1/227
Expediente N.º: EXP202304117
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES..........................................................................................................4
PRIMERO: ESCRITOS E INFORMES PROCEDENTES DE LA POLICÍA:................4
SEGUNDO: PRIMERA INVESTIGACIÓN POR PARTE DE LA AEPD RELATIVA A
NIVALCO.................................................................................................................... 4
TERCERO: INVESTIGACIÓN DE LA AEPD RELATIVA A ENÉRGYA-VM................5
CUARTO: ACTUACIONES PREVIAS DE INVESTIGACIÓN......................................5
QUINTO: ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR..............14
SEXTO: COPIA DEL EXPEDIENTE Y AMPLIACIÓN DE PLAZO.............................14
SÉPTIMO: ALEGACIONES AL ACUERDO DE INICIO:............................................14
OCTAVO: PERIODO DE PRÁCTICA DE PRUEBA..................................................25
NOVENO: PROPUESTA DE RESOLUCIÓN, RECTIFICACIÓN DE ERROR
MATERIAL Y AMPLIACIÓN DE PLAZO...................................................................29
DÉCIMO: ALEGACIONES A LA PROPUESTA DE RESOLUCIÓN...........................29
UNDÉCIMO: INFORME DE AXESOR......................................................................33
HECHOS PROBADOS................................................................................................34
PRIMERO:............................................................................................................... 34
SEGUNDO:.............................................................................................................. 35
TERCERO:............................................................................................................... 36
CUARTO:................................................................................................................. 36
QUINTO:.................................................................................................................. 37
SEXTO:.................................................................................................................... 38
SÉPTIMO:................................................................................................................ 38
OCTAVO:.................................................................................................................. 39
NOVENO:................................................................................................................. 40
DÉCIMO:.................................................................................................................. 41
UNDÉCIMO:............................................................................................................. 42
DUODÉCIMO:.......................................................................................................... 43
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/227
DECIMOTERCERO:................................................................................................44
DECIMOCUARTO:...................................................................................................47
DECIMOQUINTO:....................................................................................................49
DECIMOSEXTO:......................................................................................................49
DECIMOSÉPTIMO:..................................................................................................50
DECIMOCTAVO:......................................................................................................50
DECIMONOVENO:..................................................................................................59
VIGÉSIMO:.............................................................................................................. 59
VIGÉSIMO PRIMERO:.............................................................................................61
VIGÉSIMO SEGUNDO:............................................................................................62
VIGÉSIMO TERCERO:............................................................................................63
VIGÉSIMO CUARTO:...............................................................................................64
VIGÉSIMO QUINTO:................................................................................................64
VIGÉSIMO SEXTO:..................................................................................................65
VIGÉSIMO SÉPTIMO:..............................................................................................66
VIGÉSIMO OCTAVO:...............................................................................................67
VIGÉSIMO NOVENO:..............................................................................................67
TRIGÉSIMO:............................................................................................................ 68
TRIGÉSIMO PRIMERO:...........................................................................................68
TRIGÉSIMO SEGUNDO:.........................................................................................69
TRIGÉSIMO TERCERO:..........................................................................................69
TRIGÉSIMO CUARTO:............................................................................................69
TRIGÉSIMO QUINTO:.............................................................................................70
TRIGÉSIMO SEXTO:...............................................................................................71
TRIGÉSIMO SÉPTIMO:...........................................................................................71
TRIGÉSIMO OCTAVO:.............................................................................................72
TRIGÉSIMO NOVENO:............................................................................................73
CUADRAGÉSIMO:...................................................................................................73
CUADRAGÉSIMO PRIMERO:.................................................................................74
CUADRAGÉSIMO SEGUNDO:................................................................................75
CUADRAGÉSIMO TERCERO:.................................................................................75
CUADRAGÉSIMO CUARTO:...................................................................................77
CUADRAGÉSIMO QUINTO:....................................................................................78
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/227
CUADRAGÉSIMO SEXTO:......................................................................................78
CUADRAGÉSIMO SÉPTIMO:..................................................................................79
CUADRAGÉSIMO OCTAVO:...................................................................................79
CUADRAGÉSIMO NOVENO:..................................................................................80
QUINCUAGÉSIMO:.................................................................................................81
QUINCUAGÉSIMO PRIMERO:................................................................................81
QUINCUAGÉSIMO SEGUNDO:...............................................................................82
QUINCUAGÉSIMO TERCERO:...............................................................................85
QUINCUAGÉSIMO CUARTO:..................................................................................85
QUINCUAGÉSIMO QUINTO:...................................................................................86
QUINCUAGÉSIMO SEXTO:.....................................................................................86
QUINCUAGÉSIMO SÉPTIMO:.................................................................................87
QUINCUAGÉSIMO OCTAVO:..................................................................................88
QUINCUAGÉSIMO NOVENO:.................................................................................88
SEXAGÉSIMO:........................................................................................................ 89
SEXAGÉSIMO PRIMERO:.....................................................................................114
SEXAGÉSIMO SEGUNDO:...................................................................................123
FUNDAMENTOS DE DERECHO...............................................................................145
Competencia.......................................................................................................... 145
Cronología de los hechos.......................................................................................145
Cuestiones preliminares.........................................................................................151
Enérgya-VM como responsable del tratamiento.....................................................152
Sobre el principio de tipicidad.................................................................................175
Sobre el principio de proporcionalidad...................................................................177
Sobre las circunstancias de graduación de la sanción...........................................184
Supuesta vulneración del principio de contradicción y generación de indefensión a la
parte reclamada en fase de prueba........................................................................191
Supuesta existencia de un concurso medial...........................................................193
Supuesta inconstitucionalidad del régimen sancionador de la LOPDGDD.............200
Obligaciones incumplidas.......................................................................................207
A. Infracción del artículo 5.1 a) del RGPD..........................................................207
B. Infracción del artículo 5.2 del RGPD:..............................................................230
Tipificación y calificación de las infracciones..........................................................242
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/227
Criterios de graduación de la cuantía.....................................................................243
Adopción de medidas.............................................................................................262
RESUELVE:............................................................................................................... 263
ANTECEDENTES
PRIMERO: ESCRITOS E INFORMES PROCEDENTES DE LA POLICÍA:
La Dirección General de la Policía (en adelante DGP) mediante una comunicación de
fecha 13 de mayo de 2022, que tuvo entrada en el Registro de la AEPD el 17 de mayo,
puso en conocimiento de esta Agencia que la Comisaría General de Policía Judicial
(en adelante CGPJ), Unidad de Delincuencia Económica y Fiscal, en el marco de
Diligencias Previas (...) de las que conoce el Juzgado (...), llevó a cabo una
investigación por presuntos delitos contra (…) a compañías suministradoras de gas y
luz en España.
(…).
(…).
(…).
(…).
SEGUNDO: PRIMERA INVESTIGACIÓN POR PARTE DE LA AEPD RELATIVA A
NIVALCO
Dada la relevancia de los hechos y la necesidad de analizar las implicaciones en
materia de protección de datos personales y seguridad de la información, se realizó en
la AEPD una primera investigación ((...)) en orden al esclarecimiento de los hechos
denunciados y su autoría.
No obstante lo anterior, teniendo en cuenta el amplio alcance del caso y la necesidad
de acompasarlo con las capacidades y recursos de que dispone la AEPD, la
investigación se centró en la empresa Nivalco y la obtención de evidencias sobre el
escenario de presunto acceso y uso fraudulento de bases de datos de carácter
personal, todo ello sin perjuicio de que a la luz de las conclusiones se pudieran ampliar
las investigaciones.
