1/17
Expediente Nº: EXP202203969
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 20 de abril de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a HOLALUZ-CLIDOM,
S.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las
alegaciones presentadas, con fecha 19 de junio de 2023 se emitió la propuesta de
resolución que a continuación se transcribe:
<<
Expediente N.º: EXP202203969
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 2 de marzo de
2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra HOLALUZ-CLIDOM, S.A. con NIF A65445033 (en
adelante, el reclamado o Holaluz). Los motivos en que basa la reclamación son los
siguientes:
La parte reclamante manifiesta que Holaluz ha dado de alta los suministros de energía
eléctrica de cuatro inmuebles que la reclamante previamente tenía suscritos con la
comercializadora Energía XXI haciendo uso de sus datos personales, sin su
consentimiento.
Además, la parte reclamante indica que se percata de tal situación en el mes de
diciembre del año 2021 cuando se produjo el corte de suministro en uno de los
inmuebles.
Y, aporta la siguiente documentación relevante:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/17
- Alegaciones realizadas por Holaluz, el día 2 de febrero de 2022, en las que
manifiesta que ha remitido a la reclamante un acuerdo sobre el que no ha
recibido contestación.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a Holaluz, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 5 abril de 2022 como consta
en el acuse de recibo que obra en el expediente.
Con fecha 28 de abril de 2022 se recibe en esta Agencia escrito de respuesta
indicando:
- Que es una comercializadora de energía eléctrica y de gas. Además dispone
de tres canales para la contratación: internet, telefonía, y red de comerciales. Con
estos últimos suscribe contratos de colaboración.
- Que el día 28 de julio de 2021 se dieron de alta a través del colaborador
BLANER ENERGY, S.L (en adelante Blaner) cuatro puntos de suministro asociados a
la reclamante. La codificación de dichos puntos de suministro (CUPS) es:
***CODIFICACIÓN.1, ***CODIFICACIÓN.2, ***CODIFICACIÓN.3, y
***CODIFICACIÓN.4.
- Que, debido a que el colaborador aparentó veracidad en la contratación, no
pudo detectar que dicha contratación había sido realizada sin consentimiento del
titular, hasta que la parte reclamante lo puso de manifiesto.
- Que en la base de datos de Holaluz figuran (“al ser los mismos incorporados
por parte del colaborador”) asociados a la parte reclamante el correo electrónico
***[email protected] y el número de teléfono ***TELÉFONO.1.
- Que en el marco de la contratación se enviaron por correo electrónico las
condiciones a la dirección de correo electrónico vinculada a la reclamante consignada
en el contrato para su validación. Cuestión ésta última que, según indica, fue
efectuada.
- Que el problema que deduce que se produjo fue que la dirección de correo
electrónico consignada en el contrato no pertenecía efectivamente a la titular, sino que
fuera “facilitada conscientemente por el Colaborador para perpetuar su fraude, algo
que, en principio, fue imposible detectar por esta parte, a pesar de los mecanismos de
control establecidos”.
- Que el día 11 de diciembre de 2021 la reclamante contactó con el reclamado
comunicando la suplantación de identidad sufrida en la ejecución de dichas
contrataciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/17
- Que contactó con el colaborador al objeto de esclarecer los hechos el día 17 de
enero de 2022 y, tras la falta de respuesta, nuevamente el 24 de enero de 2022.
- Que como medida para evitar que se produzcan este tipo de hechos realiza de
forma aleatoria una posterior revisión de la calidad de las llamadas y las altas
realizadas por los nuevos colaboradores. Expone que el protocolo consiste en que los
agentes de atención al cliente internos del reclamado llaman por teléfono a un
porcentaje significativo de los nuevos clientes aportados por los canales comerciales
con los cuales se hubiese suscrito un contrato de colaboración el mes anterior.
- Que procede a la supresión de los datos personales de la reclamante de sus
bases de datos.
Documentación relevante aportada por Holaluz:
- Contrato de prestación de servicios suscrito el 30 de marzo de 2017 entre
CLIDOM ENERGY, S.L. y Blaner cuyo objeto incluye la tramitación de altas de clientes
en relación con el suministro de energía eléctrica (en adelante
ContratoColaborador#2).
