conseguir los objetivos perseguidos por el responsable
del tratamiento, con menos impacto negativo sobre el interesado, debería ser, sin
duda, una consideración pertinente en este contexto”
A este respecto, la parte reclamada alega que “desde Factor Energía no se encuentra
en nuestra valoración ningún método alternativo que permita comunicar nuestro
interés en ofrecer nuestros servicios y que así mismo nos permita cumplir con
nuestras obligaciones legales (informar sobre el tratamiento de los datos personales
de los interesados) y con el menor impacto para los interesados.”
Baste con decir que le habría bastado la realización de una actividad de buzoneo, sin
inclusión de datos del reclamante. Ello máxime cuando la propia parte reclamada ha
aclarado que la indicación de tarifas apropiadas en función del consumo, que se
incluyen en la carta, no se basan en datos concretos de la parte reclamante, sino en
estimaciones por zonas. En función de esta afirmación no sería preciso que la carta
vaya acompañada de datos identificativos.
Con ello, el tratamiento realizado no supera el juicio de proporcionalidad, ni el principio
de intervención mínima, al existir métodos que no harían necesario el tratamiento.
5. Posición del responsable y del interesado
De cara al juicio de ponderación, resulta preciso prestar atención a la posición de
reclamante frente a reclamado. Siendo así que en el primer caso nos encontramos con
un ciudadano o usuario, mientras que la parte reclamada es una empresa
comercializadora del sector eléctrico.
A este respecto, el Dictamen 06/2014 aconseja prestar atención a la situación de
desequilibrio entre ambos:
“Dependiendo de si el responsable del tratamiento de los datos es una persona o una
pequeña organización, una gran empresa multinacional o un organismo del sector
público, y de las circunstancias específicas, su posición puede ser más o menos
dominante respecto del interesado
El hecho de si el interesado es un empleado, un estudiante, un paciente, o si existe de
otro modo un desequilibrio en la relación entre la posición del interesado y la del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/28
responsable del tratamiento debe, sin duda, considerarse también relevante. Es
importante evaluar el efecto del tratamiento real en las personas concretas.”
6. Conclusiones sobre la ponderación de derechos e intereses
En función de los factores analizados, no puede concluirse que en el presente caso la
defensa de los intereses legítimos, en comparación con la afectación de derechos del
reclamante, justifique el uso de la base legitimadora del interés legítimo para el
tratamiento de los datos con fines de mercadotecnia directa. Ello en función de:
- Se ha determinado la existencia de un impacto en el ámbito de los derechos e
intereses de la parte reclamante. Esta ha recibido una comunicación comercial
de una empresa de la que no era cliente, tratando sus datos personales de
nombre y apellidos y domicilio, provocando una situación de incertidumbre
sobre el origen de los datos y si estos pudieran estar a disposición de otras
entidades
- No se ha justificado la existencia de una expectativa razonable por parte de la
parte reclamante de que sus datos pudieran estar siendo tratados por esta
empresa con estas finalidades. Ello sobre todo por el hecho de que, tratándose
de una acción de mercadotecnia directa, no se ha justificado ni que la
reclamante fuera previamente cliente ni se hubiera interesado por los servicios
de la parte reclamada.
- No se ha justificado la inexistencia de métodos alternativos, en aplicación del
principio de intervención mínima, que no implicaran el tratamiento de datos
personales, para la realización de las actividades de mercadotecnia en las
condiciones en que estaban siendo efectuadas por la reclamante
- Se ha determinado la existencia de una situación de desequilibrio entre la
posición del reclamante (consumidor) y de la parte reclamada (empresa
comercializadora del sector eléctrico)
III
De conformidad con las evidencias de las que se dispone en el presente momento de
acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a la parte reclamada, por vulneración del artículo 6.1 del RGPD,
puesto que el tratamiento de datos llevado a cabo, esto es, la actividad de
mercadotecnia mediante correo postal, dirigida a la parte reclamante con su nombre,
apellidos y dirección, se ha efectuado sin causa legitimadora.
IV
De confirmarse, la citada infracción del artículo 6.1 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/28
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
legitimación establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)”
V
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que la infracción en cuestión es grave a los efectos del
RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes
criterios que establece el artículo 83.2 del RGPD:
Como agravantes:
-Negligencia en la infracción. (Art. 83.2.b). Hay que tener en cuenta que FACTOR
ENERGIA ni siquiera ha podido demostrar la fuente de la que obtuvo los datos
personales de la parte reclamante, indicando que se obtuvieron de “fuentes de
acceso público”, sin que puedan precisar la fuente concreta. Ello indica, cuando
menos, una considerable falta de diligencia.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:
Como agravantes:
- La vinculación de la actividad del infractor con la realización de tratamiento de
datos personales. (Art. 76.1.b). FACTOR ENERGIA, empresa dedicada al
comercio de energía eléctrica, maneja un elevado número de datos personales por
lo que debe tener amplio conocimiento de la normativa relativa a la protección de
datos y manejo de los mismos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/28
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 6.1 del RGPD, permite fijar inicialmente una sanción de
40.000 € (CUARENTA MIL euros).
VI
De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender a los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FACTOR ENERGÍA, S.A.,
con NIF A61893871, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.
SEGUNDO: NOMBRAR como instructor a C.C.C. y, como secretario, D.D.D.,
indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo
establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público (LRJSP).
TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería, por la supuesta infracción del artículo 6.1 del
RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía
40.000,00 euros
QUINTO: NOTIFICAR el presente acuerdo a FACTOR ENERGÍA, S.A., con NIF
A61893871, otorgándole un plazo de audiencia de diez días hábiles para que formule
las alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el
encabezamiento de este documento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/28
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 32.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 32.000,00 euros y su pago implicará la terminación
del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 24.000,00 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (32.000,00 euros o 40.000,00 euros), deberá hacerlo efectivo
mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a
nombre de la Agencia Española de Protección de Datos en la entidad bancaria
CAIXABANK, S.A., indicando en el concepto el número de referencia del
procedimiento que figura en el encabezamiento de este documento y la causa de
reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la
LPACAP, contra el presente acto no cabe recurso administrativo alguno.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/28
935-110422
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 17 de noviembre de 2022, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 24000 euros haciendo uso de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/28
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202102778, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a FACTOR ENERGÍA, S.A.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
936-040822
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es