TERCERO: INVESTIGACIÓN DE LA AEPD RELATIVA A ENÉRGYA-VM
Posteriormente, con fecha 29 de marzo de 2023 la Directora de la Agencia Española
de Protección de Datos acordó abrir una investigación de oficio e instó a la
Subdirección General de Inspección de Datos (SGID) a que iniciase las actuaciones
previas de investigación, a las que se refiere el artículo 67 de la Ley Orgánica 3/2018,
de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/227
digitales (en adelante, LOPDGDD), al objeto de analizar el proceder de la sociedad
Enérgya-VM en relación con los hechos relatados en los dos antecedentes anteriores.
CUARTO: ACTUACIONES PREVIAS DE INVESTIGACIÓN
La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
Relación contractual entre Enérgya-VM y Nivalco
Expresa Enérgya-VM (EscritoEnergyaVM) que “la contratación de Nivalco como
prestador de servicios para la realización de acciones de “fuerza de venta” surge tras
recibir una oferta comercial por su parte en la que Nivalco manifiesta ser responsable
del tratamiento de una base de datos que contiene información identificativa de
personas físicas y jurídicas para la promoción de diversos servicios”. Añade que
Enérgya-VM que “con anterioridad a la suscripción del contrato de prestación de
servicios con Nivalco, […] solicitó a Nivalco información acerca de la Base de Datos
para garantizar que, en efecto, las campañas de suministro eléctrico que
potencialmente iban a ser ofrecidas a los interesados se llevaban a cabo de
conformidad con lo establecido en el Reglamento (UE) 2016/679 […] y en la Ley
Orgánica 3/2018”. Facilita (documento 2 del EscritoEnergyaVM) una declaración
responsable de Nivalco de fecha 28 de junio de 2019 que incluye lo siguiente:
“Que la mercantil NIVALCO SOLUCIONES COMERCIALES, S.L con CIF B67330399,
Promotor de Enérgya-VM, es titular y responsable de un fichero comercial de
contactos identificativos básicos de personas físicas y jurídicas para la promoción de
servicios en general.
Que con objeto de poder utilizar el citado fichero para el desarrollo de la actividad
comercial conforme al acuerdo de promoción de contratos a comisión suscrito con
Enérgya-VM con fecha 28 de junio de 2019 en adelante, el acuerdo), DECLARO como
responsable del fichero:
1) Que los datos contenidos en el citado fichero son los estrictamente necesarios,
adecuados, pertinentes y veraces, para la consecución de acciones comerciales, y
que los datos de contacto de las personas físicas y jurídicas del fichero han sido
obtenidos de manera lícita y legítima conforme al Reglamento EU 2016/679 de
Protección de Datos Personales (RGPD), así como, tratados de modo proporcional a
la finalidad para la que fueron recabados; y por tanto, afirmo no haber obtenido los
datos por medios fraudulentos, desleales o ilícitos, con asunción total de las posibles
sanciones derivadas de las infracciones en caso de incumplimiento del RGPD y
exención de responsabilidades a Enérgya-VM derivadas del citado fichero y su
tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/227
2) Que me obligo a realizar un uso responsable y a mantener el debido secreto
profesional respecto de los datos de carácter personal, comprometiéndome a aplicar
proactivamente las medidas técnicas y organizativas apropiadas a fin de garantizar y
poder demostrar que el tratamiento es conforme con el RGPD, teniendo en cuenta la
tipología de datos del ficheros, y en concreto a la naturaleza, el ámbito, el contexto y
los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para
los derechos y libertades de las personas físicas.
3) En el caso de acceso a datos de responsabilidad de Enérgya-VM, declaro conocer
y aplicar las condiciones e indicaciones como encargado de tratamiento
documentadas de Enérgya-VM, en cumplimiento del Art. 28 del RGPD.”
Manifiesta Enérgya-VM (EscritoEnergyaVM), en relación con la creación de la base de
datos utilizada por Nivalco, que no disponía de ningún poder de decisión sobre “qué
datos se incluyen (ni siquiera los conoce), las finalidades para las que son tratados, la
composición de esta, su custodia, los terceros que acceden a dichos datos, las
medidas de seguridad implementadas y/o cualesquiera otros aspectos relacionados
con el porqué y el cómo del tratamiento”. Asimismo, señala a Nivalco como “exclusivo
responsable del tratamiento” que “debía garantizar la obtención y el tratamiento lícito
de los datos personales” tal y como consignó en la declaración responsable.
Añade Enérgya-VM (EscritoEnergyaVM) que se incluyó el clausulado relativo al
encargo del tratamiento (documento 3 del EscritoEnergyaVM) como parte del acuerdo
de promoción de contratos a comisión suscrito el día 1 de julio de 2019 con Nivalco. Al
respecto señala Enérgya-VM que dicho encargo “afecta únicamente a los interesados
que, tras haber recibido la oferta de los servicios de Enérgya por parte de Nivalco,
opten por contratar el suministro de energía con Enérgya y, en particular, se refiere a
aquellos datos adicionales necesarios para la contratación que no consten en la Base
de Nivalco”. Así, argumenta Enérgya-VM que, con respecto a aquellos datos
identificativos y de contacto que sí estaban incluidos en la base de datos, Enérgya-VM
y Nivalco son responsables del tratamiento independientes. Sobre esto último
manifiesta lo siguiente:
“(i) Enérgya los trata para la finalidad de prestar los servicios de suministro de energía,
siendo la base legitimadora la ejecución del contrato del que el interesado es parte o,
en su caso, la aplicación petición de este de medidas precontractuales; y
(ii) Nivalco los trata para la finalidad de promocionar servicios de terceros con los que
este suscribe acuerdos de prestación de servicios, siendo la base legitimadora, de
conformidad con la información proporcionada por Nivalco a Enérgy, el consentimiento
expreso recabado por Nivalco. A este respecto, dado que estamos ante relaciones
jurídicas distintas, la responsabilidad de recabar los mencionados consentimientos
corresponde, exclusivamente, a Nivalco en calidad de responsable independiente del
tratamiento.”
En relación con la resolución del vínculo contractual entre Nivalco y Enérgya-VM, ésta
ha aportado (documento 9 del EscritoEnergyaVM) la carta mediante la cual notificó a
Nivalco la finalización del contrato. Fechada el día 28 de mayo de 2020, reproduce los
siguientes párrafos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/227
“Les remitimos la presente notificación para comunicarles la resolución del Acuerdo de
promoción de contratos a comisión subscrito entre Nivalco Soluciones Comerciales,
SL y Enérgya VM Gestión de Energía, SLU con fecha 1 de julio de 2019, en aplicación
de la facultad que otorga la cláusula 1.2 de las Condiciones Generales del citado
Acuerdo, con un mes de preaviso.
[…] (…):
- (…)
- (…)
- (…).
(…).
(…).”
Directrices y supervisión de la actividad de Nivalco
Enérgya-VM ha manifestado (EscritoEnergyaVM) que “lleva a cabo campañas de
formación periódicas, remitiendo a todas fuerzas de venta con las que firma acuerdos
de promoción de contratos a comisión (los “Promotores”), incluyendo Nivalco, correos
electrónicos con directrices específicas con argumentarios de venta conforme a la
legalidad general (evitando confusión con otros comercializadores o distribuidores) e
instrucciones concretas de la forma en la que deben tratar los datos personales de
Enérgya para garantizar la protección de los derechos de los interesados.” Sobre este
particular ha facilitado los siguientes documentos:
- Documento 4 del EscritoEnergyaVM: correo electrónico de fecha 15 de julio de
2019 y asunto “(…)”. Manifiesta Enérgya-VM respecto al mismo que fue enviado a
todos los “Promotores, incluyendo Nivalco”. La comunicación subraya que se debe
cumplir la normativa de datos personales de acuerdo al contrato firmado entre las
partes. Cita expresamente la (…) y de atender los derechos en materia de
protección de datos personales.