- Correo electrónico de fecha 17 de enero de 2022 dirigido desde
[email protected] a ***[email protected] en el que se comunica la
reclamación recibida en relación con los CUPS contratados. En el mismo se indica que
“los contratos se validaron desde un correo electrónico que no es el suyo
***[email protected]” y se solicita información al respecto.
- Correo electrónico de fecha 24 de enero de 2022 dirigido desde
[email protected] a ***[email protected] en el que se comunica
que ha de atender la reclamación dado que no dispone de la “llamada de venta” y
expresa que “el canal se tendrá que hacer cargo de las facturas hasta la fecha de
baja”.
TERCERO: Con fecha 4 de mayo de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
Holaluz en su respuesta al traslado realizado por la AEPD, manifestó que el día 28 de
julio de 2021 se dieron de alta a través del colaborador Blaner los puntos de suministro
asociados a la reclamante que son objeto de controversia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/17
En relación con estas contrataciones, tanto Holaluz como Blaner han facilitado los
siguientes documentos (documento anexo al Escrito con el nombre de “Contratos”, y
anexo II el EscritoBlaner):
Se aportan cuatro documentos con la documentación que se menciona en los
susodichos párrafos y que viene referido cada uno de ellos a cada uno de los cuatro
puntos de suministro
Blaner ha confirmado que realiza la actividad de colaborador del reclamado a través
de los canales de venta telefónica y presencial. Igualmente manifiesta que ejerce su
actividad para el reclamado tanto directamente como a través de “subagentes”. Así,
expresa que las contrataciones objeto de controversia fueron realizadas a través del
subagente (…).
QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
HOLALUZ-CLIDOM, S.A. es una gran empresa constituida en el año 2010, y con un
volumen de negocios de 564.590.423 euros en el año 2021.
SEXTO: Con fecha 20 de abril de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.
SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que repite la contestación al requerimiento de fecha 28 abril de
2022, en síntesis, manifestaba que: <<que, en relación a la posible vulneración del
principio de licitud, si bien es cierto que HOLALUZ-CLIDOM, S.A, en adelante
(CLIDOM) responde y se identifica con las definiciones referidas al responsable de
tratamiento en los artículos 4 y 24.1 del RGPD, lo es ante la relación contractual que
existe con Blaner Energy 2 S.L. (en adelante, “Blaner”) a los efectos del contrato de
servicios firmado con éste en fecha 30 de marzo de 2017 y actualizado en fecha 1 de
diciembre de 2021 para la realización de servicios de promoción de contratos de
suministro de energía eléctrica y captación de potenciales clientes, que se adjunta
para que conste a los efectos oportunos como Documento número 1 y 2
respectivamente.
Para el cumplimiento del contrato, se requiere el tratamiento de datos de personas
físicas, pues Blaner debe captar potenciales clientes para que éstos se den de alta a
los servicios de suministros energéticos de CLIDOM. No obstante lo anterior, es
importante incidir que, en el contrato que se firmó entre las dos partes, CLIDOM, como
responsable del tratamiento, incluyó, como obligación contractual a Blaner, en calidad
de encargado de tratamiento, la responsabilidad proactiva de recoger el
consentimiento de los interesados de conformidad con las exigencias del RGPD.
Que, en el presente caso, un comercial contratado por Blaner, haciéndose pasar por
A.A.A. (en adelante, el Cliente), dio de alta en CLIDOM los puntos de suministros con
CUPS ***CODIFICACIÓN.1; ***CODIFICACIÓN.2; ***CODIFICACIÓN.3;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/17
***CODIFICACIÓN.4, respectivamente. Que, según se puede comprobar a
continuación, el comercial validó ambos contratos con su propio correo electrónico
(***[email protected]), perpetuando así el fraude en la contratación:
Que el encargado Blaner, actuó en contra de las instrucciones de CLIDOM en cuanto
a la obligación de recabar el consentimiento de los interesados ya que, éste suplantó
la identidad de la afectada y, además, firmó un consentimiento no válido sin que
pudiera cumplir con los principios de transparencia, libertad y consentimiento expreso.
Por ende, siendo Blaner plenamente responsable de las actuaciones negligentes de
su proveedor, por el incumplimiento del artículo 6.1 del RGPD.
Es por ello, que mi representada el pasado 10 de mayo remitió un correo electrónico
dirigido a Blaner solicitando nuevamente la documentación que acreditara la
contratación -puesto que la misma ya había sido requerida en anteriores ocasiones-.
Asimismo, se hacía un recordatorio de las obligaciones establecidas contractualmente
que atañen al Colaborador.