- Documento 5 del EscritoEnergyaVM: correo electrónico de fecha 27 de enero de
2020 y asunto “(…)”. Manifiesta Enérgya-VM respecto al mismo que fue enviado a
todos los “Promotores, incluyendo Nivalco”. La comunicación subraya que se debe
cumplir la normativa de datos personales de acuerdo al contrato firmado entre las
partes. Igualmente comunica que (…). Además, refiere las acciones que se han de
tomar en caso de recibir solicitudes por parte de clientes o exclientes de Enérgya-
VM. Asimismo, recuerda expresamente la necesidad de (…).
Manifiesta Enérgya-VM (EscritoEnergyaVM) en relación a este correo que
“Mediante esta medida, Enérgya busca tener un cauce para auditar las respuestas
al ejercicio de derechos otorgadas por los Promotores. […] una vez que un
consumidor ha contratado los servicios de suministro de Enérgya, desde la
Sociedad se asume un rol como responsable del tratamiento. Estas directrices
responden, precisamente, a la implementación de medidas que permitan a
Enérgya conocer la información relacionada con el tratamiento de datos
personales de sus clientes por parte de los Promotores”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/227
- Documento 6 del EscritoEnergyaVM: correo electrónico de fecha 24 de julio de
2020 y asunto “(…)”. Comunicación análoga a la vista en el párrafo anterior.
Expresa que se envió como reiteración tras resolver el acuerdo con Nivalco.
En relación con la supervisión de la actividad de Nivalco como “promotor”, Enérgya-
VM ha señalado (EscritoEnergyaVM) en primer lugar que, al “no poder acceder a la
Base de Datos de Nivalco al no ser responsable Enérgya de la misma, no se podía
supervisar”. Añade, no obstante, que una vez tuvo conocimiento de las “posibles
irregularidades en la actuación de Nivalco […] inició un procedimiento de verificación,
llamando a todos los clientes que habían contratado sus servicios de suministro a
través de Nivalco con la finalidad de proporcionarles, de nuevo, toda la información
necesaria y renovar los consentimientos otorgados.” Expresa que esta actuación
encaja dentro de “los estándares de privacidad y diligencia establecidos y
desarrollados en el Código de Buenas Prácticas Comerciales de Enérgya” (documento
10 del EscritoEnergyaVM) que “tiene la finalidad de servir como guía de conducta
ética tanto para Enérgya como para los Promotores con los que Enérgya desarrolle
cualquier tipo de actividad comercial”. Este documento consigna en el apartado
“Principios”, el siguiente:
“(…)”
Asimismo, en el apartado de “Practicas” el documento cita:
“(…)”
Enérgya-VM expresa (EscritoEnergyaVM) asimismo que una vez “fue conocedora de
las posibles irregularidades en la actuación de Nivalco, interpuso una denuncia por los
presuntos delitos de (…) frente al Juzgado (…) y exigió a Nivalco su inmediata
subsanación, así como la cesación de la actividad comercial a una captación
meramente residual.” Y añade que “Pocos meses más tarde, ante la desconfianza que
le transmitía Nivalco, Enérgya decidió resolver la relación que les unía, como ya
hemos expuesto, la cual en ningún momento se ha vuelto a retomar”.
En relación con las reclamaciones recibidas por Enérgya-VM por parte de clientes
captados por Nivalco, Enérgya-VM manifiesta (EscritoEnergyaVM) haber recibido
“veinticuatro (24) reclamaciones de clientes (alguna inclusiva de varios CUPS-puntos
de suministro-), todas las cuales se han tramitado correctamente, accediendo a lo
solicitado en cada caso por cada persona.” Adjunta (documento 12 del
EscritoEnergyaVM) un resumen de las reclamaciones recibidas.
Modelo de supervisión de Enérgya-VM de los “promotores”
Especifica Enérgya-VM (EscritoEnergyaVM) que actualmente realiza las siguientes
acciones de supervisión:
- Facilita el Código de Buenas Prácticas a los Promotores (documento 10 del
EscritoEnergyaVM)
- Recomienda un argumentario concreto de venta a los Promotores. Ha adjuntado
el mismo como documento 8 del EscritoEnergyaVM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/227
- Exige la grabación de todas las llamadas de captación a consumidores
domésticos.
- Emplea a un tercero verificador en el soporte duradero contractual.
- Emplea a una empresa externa al Promotor y Enérgya-VM para la verificación del
consentimiento de los clientes.
- Remite emails semestrales insistiendo en el escrupuloso respeto de la Protección
de datos. Adjunta (documentos 13 y 14 del EscritoEnergyaVM) los que señala
como remitidos a los promotores en 2022 y 2023:
o Comunicación de asunto “COMUNICADO: Código de Buenas Prácticas
Comerciales” de fecha 1 de diciembre de 2022, en el que se manifiesta
adjuntar el código ético como “guía de conducta ética para la propia
Compañía y sus Promotores”.
o Comunicación de asunto “COMUNICADO: Protección de Datos
Personales y garantía de los derechos digitales” de fecha 6 de marzo de
2023, en el que se recuerda la obligación de respetar la normativa de
protección de datos personales. Además explicita un recordatorio de la
necesidad de cumplir con la transparencia según lo dispuesto en el artículo
13 del RGPD y el artículo 11 de la LOPDGDD.
Procedimiento de contratación de los suministros con Enérgya-VM
Enérgya-VM resume (EscritoEnergyaVM) el procedimiento de contratación “que se
sigue y seguía en los meses en los que Nivalco captó a los clientes para la
contratación del suministro de energía con sus clientes por vía telefónica” en los
siguientes términos:
“(i) Previo contacto telefónico por parte de los Promotores: los Promotores contactan
telefónicamente con el potencial cliente y hacen una descripción del producto que se
comercializa, así como de sus características. En el supuesto que nos ocupa, durante
esta fase del proceso, Enérgya no es conocedora de los datos personales de los
interesados a los que se dirige Nivalco, no ha llevado a cabo ninguna actividad de
tratamiento sobre la Base de Datos y no tiene capacidad de decisión sobre a qué
interesados se dirige la oferta. A contrario, la acción comercial la lleva a cabo Nivalco
en calidad de responsable del tratamiento, decidiendo a qué interesados dirigir cada
una de las ofertas comerciales que posee dentro de las opciones proporcionadas por
sus diferentes clientes, entre los que se encuentra Enérgya.
(ii) Inicio del Procedimiento de Contratación: este Procedimiento se dividía en las
siguientes fases: (a) llamada grabada con formulación de preguntas preestablecidas
por Enérgya a través del script; (b) recepción de SMS informando de la oferta y las
condiciones al cliente, con un hipervínculo a las condiciones generales en las que se
incluye la información relativa al tratamiento de sus datos por parte de Enérgya; (c)
otorgamiento del consentimiento expreso mediante respuesta positiva del cliente al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/227
SMS; (d) verificación por parte de un proveedor externo; y (e) remisión del contrato al
cliente.
(iii) Labor de control y verificación por parte de Enérgya: por su parte, Enérgya, en su
labor de control y verificación de las contrataciones realizadas a través de Promotores,
supervisa que se sigue el contenido del script y analiza la respuesta al SMS certificado
recibido por el cliente con la finalidad de autenticar que, efectivamente, este ha tenido
acceso a las Condiciones Generales, las cuales contienen el aviso de privacidad
pertinente. Posteriormente un tercero verificador, ajeno al canal de venta, realiza una
llamada para verificar el consentimiento emitido por el cliente final.”