A continuación, se contactó de nuevo con Blaner el pasado 12 de mayo tras la
respuesta negativa de este último. Se adjunta la cadena de correos entre ambas
partes implicadas como Documento número 3.
CLIDOM ha implementado medidas de comprobación y aseguramiento de las
acciones encomendadas a Blaner, cumpliendo pues con el principio de
responsabilidad proactiva.
Asimismo, con el fin de cumplir con el principio de responsabilidad proactiva, también
se le solicita a Blaner documentación que acredite que el interesado ha consentido el
tratamiento de sus datos para la gestión de la contratación de su suministro de
energía.
Además, y nuevamente para dar cumplimiento al principio de responsabilidad
proactiva, CLIDOM establece en su Anexo IV distintas medidas para controlar la
calidad de los servicios prestados por los Colaboradores, entre las que se encuentran
la verificación de de las políticas de privacidad, seguridad y confidencialidad aplicadas
por parte de los Colaboradores, verificación de los controles de seguridad aplicados
por los Colaboradores a sus subcontratas, etc. Finalmente, CLIDOM remitió el
documento relativo a los “Procedimientos de contratación y activación” a todos sus
Colaboradores cuyo contenido establece las directrices claras marcadas por la
Empresa para la formalización de contrataciones.
En el presente caso, el pasado 17 de febrero se le remitió a Blaner el correo
adjuntando el citado documento. Se aporta como Documento número 5, el documento
relativo a los Procedimientos y como Documento número 6 el correo enviado a Blaner.
Solicita. - Que, teniendo por presentado este escrito, se sirva admitirlo, y, en su virtud,
tenga por presentadas en tiempo y forma las alegaciones contra el Acuerdo de Inicio
y, a la vista de las manifestaciones que anteceden, dicte resolución por la que,
estimando estas alegaciones, el procedimiento sancionador nº EXP202203969 quede
archivado>>.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/17
OCTAVO: Con fecha 17 de mayo de 2023, el instructor del procedimiento acordó
practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la
reclamación interpuesta por Dña. A.A.A. y su documentación, los documentos
obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el
informe de actuaciones previas de investigación que forman parte del procedimiento
AI/00230/2022. 2. Asimismo, se da por reproducido a efectos probatorios, las
alegaciones al acuerdo de inicio del procedimiento sancionador referenciado,
presentadas por HOLALUZ-CLIDOM, S.A., y la documentación que a ellas
acompaña. El resultado de estas pruebas podrá dar lugar a la realización de otras>>.
NOVENO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.
HECHOS PROBADOS
De las actuaciones practicadas en el presente procedimiento y de la información y
documentación presentada ha quedado acreditadas los siguientes hechos:
Primero: Holaluz, con fecha 28 de julio de 2021, dio de alta a través de su colaborador
Blaner cuatro puntos de suministro asociados a la reclamante. La codificación de
dichos puntos de suministro (CUPS) es: ***CODIFICACIÓN.1, ***CODIFICACIÓN.2,
***CODIFICACIÓN.3, y ***CODIFICACIÓN.4 que la reclamante previamente tenía
suscritos con la comercializadora Energía XXI haciendo uso de sus datos personales,
sin su consentimiento.
Segundo: Se constata que el proceso de contratación implica el envío para su
validación, a través de correo electrónico, de las condiciones contractuales a la
dirección de correo electrónico vinculada al titular en el propio contrato.
Tercero: Que en la base de datos de Holaluz asociados a la parte reclamante figuran
el correo electrónico ***[email protected] y el número de teléfono
***TELÉFONO.1.
Cuarto: Se acredita que la dirección de correo electrónico consignada en el contrato no
pertenecía efectivamente a la titular.
Quinto: Se constata que en el correo electrónico de fecha 17 de enero de 2022 dirigido
desde [email protected] a ***[email protected] se comunica la
reclamación recibida en relación con los CUPS contratados. En el mismo se indica que
“los contratos se validaron desde un correo electrónico que no es el suyo
***[email protected]” y se solicita información al respecto.
Sexto: Se constata en el correo electrónico de fecha 24 de enero de 2022 dirigido
desde [email protected] a ***[email protected] se comunica que
ha de atender la reclamación dado que no dispone de la “llamada de venta” y expresa
que “el canal se tendrá que hacer cargo de las facturas hasta la fecha de baja”.
FUNDAMENTOS DE DERECHO
I
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/17
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Alegaciones al acuerdo de inicio
Según expone la parte reclamante en su escrito de reclamación de fecha 2 de marzo
de 2022, que Holaluz ha dado de alta los suministros de energía eléctrica de cuatro
inmuebles que la reclamante tenía suscritos con la comercializadora Energía XXI
haciendo uso de sus datos personales sin su consentimiento
En definitiva. la reclamante denuncia suplantación de identidad para contratar con
Holaluz cuatro contratos de luz. El reclamado, alega que la contratación la hizo su
encargado del tratamiento de manera fraudulenta al hacer constar una dirección de
correo electrónico diferente de la que tiene la reclamante.
Pues bien, el reclamado tiene previsto un sistema de validación de los contratos que
realizan sus encargados, y si bien indica que en el presente caso se realizó la
validación de manera correcta, no hay evidencia al respecto, pues remite los contratos
sin firmar así como el envío del correo electrónico para tal validación, pero no hay
evidencia de que se haya realizado tal validación por alguna persona.
Consta acreditado que el reclamado trató los datos personales de la reclamante sin
legitimación para ello. Está claro, que Holaluz (comercializadora entrante) tuvo que
gestionar la baja de los contratos de la reclamante con la comercializadora saliente
(Energía XXI), lo que se efectúa a través del número de CUPS que va asociado a las
viviendas.
La Ley 24/2013, de 26 de diciembre, del sector eléctrico (en adelante, “Ley del Sector
Eléctrico”), establece el derecho del consumidor a cambiar de empresa
comercializadora conforme a lo establecido en las directivas europeas del mercado
interior de electricidad.
Para ello, la normativa establece el proceso general que debe llevarse a cabo entre la
nueva comercializadora o comercializadora entrante, la distribuidora y la
comercializadora existente o comercializadora saliente. Dicho cambio implica el alta de
un nuevo contrato de suministro energético con la comercializadora entrante y la baja
del contrato existente con la comercializadora saliente, mediante un agente que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/17
ejecuta el cambio que es la distribuidora.
Asimismo, el artículo 46 de la Ley del Sector Eléctrico establece entre las obligaciones
de los comercializadores, en su apartado 1 letra g) la de “Formalizar los contratos de
suministro con los consumidores de acuerdo a la normativa reglamentaria que resulte
de aplicación”. La mención por la Ley de la obligación de formalizar el contrato entre
las obligaciones de los comercializadores pone de manifiesto que es la
comercializadora la titular del contrato de suministro con el consumidor. Por tanto,
corresponde a la comercializadora y, en un caso de cambio de comercializadora, a la
comercializadora entrante, comprobar la identidad y la voluntaria, correcta e informada
prestación del consentimiento por parte del consumidor, que es su contraparte en el
contrato de suministro.
En este sentido, la nueva comercializadora (el reclamado) tendrá que gestionar la baja
del contrato de la reclamante con su comercializadora saliente (Energía XXI), lo que se
efectúa a través del número de CUPS que va asociado a la vivienda. En definitiva,
trata sus datos personales.
Así pues, habiendo quedado acreditado que el reclamado trató los datos personales
de la reclamante, quien niega su consentimiento al tratamiento, y en tanto la primera
no ha aportado prueba alguna para desvirtuar tales evidencias, se estima que los
hechos que se someten a la valoración de esta Agencia podrían ser constitutivos de
una infracción del artículo 6.1 del RGPD, infracción tipificada en el artículo 83.5 del
citado Reglamento 2016/679.
III
Obligación incumplida
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales.
«1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/17
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.»
Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40
del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los
datos personales deben ser tratados con el consentimiento del interesado o sobre
alguna otra base legítima establecida conforme a Derecho, ya sea en el presente
Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que
se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal
aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con
el que sea parte el interesado o con objeto de tomar medidas a instancia del
interesado con anterioridad a la conclusión de un contrato.»
En relación con lo anterior, se considera que existen evidencias de que el tratamiento
de datos de la reclamante objeto de esta reclamación se ha efectuado sin csa
legitimadora de las recogidas en el artículo 6 del RGPD.