Sobre la primera de las fases que ejecutan “los Promotores” (tal y como los refiere
Enérgya-VM), Enérgya-VM ha señalado que les recomienda la utilización de un
argumentario (adjunto como documento 8 del EscritoEnergyaVM). A continuación, se
transcribe su contenido:
(…)
Adicionalmente, en relación con el proceso de aceptación de la oferta mediante
respuesta al mensaje de texto, Enérgya-VM ha facilitado (documento 7 del
EscritoEnergyaVM) un certificado emitido por un tercero (Of Service BTP, S.L.) que
“muestra la información facilitada a un cliente en el momento de la contratación”.
Incluye la certificación del tercero del envío de un mensaje (SMS) con el texto que
refiere la contratación a la que se va a proceder con Enérgya-VM con inclusión de un
enlace a una página de internet. Este mensaje concluye requiriendo que se responda
afirmativamente para aceptar la contratación. Además, el tercero certifica la recepción
del mensaje de respuesta y de su contenido (“Si”, en el documento facilitado). El
documento incluye la copia de las condiciones de contratación que contiene, en su
cláusula quinta, la información relativa al tratamiento de datos personales. Esta
cláusula consigna los siguientes párrafos:
“(…)”.
Muestra de contrataciones efectuadas por Nivalco para Enérgya-VM
La Resolución de la CNMC de fecha 28 de julio de 2022 del procedimiento
sancionador incoado a Enérgya-VM Gestión de la Energía S.L.U., por incumplimiento
de los requisitos de contratación y apoderamiento con los clientes incluye, entre los
hechos probados, el siguiente:
“La comercializadora ENÉRGYA-VM GESTIÓN DE LA ENERGÍA, S.L.U. durante el
periodo comprendido entre febrero y mayo de 2020, realizó de forma continuada
llamadas telefónicas, a través de la sociedad NIVALCO SOLUCIONES
COMERCIALES, S.L., que viciaron el consentimiento prestado por una pluralidad de
consumidores de electricidad y gas -que se corresponden con los CUPS que, a
continuación, se relacionan- para cambiar sus correspondientes contratos de
suministro”.
A solicitud de la AEPD, la CNMC ha facilitado (EscritoCNMC) la documentación
relativa a los treinta puntos de suministro cuya contratación se refiere en los hechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/227
probados de la ResoluciónCNMC. Para cada una de estas contrataciones la CNMC ha
aportado (Diligencia CNMC) los siguientes documentos:
“1. La grabación desde el primer contacto con el consumidor (numerado con un 1).
2. La grabación para formalizar la contratación (numerado con un 2).
3. En caso de existir, la grabación de la llamada de verificación de la contratación
efectuada por la empresa (...) (numerado con un 3).
4. Copia del certificado de envío, recepción y confirmación del SMS con la oferta
comercial.
5. Copia del contrato formalizado”
El hecho probado sexagésimo de esta resolución, reseña el contenido de dichos
documentos.
Tal y como se apuntó anteriormente, Enérgya-VM manifiesta (EscritoEnergyaVM)
haber recibido “veinticuatro (24) reclamaciones de clientes (alguna inclusiva de varios
CUPS-puntos de suministro-), todas las cuales se han tramitado correctamente,
accediendo a lo solicitado en cada caso por cada persona.” A tal efecto adjunta
(documento 12 del EscritoEnergyaVM) un resumen de las reclamaciones recibidas
junto a la documentación relativa a las mismas:
El hecho probado sexagésimo primero de esta resolución contiene una muestra de
dichas reclamaciones. Asimismo, el hecho probado sexagésimo segundo de esta
resolución reproduce el análisis de cada expediente efectuado por el Inspector de la
AEPD y reflejado en el informe de actuaciones previas de investigación de 5 de mayo
de 2023.
QUINTO: ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
Con fecha 9 de mayo de 2023, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo
dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por:
- Por la supuesta infracción del artículo 5.2 del RGPD, tipificada en el artículo
83.5 de dicha norma.
- Por la supuesta infracción del artículo 5.1.a) del RGPD, tipificada en el artículo
83.5 de dicha norma.
SEXTO: COPIA DEL EXPEDIENTE Y AMPLIACIÓN DE PLAZO
Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), el día 11 de mayo de 2023 la parte
reclamada solicitó copia del expediente, así como ampliación de plazo para presentar
alegaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/227
El 17 de mayo de 2023, se remitió a la parte reclamada el expediente, concediendo al
mismo tiempo un nuevo plazo para presentar alegaciones.
SÉPTIMO: ALEGACIONES AL ACUERDO DE INICIO:
La parte reclamada presentó escrito de alegaciones al acuerdo de inicio el día 7 de
junio de 2023 en el que, en síntesis, manifestaba lo siguiente:
Enérgya-VM incluye en su escrito de alegaciones de 7 de junio de 2023 una
cronología de los hechos dividida en cuatro fases:
I fase: inicio de la relación con Nivalco y notificación de (...).
II fase: inicio de la auditoría por parte de Enérgya-VM.
III fase: periodo de observación y análisis de los resultados.
IV fase: recepción de nueva información y resolución de la relación contractual con
Nivalco.
Asimismo, formula las siguientes alegaciones:
1. Ausencia de responsabilidad de Enérgya-VM. Afirma no ser responsable de las
acciones de Nivalco, ni de los tratamientos llevados a cabo por este último sobre
la Base de Datos de Nivalco.
Enérgya afirma que no ha tenido ningún tipo de responsabilidad o capacidad de
decisión en los hechos.
La parte reclamada destaca que Nivalco había obtenido los datos personales de
manera independiente y construido y estructurado su Base de Datos, determinando,
de manera autónoma, los medios y finalidades del tratamiento.
Enérgya-VM considera que no ha llevado a cabo actividades de tratamiento, que
permitan inferir su rol como responsable del tratamiento respecto de la Base de Datos
de Nivalco.
Afirma que su capacidad de decisión sobre las finalidades y los medios del tratamiento
que poseía Enérgya-VM respecto de la Base de Datos de Nivalco ha sido en todo
momento nula. Destaca que no ha tenido acceso o conocimiento alguno sobre
aquellos interesados que, estando incluidos en la Base de Datos de Nivalco, fueron
contactados por dicha empresa y decidieron no contratar los servicios de Enérgya-VM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/227
La parte reclamada estima que, desde la perspectiva de protección de datos, la
relación con los consumidores a los que Nivalco se dirigía fue, en todo momento,
ajena a Enérgya-VM en la primera fase de la captación. Es decir, en el momento de
contacto con tales consumidores y hasta que estos no confirmaban su intención de
contratar a Enérgya-VM, Nivalco era el único responsable del tratamiento de los datos
personales contenidos en la Base de Datos Nivalco.
En opinión de Enérgya-VM, prueba de ello es el certificado de licitud de la Base de
Datos de Nivalco emitido por Nivalco en fecha 28 de junio de 2019, cuyo contenido
reproduce parcialmente. La parte reclamada considera que dicho certificado supone
una clara evidencia de que la Base de Datos de Nivalco fue elaborada, en exclusiva,
por Nivalco, sin cooperación alguna por parte de Enérgya-VM.
Enérgya no niega haber tenido una relación de responsable del tratamiento con sus
clientes desde el momento en el que, de manera libre y autónoma, estos decidían
contratar sus servicios.