El RGPD se aplica a los datos personales, que se definen como «datos personales»:
toda información sobre una persona física identificada o identificable («el interesado»);
se considerará persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
La documentación que obra en el expediente evidencia que el reclamado, vulneró el
artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de
la reclamante sin que tuviese ninguna legitimación para ello. Los datos personales de
la reclamante fueron incorporados a los sistemas de información de la compañía, sin
que haya acreditado que hubiese contratado legítimamente, dispusiera de su
consentimiento para la recogida y el tratamiento posterior de sus datos personales, o
existiese alguna otra causa que hiciese licito el tratamiento efectuado.
Los datos personales de la reclamante fueron registrados en los ficheros de la
reclamada y fueron tratados para la emisión de facturas por servicios asociados a la
reclamante. En consecuencia, ha efectuado un tratamiento de los datos personales sin
que haya acreditado que cuente la habilitación legal para ello.
El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la
ejecución de un contrato en el que el interesado es parte”.
Resultaba por ello esencial que el reclamado acreditara ante esta Agencia que la
reclamante había contratado con ella el suministro de energía eléctrica; que al tiempo
de la contratación había desplegado (a través de su encargado de tratamiento) la
diligencia que las circunstancias del caso exigían para asegurarse de que la persona
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/17
que dio de baja el servicio con la comercializadora “Energía XXI”, dando de alta con
Holaluz era efectivamente su titular.
Hay que resaltar que el reclamado en su contestación al requerimiento de información
de esta Agencia de fecha 28 de abril de 2022 y en sus alegaciones al Acuerdo de
Inicio de fecha 16 de mayo de 2023 reconoce que la dirección de correo electrónico
consignada en el contrato no pertenecía efectivamente a la titular, sino que fuera
“facilitada conscientemente por el Colaborador para perpetuar su fraude, algo que, en
principio, fue imposible detectar por esta parte, a pesar de los mecanismos de control
establecidos”.
Correo electrónico de fecha 17 de enero de 2022 dirigido desde
[email protected] a ***[email protected] en el que se comunica la
reclamación recibida en relación con los CUPS contratados. En el mismo se indica que
“los contratos se validaron desde un correo electrónico que no es el suyo
***[email protected]” y se solicita información al respecto.
Correo electrónico de fecha 24 de enero de 2022 dirigido desde
[email protected] a ***[email protected] en el que se comunica
que ha de atender la reclamación dado que no dispone de la “llamada de venta” y
expresa que “el canal se tendrá que hacer cargo de las facturas hasta la fecha de
baja”.
Pues bien, Holaluz tiene previsto un sistema de validación de los contratos que
realizan sus encargados, y si bien indica que en el presente caso se realizó la
validación de manera correcta, no hay evidencia al respecto, pues remite los contratos
sin firmar así como el envío del correo electrónico para tal validación, pero no hay
certeza de que se haya realizado tal validación.
De aquí que el reclamado no acredita base de legitimación para el tratamiento de los
datos de la parte reclamante.
En ese sentido el Considerando 40 del RGPD señala:
“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con
el consentimiento del interesado o sobre alguna otra base legítima establecida
conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho
de la Unión o de los Estados miembros a que se refiera el presente Reglamento,
incluida la necesidad de cumplir la obligación legal aplicable al responsable del
tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o
con objeto de tomar medidas a instancia del interesado con anterioridad a la
conclusión de un contrato.”
IV
Tipificación y calificación de la infracción
De conformidad con las evidencias de las que se dispone en el presente momento de
acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que los hechos expuestos incumplen lo establecido en el
artículo 6.1del RGPD, por lo que podría suponer la comisión de una infracción
tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/17
«Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9.”
La LOPDGD, a efectos de la prescripción de las infracciones, califica en su artículo
72.1 de infracciones muy graves, siendo en este caso el plazo de prescripción de tres
años, “b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento
(UE) 2016/679”.
V
Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento
indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas,
proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/17
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a
imponer a la reclamada, como responsable de una infracción tipificada en el artículo
83.5.a) del RGPD, en una valoración inicial, se estiman concurrentes los siguientes
factores:
- La gravedad de la infracción teniendo en cuenta el alcance de la operación de
tratamiento, circunstancia prevista en el artículo 83.2.a) RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/17
Circunstancia significativa en el supuesto examinado en el que incide que fueron
varios contratos de suministro de electricidad al que el reclamado habría vinculado los
datos personales de la reclamante y la emisión de las correspondientes facturas.
- “La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales”, circunstancia prevista en el artículo 76.2.b) LOPDGDD en conexión
con el artículo 83.2.k) RGPD.