Es decir, Enérgya adquiría el rol de responsable del tratamiento en el momento en el
que comenzaban las medidas contractuales. En opinión de Enérgya-VM, ese era el
preciso instante en el que desde Enérgya-VM se tomaban decisiones sobre las
finalidades para las que dichos datos personales iban a ser tratados – suscribir el
contrato y prestar el servicio – y los medios del tratamiento. Así, sólo en el momento
en el que se materializaba el consentimiento del interesado para contratar los servicios
de Enérgya-VM, sus datos pasaban a formar parte de la base de datos de Enérgya (la
Base de Datos de Enérgya), independiente de la Base de Datos de Nivalco.
A continuación, hace referencia a las Condiciones Generales del Contrato suscrito con
Nivalco, en el que se regula la relación entre el responsable y el encargado del
tratamiento. En este sentido, vuelve a insistir en que el encargo del tratamiento
afectaba únicamente a los interesados que, tras haber recibido la oferta de los
servicios de Enérgya-VM por parte de Nivalco, optaban por contratar el suministro de
energía con Enérgya-VM.
La parte reclamada destaca que la Base de Datos de Enérgya no es una copia de la
Base de Datos de Nivalco. La primera (Base de Datos de Enérgya), incorpora
exclusivamente:
Los datos personales de los interesados que sí habían decidido contratar los
servicios de Enérgya-VM.
Únicamente aquellos datos de carácter personal que eran necesarios para la
contratación
Enérgya-VM trataba dichos datos exclusivamente para las finalidades
relacionadas con el suministro contratado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/227
A continuación, Enérgya-VM destaca que, de conformidad con el RGPD, la LOPDGDD
y las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y
«encargado del tratamiento» en el RGPD emitidas por el Comité Europeo de
Protección de Datos (en adelante, CEPD), la figura del responsable del tratamiento
requiere tener capacidad de decisión sobre determinados aspectos considerados
esenciales del tratamiento de datos (destacando la finalidad y medios del tratamiento).
Asimismo, cita un ejemplo incluido en las mencionadas Directrices que considera
aplicable a su caso.
Enérgya-VM indica que, según afirma la AEPD en el acuerdo de inicio, Enérgya
cumple con el rol de responsable del tratamiento desde el inicio de la relación
contractual entre Nivalco y Enérgya-VM. La AEPD llega a esta conclusión partiendo de
las supuestas directrices otorgadas por Enérgya-VM a Nivalco, que evidenciarían su
papel como responsable. Sin embargo, la parte reclamada considera necesario
diferenciar meras pautas de índole comercial, sin impacto en el ámbito de la protección
de datos, de directrices propias de un responsable del tratamiento.
Enérgya-VM concluye insistiendo en que no puede ser considerada como responsable
del tratamiento de la Base de Datos de Nivalco desde el inicio de la relación
contractual con dicha empresa, llegando a afirmar que se he producido una
instrumentalización de la normativa de protección de datos a efectos de aplicar una
interpretación extensiva del concepto de responsable del tratamiento sobre
actuaciones e ilícitos que no son imputables a Enérgya-VM ni directamente ni por
acción ni por omisión.
Destaca que incluso si la AEPD considera a Enérgya-VM responsable del tratamiento,
cosa que niega, carecería de fundamento obviar lo que Nivalco no atendió las guías
comerciales de Enérgya-VM, sin que la parte reclamada tuviese control sobre estos
hechos y, por tanto, dicha conducta omisiva no podría ser imputable a Enérgya-VM.
En otro apartado del escrito de alegaciones al acuerdo de inicio, Enérgya-VM destaca
que en el supuesto de que la AEPD mantuviera que Enérgya-VM actuaba como
responsable del tratamiento desde el inicio de la relación contractual, la parte
reclamada considera imprescindible destacar lo siguiente:
El hecho de que Nivalco ignorara las directrices de Enérgya, no supondría un
incumplimiento del principio de responsabilidad proactiva como indica la AEPD.
El encargo del tratamiento es instrumental, permite delegar actividades
empresariales a terceros, garantizando una adecuada protección de los datos
personales tratados.
Si bien dicha delegación conlleva unos controles, Enérgya-VM considera que la
AEPD no puede exigir que sean mayores que los requeridos por el propio RGPD. En
su opinión, requerir a los responsables del tratamiento unos estándares de vigilancia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/227
excesivos e inoperativos contravendrían la naturaleza del encargo del tratamiento al
impedir, de facto, la delegación de funciones.
2. Enérgya-VM destaca haber actuado en todo momento con los más altos
estándares de diligencia, contratando a auditores externos, imponiendo medidas
de control adicionales e incluso presentando una denuncia por la vía penal a
efectos de esclarecer los hechos.
Enérgya-VM afirma que durante la vigencia de su relación contractual con Nivalco, ha
actuado conforme a los más altos estándares de diligencia.
En primer lugar, destaca que su intención al proporcionar el Script de ventas y demás
directrices genéricas a Nivalco era:
Garantizar que su imagen de marca no se viera dañada y que sus proveedores
presentaban a Enérgya al mercado cumpliendo con los más altos estándares de
calidad promovidos por ella.
Cumplir con las obligaciones en materia civil, relacionadas con consumidores y
usuarios, cuestiones evaluadas por la CNMC y que, en opinión de la parte reclamada,
nada tienen que ver con la protección de datos.
Asentar las bases de la futura relación entre responsable del tratamiento e
interesado que Enérgya-VM sabía que ostentaría en el supuesto de que los
interesados optasen por contratar los servicios de Enérgya.
Según Enérgya-VM, dichas actuaciones cumplían, desde la perspectiva de la
protección de datos, con una función preventiva, lo que, en su opinión, demuestra no
sólo gran diligencia comercial por parte de Enérgya sino, adicionalmente, un
escrupuloso respecto al principio de responsabilidad proactiva establecido en el
RGPD.
A continuación, destaca una serie de actuaciones mitigadoras llevadas a cabo por
Enérgya-VM y que, en su opinión, han sido omitidas por el acuerdo de inicio:
1. Auditoría externa: La parte reclamada encargó a un proveedor externo, la empresa
(...), la realización de una auditoría para verificar si el proceso de contratación
efectuado por Nivalco cumplía con los elevados estándares de legalidad y calidad
exigidos por Enérgya-VM.
La parte reclamada considera que determinados resultados del informe de auditoría
elaborado por (...) han sido malinterpretados por la AEPD y aclara que los parámetros
empleados por (...) servían para medir la desviación de Nivalco del Script elaborado
por Enérgya-VM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/227
2.Denuncia: Tras haber llevado a cabo una investigación interna, Enérgya-VM
interpuso una denuncia por presuntos (...) denuncia contra los (...) cuyas ratios de
incidencias habían resultado más elevadas. frente al Juzgado de (...), el día 10 de
octubre de 2019.
3.(…) de la calidad de la contratación: Enérgya-VM solicitó a (...) la prestación de
servicios continuados para la verificación de todas las captaciones comerciales de
Nivalco, mediante una (…) y de la calidad de la contratación.
Según explica Enérgya-VM, esta medida consistía en lo siguiente:
1.Pasados tres días desde la contratación del suministro, (...) contactaba con
los clientes para volver a verificar que la contratación se había realizado
correctamente y que el cliente había entendido el producto contratado y, por
ende, la modificación de responsable del tratamiento.
2. Si como consecuencia de la llamada de verificación de (...), la contratación
no pasaba los requisitos de validación, el contrato de suministro con Enérgya
nunca llegaba a entrar en vigor ni se llegaba a activar el cambio de
comercializador.