La actividad empresarial de la reclamada trata necesariamente datos personales. Esta
característica de su actividad empresarial repercute, reforzándola, en la diligencia que
debe desplegar en el cumplimiento de los principios que presiden el tratamiento de
datos de carácter personal y en la calidad y eficacia de las medidas técnicas y
organizativas que debe tener implementadas para garantizar el respeto del derecho
fundamental.
Como circunstancia que atenúa la responsabilidad exigible, sin perjuicio de lo que
resulte de la instrucción, en esta fase del procedimiento se toma en consideración la
prevista en el artículo 83.2. c) RGPD: “cualquier medida tomada por el responsable o
encargado del tratamiento para paliar los daños y perjuicios sufridos por los
interesados”.
De forma inmediata procedió a gestionar la baja de los servicios y el abono de las
cantidades facturadas.
Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 70.000
€ por la infracción del artículo 83.5 a) RGPD.
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
Que por la Directora de la Agencia Española de Protección de Datos se sancione a
HOLALUZ-CLIDOM, S.A. con NIF A65445033, por una infracción del Artículo 6.1 del
RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 70.000 euros (setenta mil
euros).
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/17
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 56.000 euros y su pago implicará la
terminación del procedimiento. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000
0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad
bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del
procedimiento que figura en el encabezamiento de este documento y la causa, por
pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el
justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar
el expediente.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP).
B.B.B.
INSPECTOR/INSTRUCTOR
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/17
ANEXO
Índice del expediente EXP202203969
02/03/2022 Reclamación de A.A.A.
30/03/2022 Reclamación de A.A.A.
31/03/2022 Traslado reclamación a HOLALUZ-CLIDOM S.A.
28/04/2022 Respuesta requerimiento de HOLALUZ-CLIDOM SA
04/05/2022 Admisión a trámite a A.A.A.
22/06/2022 Solic. información Hola Luz a HOLALUZ-CLIDOM, S.A.
28/07/2022 Respuesta requerimiento de HOLALUZ-CLIDOM SA
06/02/2023 Requerimiento ORANGE a ORANGE ESPAGNE, S.A.U.
06/02/2023 Requerimiento TELEFONICA a TELEFÓNICA DE ESPAÑA, S.A.U.
08/02/2023 Requerimiento DEUTSCHE a DEUTSCHE BANK, S.A.E.
08/02/2023 Requerimiento TELEFONICA MOVILES a TELEFÓNICA MÓVILES ESPA-
ÑA, S.A.U.
09/02/2023 Requerimiento Blaner Postal a BLANER ENERGY S.L.
09/02/2023 Requerimiento Blaner a BLANER ENERGY S.L.
09/02/2023 Requerimiento HolaLuz 2 a HOLALUZ-CLIDOM, S.A.
09/02/2023 Diligencia Referencias
13/02/2023 Alegaciones de C.C.C.
14/02/2023 Respuesta requerimiento de DEUTSCHE BANK SAE
17/02/2023 Alegaciones de D.D.D.
17/02/2023 Respuesta requerimiento de D.D.D.
24/02/2023 Respuesta requerimiento de HOLALUZ-CLIDOM SA
03/03/2023 Escrito de BLANER ENERGY, SOCIEDAD LIMITADA
06/03/2023 Requerimiento Blaner 2 a BLANER ENERGY S.L.
06/03/2023 Requerimiento DRC a E.E.E.
23/03/2023 Inf. actuaciones prevs.
20/04/2023 Acuerdo de inicio a HOLALUZ-CLIDOM, S.A.
24/04/2023 Info. Reclamante a A.A.A.
05/05/2023 Solicitud de ampliación de plazo de HOLALUZ-CLIDOM SA
08/05/2023 Amp. Plazo a HOLALUZ-CLIDOM, S.A.
16/05/2023 Alegaciones de HOLALUZ-CLIDOM SA
16/05/2023 Escrito de HOLALUZ-CLIDOM SA
17/05/2023 Notif. p. pruebas a HOLALUZ-CLIDOM, S.A.
>>
SEGUNDO: En fecha 1 de julio de 2023, la parte reclamada ha procedido al pago de la
sanción en la cuantía de 56000 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.
FUNDAMENTOS DE DERECHO
I
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/17
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202203969, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a HOLALUZ-CLIDOM, S.A..
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/17
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
968-171022
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es