Dicho sistema se prolongó hasta el 31 de mayo de 2020. En ese momento, dada la
desconfianza que transmitía Nivalco y la notificación el 22 de abril de 2020 de un
nuevo requerimiento por parte de la CNMC, Enérgya-VM decidió resolver el contrato
con Nivalco.
4.Remisión de varios escritos a Nivalco (el correo electrónico de 13 de septiembre de
2019 y los burofaxes de 10 y 31 de octubre de 2019).
En el primero, se ponían de manifiesto las irregularidades puestas en conocimiento de
Enérgya-VM por parte de (...) y se indicaba el inicio de la auditoría de (...). En los
segundos, se exigía a Nivalco la inmediata subsanación de toda acción que pudiese
ser considerada ilícita.
El 31 de mayo de 2020 Enérgya-VM decidió resolver la relación contractual con
Nivalco. El escrito de alegaciones al acuerdo de inicio contiene varias aclaraciones al
respecto.
1. En cuanto a la causa de dicha decisión: destaca la desconfianza que le transmitía
Nivalco y la notificación el 22 de abril de 2020 de un segundo bloque de
requerimientos por parte de la CNMC, circunstancia mencionada en otras tres
ocasiones en dicho apartado.
2. En relación con la afirmación de la AEPD relativa a que a pesar de obtener la
confirmación de casos de mala praxis que afectaban a Nivalco, decidió mantener el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/227
acuerdo con dicha empresa: Enérgya-VM destaca que tenía una relación comercial
con Nivalco que implicaba obligaciones. Resalta que estuvo de forma continúa
investigando los hechos para obtener certeza.
3. En relación con la afirmación de la AEPD relativa a que no consta un análisis de
riesgos tras los resultados obtenidos en la auditoría de (...): Enérgya-VM afirma que
dicha aseveracion es incongruente con las múltiples acciones llevadas a cabo por su
parte. Asimismo, resalta que realizó esfuerzos destinados a contextualizar, identificar,
analizar y evaluar las conductas de Nivalco, tal y como indica la Guía de Gestión del
riesgo y evaluación de impacto en tratamientos de datos personales de la AEPD.
Concluida dicha fase de identificación y análisis no hizo una evaluación de riesgos
más exhaustiva, porque optó por resolver el contrato con Nivalco.
4. Por otra parte, destaca numerosas acciones que reflejan un trato individualizado del
caso Nivalco (auditoría específica, (...), demanda contra (...), comunicaciones
individualizadas, etc).
5. Frente a la afirmación de la AEPD de que la rescisión del contrato con Nivalco se
produjo como consecuencia de la crisis provocada por la COVID-19: destaca que la
AEPD analiza dicha carta como una comunicación aislada y no tiene en cuenta que
Enérgya-VM adoptó la decisión de rescindir el contrato con Nivalco de forma prudente
al recibir el segundo bloque de requerimientos de la CNMC a partir del 22 de abril de
2020.
3. Enérgya-VM considera que la calificación de las supuestas conductas
cometidas por dicha empresa es errónea e incumple el principio de tipicidad que
rige el derecho administrativo sancionador.
La parte reclamada estima que la AEPD ha realizado una calificación incorrecta de las
conductas de Enérgya-VM, que requiere una retipificación para cumplir con los
principios rectores del procedimiento administrativo sancionador.
Considera que las supuestas infracciones cometidas por Enérgya-VM supondrían el
incumplimiento de las obligaciones derivadas de los artículos 28, 32, 13 y 14 del
RGPD (cuya infracción se califica como grave y leve en la LOPDGDD).
La parte reclamada afirma que la AEPD opta por subsumir tales infracciones bajo el
amplio paraguas de los principios rectores del RGPD (infracción calificada como muy
grave por la LOPDGDD). En su opinión, esta calificación de la AEPD, contraviene el
principio de tipicidad (artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público (LRJSP). Asimismo, menciona el principio de especialidad
previsto en el artículo 8 del Código Penal, cuya aplicación al derecho administrativo
sancionador es ampliamente aceptada (Sentencia del Tribunal Supremo, Sala de lo
Contencioso-Administrativo, número 529/2022, de 4 de mayo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/227
En cuanto a la supuesta infracción del artículo 5.1 a) y 5.2 del RGPD las considera
extremadamente genéricas y considera que la motivación que contiene el acuerdo de
inicio es, cuanto menos, ambigua. Recuerda que el principio de tipicidad emana del
mandato de taxatividad o lex certa, que exige la mayor concreción posible en la
imposición de sanciones por parte de la Administración. Enérgya-VM cita
jurisprudencia: STS de 15 de noviembre de 1999, STS de 7 de mayo de 1987 y la SAN
nº 6640/2022, de 23 de diciembre de 2022.
En opinión de Enérgya-VM, no detalla el porqué de la subsunción de los hechos en el
artículo 5 del RGPD, cuando dichas conductas deberían ser subsumidas, en todo
caso, en otras infracciones de la LOPDGDD.
Enérgya-VM considera que no existe una motivación suficiente, pues la AEPD
simplemente menciona determinadas conductas supuestamente desarrolladas por
dicha empresa para terminar afirmando que le es de aplicación una sanción
discrecionalmente determinada por la AEPD.
En su opinión, no existe una explicación expresa, razonada y fundada sobre por qué
las conductas han de ser subsumidas dentro del tipo sancionador propuesto, toda vez
que existen tipos administrativos más adaptados a las supuestas conductas infractoras
de Enérgya (infracciones de los artículos 73. f); 73. k) y 74. a) de la LOPDGDD).
Afirma que en virtud del principio de especialidad, los preceptos infringidos serían los
que imponen determinadas obligaciones específicas.
Según Enérgya-VM, esta selección omisiva de la norma contraviene frontalmente el
principio de tipicidad e implica una vulneración de la seguridad jurídica que requiere el
derecho administrativo sancionador (STC 242/2005, de 10 de octubre).
La parte reclamada considera notorio que, existiendo normas más ciertas, más
específicas y que responden de manera más ajustada a las supuestas infracciones de
Enérgya-VM, no era esperable para dicha empresa la aplicación de los tipos
infractores del Acuerdo de Inicio.
La parte reclamada muestra sorpresa por el hecho de que una brecha de seguridad
relacionada con (...), no desemboque en la apertura de un expediente sancionador a
(...) o a Nivalco, sino contra Enérgya-VM, empresa mediana que desde entonces lleva
sufriendo un alto coste reputacional por estos hechos, perjuicios económicos notables
derivados de impagos de clientes finales y extracostes.
A continuación, hace referencia a resoluciones de expedientes sancionadores en los
que considera que, ante hechos similares, la AEPD ha impuesto sanciones con base
en otras infracciones, con una calificación menor, siendo consideradas graves o leves,
pero no muy graves (PS/00059/2020, PS/00037/2020).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/227
Enérgya- VM concluye destacando que no se estaría respetando el principio de
tipicidad en su vertiente material, lo que conllevaría una vulneración de los derechos
del administrado en el procedimiento sancionador.
4. Clara prescripción de las acciones en la que correspondería subsumir las
supuestas conductas de Enérgya a la fecha de incoación del presente
Procedimiento.
Según Enérgya-VM, el motivo por el que aparentemente la AEPD ha decidido
subsumir las conductas imputadas a Enérgya-VM en la infracción de los artículos 5.1a)
y 5.2 del RGPD y no en los preceptos específicos antes citados, es que las acciones u
omisiones tipificadas en los artículos 73 f), 73 k) y 74 a) de la LOPDGDD prescriben a
los dos años (las dos primeras) y al año (la tercera).
El contrato entre Enérgya-VM y Nivalco se rescindió con fecha de efectos de 1 de julio
de 2020. En consecuencia, dichas acciones habrían prescrito.
La parte reclamada afirma que la AEPD habría dejado transcurrir el plazo máximo
legal para exigir responsabilidades a Enérgya-VM (periodo de dos años). Asimismo,
considera que el procedimiento sancionador atentaría contra los principios
constitucionales de seguridad jurídica (artículo 9.3 de la Constitución) y de eficacia de
la Administración Públicas (artículo 103.1 de la Constitución).
5. La parte reclamada estima que se ha producido una vulneración del principio
de proporcionalidad.
5.1. Principio de proporcionalidad
Enérgya-VM destaca que el principio de proporcionalidad implica que la imposición de
sanciones por las Administraciones Públicas deberá guardar la debida adecuación
entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada. Se ha
configurado como un principio general y esencial del derecho administrativo
sancionador que supone un límite a la potestad sancionadora de la propia
Administración Pública.
5.2. Principio de proporcionalidad en materia de protección de datos:
En materia de protección de datos, el principio de proporcionalidad se consagra en el
artículo 83 del RGPD, así como en el artículo 76 de la LOPDGDD (relativo a las
sanciones y medidas correctivas).
A continuación, la parte reclamada hace referencia al considerando 129 del RGPD y a
la Sentencia de la Audiencia Nacional 6640/2022 de 23 de diciembre de 2022. Según
Enérgya-VM la citada Sentencia destaca que el respeto al considerando 129 se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/227
materializa atendiendo a los principios de la potestad sancionadora de la
Administración
Enérgya-VM destaca que las supuestas conductas infractoras son aisladas. Los
hechos enjuiciados son absolutamente aislados y tienen un origen muy concreto:
Nivalco. La parte reclamada considera que en ningún caso están relacionadas con los
procesos o políticas de su empresa.
5.3. Resultados financieros de Enérgya-VM (EBITDA):
Considera flagrante la desproporción de la sanción, habida cuenta de los resultados
financieros de Enérgya-VM durante los últimos cuatro ejercicios. En este sentido, hace
referencia al EBITDA que, en su opinión, muestra la imagen más fiel de las pérdidas o
ganancias de la sociedad.
Refleja en una tabla el EBITDA correspondiente a los años 2019, 2020, 2021 y 2022.
Resalta que la sanción propuesta es superior al mayor de los EBITDAs obtenido por la
sociedad en estos cuatro años y que el EBITDA de Enérgya-VM de los dos últimos
ejercicios ha sido negativo.
5.4. Precedentes en el ámbito bancario o de telecomunicaciones:
Posteriormente cita diversos precedentes (PS/00070/2019, PS/00477/2019,
PS/00059/2020) de sanciones impuestas por la AEPD a empresas bancarias o de
telecomunicaciones, al objeto de ilustrar la flagrante desproporción que implica la
sanción a Enérgya en comparación con sanciones anteriores impuestas por la AEPD,
incluyendo en sus alegaciones al acuerdo de inicio una tabla que incluye importe de
sanción, cifra de negocios del ejercicio anterior a la sanción, número de empleados
durante el ejercicio anterior a la sanción, EBITDA del ejercicio anterior y proporción de
la sanción sobre el EBITDA.
Énergya-VM considera que dicha tabla reflejaría la desproporción tanto en cuanto al
EBITDA, ya que según sus cálculos la sanción representaría un 225,93% del EBITDA,
como en cuanto a la cifra de empleados.
5.5. Particularidades del mercado de suministro de energía y precedentes de
sanciones en dicho mercado:
A continuación, hace referencia a las particularidades del mercado de suministro de
energía y gas y en concreto de Enérgya-VM:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/227
Los márgenes netos sobre la cifra de negocios se ven notablemente
aminorados por los costes de explotación y captación.
La parte reclamada destaca que no genera energía eléctrica o gas, sino que
actúa como intermediario dentro de la cadena de suministro.
Afirma ser un prestador de servicios de última milla que debe hacer frente al
pago de grandes cantidades en concepto de servicios prestados por terceros.
Afirma que los volúmenes de negocio cuantiosos, no son representativos de la
capacidad real de pago de dicha empresa.
La parte reclamada analiza sanciones de la AEPD en el sector de la comercialización
de la energía destacando que se trata de sanciones inferiores a las que pueden darse
en otros sectores (telecomunicaciones o bancario), donde los ratios de cifra de
negocios/EBITDA son mucho más elevados. A estos efectos menciona las
resoluciones de tres procedimientos sancionadores (PS/00025/2019, PS/00232/2020 y
PS/00153/2018).
5.6. Posibles efectos irreparables para Enérgya-VM derivados de la sanción:
Enérgya-VM afirma que la sanción propuesta puede ocasionar efectos irreparables, en
la medida que conllevaría (…) que impediría su continuidad habitual en el tráfico
mercantil.
Cita una Sentencia y tres Autos en los que el Tribunal Supremo valora la capacidad y
posición económica del infractor a la hora de graduar las sanciones a imponer
(Sentencia del Tribunal Supremo de 5 de noviembre de 1981, Autos del Tribunal
Supremo de 6 de marzo de 2014 en los recursos 487/2013 y 1571/2013, así como el
Auto del Tribunal Supremo de 6 de marzo de 2014 del recurso 487/2013).
6. Enérgya-VM cuestiona la graduación de la sanción:
La parte reclamada argumenta que pretende arrojar luz sobre la flagrante
desproporción de la sanción, para ello parte la calificación que considera correcta y de
que las supuestas infracciones de los artículos 73 f) y k) y del artículo 74 a) de la
LOPDGDD, estarían prescritas. En cualquier caso, los importes de las sanciones
deberían respetar los tramos previstos en el artículo 78 de la LOPDGDD.
Concluye afirmando que respetando dichos tramos la sanción máxima ascendería a
640.000 euros.
A continuación, enumera diversas circunstancias atenuantes que entiende aplicables
en su caso:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/227
1. El grado de cooperación con la AEPD (artículo 83.2 f del RGPD).
2. No haberse visto afectadas categorías de datos especialmente protegidos (artículo
83.2 g) del RGPD).
3. Los hechos no han tenido carácter continuado en el tiempo, sino una duración
limitada (artículo 83.2 a) del RGPD y 76.2 a) de la LOPDGDD).
4.La parte reclamada ha adoptado medidas para paliar los daños y perjuicios sufridos
por los interesados (artículo 83.2 c) del RGPD).
5.Enérgya-VM no ha cometido ninguna infracción anterior de la misma naturaleza
(artículo 83.2 e) del RGPD).
6.No ha habido intencionalidad (artículo 83.2 b) del RGPD).
7.No se han visto afectados derechos de menores (artículo 76. 2 f) del RGPD).
Concluye poniendo de manifiesto la falta de motivación por parte de la AEPD, al
considerar que la Agencia no ha desarrollado o motivado las causas por las que ha
obviado dichas atenuantes.
Enérgya-VM solicita el inmediato archivo del expediente sancionador por ausencia de
incumplimiento de la normativa en materia de protección de datos.
Alternativamente, la inmediata recalificación de las infracciones en los preceptos que
correspondería (artículos 73 f); 73 k) y 74 a) de la LOPDGDD) y, en consecuencia, el
inmediato archivo del expediente sancionador por prescripción.
Subdiariamente, la desestimación de una de las multas propuestas, al considerar que
los hechos descritos para determinar la infracción del artículo 5.2 del RGPD son los
mismos que los descritos para determinar la infracción del artículo 5.1 a) del RGPD,
dado que únicamente podría sancionarse una vez por los mismos hechos.
OCTAVO: PERIODO DE PRÁCTICA DE PRUEBA
Con fecha 9 de octubre de 2023 se acuerda abrir un periodo de práctica de prueba.
Se acuerda, asimismo:
-Dar por reproducidos a efectos probatorios los documentos y grabaciones
obtenidos y generados por la Subdirección General de Inspección de Datos en
las actuaciones previas al inicio del presente procedimiento sancionador. Así
como la comunicación de la Dirección General de la Dirección General de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/227
Policía de 13 de mayo de 2022, los informes de la Dirección General de la
Policía (CGPJ) de 12 de mayo de 2022, 25 de octubre de 2022 y 6 de febrero
de 2023, mencionados en el hecho primero del acuerdo de inicio, el informe de
auditoría realizado por (...) de 28 de noviembre de 2019 y el escrito de 8 de
noviembre de 2019 elaborado por Enérgya-VM en respuesta a una solicitud de
información de la Dirección General de la Policía (CGPJ).
-Dar por reproducidas a efectos probatorios, las alegaciones al acuerdo de
inicio del procedimiento sancionador referenciado, presentadas por ENERGYA
VM GESTIÓN DE ENERGÍA, S.L., y la documentación que a ellas acompaña.
Se practican las siguientes diligencias de prueba:
a. Ante la reclamada:
Práctica de prueba I:
1.En el mismo escrito de fecha 9 de octubre de 2023 se requiere a Enérgya-VM para
que, en un plazo de (…), aporte la información o documentación sobre las siguientes
cuestiones:
A. El documento número 5 al que hace referencia su escrito de alegaciones al
acuerdo de inicio de fecha 7 de junio de 2023 (respuesta de Enérgya-VM al
burofax de (...) de 10 de septiembre de 2019, enviada a dicha empresa el día
18 de septiembre de 2019). En los documentos que acompañan al escrito de
alegaciones al acuerdo de inicio, esta Agencia ha recibido el documento
número 3 dos veces.
B. Aclarar si (...) dirigió a Enérgya-VM más comunicaciones escritas, además
del documento número 3 que acompaña a su escrito de alegaciones al acuerdo
de inicio (Burofax de (...) de fecha 10 de septiembre de 2019), relativas a las
llamadas telefónicas efectuadas a clientes de (...) para contratar los servicios
de electricidad utilizando argumentos confusos, inexactos y/o irreales. En caso
afirmativo, aportar dichas comunicaciones y la contestación a las mismas por
parte de Enérgya-VM.
C. El correo electrónico enviado por el Sr. A.A.A. a Nivalco el día 10 de
septiembre de 2019, al que se hace referencia en el documento número 7 que
acompaña a su escrito de alegaciones al acuerdo de inicio (burofax enviado por
Enérgya-VM a Nivalco el 10 de octubre de 2019).
D. Escrito de denuncia por los presuntos (...) presentada ante el Juzgado de
(...), el día 10 de octubre de 2019, contra (...), al que hacer referencia el punto
34 de su escrito de alegaciones al acuerdo de inicio.
E. Burofax enviado por Nivalco a Enérgya-VM el día 21 de octubre de 2019, al
que hace referencia el documento número 8, que acompaña al escrito de
alegaciones al acuerdo de inicio (burofax de Enérgya-VM a Nivalco de 31 de
octubre de 2019).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/227
F. Contrato de servicios celebrado entre Enérgya-VM y (...) al objeto de que
esta última realizase una verificación de las contrataciones realizadas por el
canal de venta externa NIVALCO SOLUCIONES COMERCIALES S.L,
mencionado en el documento número 12 que acompaña al escrito de
alegaciones al acuerdo de inicio (certificado sobre prestación de servicios de
(...) de fecha 23 de mayo de 2023).
G. En relación con las grabaciones de voz de los procesos de contratación
realizadas por el canal de venta externa NIVALCO SOLUCIONES
COMERCIALES S.L, indicar si dicho promotor enviaba a Enérgya-VM las
mencionadas grabaciones de voz. En caso afirmativo, aclarar si remitía todas
las grabaciones y especificar la frecuencia con la que dichas grabaciones eran
enviadas a Enérgya-VM.
H. En el documento número 4, que acompaña al escrito de alegaciones al
acuerdo de inicio (correo electrónico enviado por Enérgya-VM a Nivalco el día
13 de septiembre de 2019) se indica:
“Las irregularidades hacen referencia al modo de presentarse, ya que lo hacen
como operadores de (...) u ofreciendo descuentos de (...). Adicionalmente en
los datos con los que se contaban en la contratación se disponía ya de la
cuenta bancaria, sin que nosotros os hayamos proporcionado dicho dato como
sabes perfectamente ya que nosotros solo os aportamos razón
social/nombre/teléfono de contacto.
(…)
En este sentido tras consultarlo con nuestra Asesoría Jurídica, os reiteramos la
necesidad de:
Aclarar si esta práctica es algo habitual en vuestra forma de trabajar.
Asumiendo que lo anterior no es posible ya que generaría una decisión de
terminación de servicios inmediata por nuestra parte, hagáis con urgencia una
investigación para identificar a los operadores y/o coordinador que estén
promoviendo o incurriendo en estas prácticas intolerables.” (el subrayado es
nuestro).
Asimismo, en el documento número 7 (burofax enviado por Enérgya-VM a
Nivalco de fecha 10 de octubre de 2019), aportado junto al escrito de
alegaciones al acuerdo de inicio se destaca:
“Y bajo dicha premisa y atendiendo a los protocolos internos de contratación de
Enérgya-VM, los códigos de conducta y los términos contractuales de nuestra
relación mercantil, les INSTAMOS A QUE:
1) Realicen inmediatamente una exhaustiva investigación interna respecto de
las prácticas de sus operadores para discernir si es una práctica orquestada o
fomentada por sus coordinadores de equipos, o aislada de dichos operadores,
informándonos del resultado de la misma.” (el subrayado es nuestro).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/227
En relación con los dos extractos que acaban de ser reproducidos, indicar en
qué consistió el seguimiento efectuado por Enérgya-VM. Aportar acreditación
documental de la realización de dicho seguimiento, así como de los escritos,
informes u otra documentación relativos a esta cuestión, enviados por Nivalco a
Enérgya-VM.
I. Certificado, fechado y firmado, en el que se acredite la implantación de
cualquier otra medida técnica u organizativa que hubiera adoptado Enérgya-VM
en relación con las contrataciones realizadas por el canal de venta externa
NIVALCO SOLUCIONES COMERCIALES S.L en el que se especifique la fecha
de implantación.
J. Análisis de riesgos para los derechos y libertades de los interesados,
fechado y firmado, que, en su caso, hubiere realizado Enérgya-VM en relación
con la participación de encargados del tratamiento en el proceso de
contratación.
2. Con fecha 16 de octubre de 2023 se recibió una solicitud de Enérgya-VM de
ampliación del plazo conferido para la práctica de la prueba I, concediéndose la
ampliación de plazo solicitada.
3. El día 31 de octubre de 2023 se recibió un escrito de Enérgya-VM en respuesta a la
solicitud de prueba de 9 de octubre de 2023, acompañado de diversa documentación.
b. Ante la empresa (...).
Práctica de prueba II:
1. Examinado el certificado expedido por (...). de fecha 23 de mayo de 2023, aportado
por Enérgya-VM junto a su escrito de alegaciones al acuerdo de inicio, se observa que
en el referido certificado se indica lo siguiente:
“5. En el periodo objeto de servicio fueron realizadas (…) llamadas de las cuales (…)
en la explicación del producto a contratar.” (el subrayado es de la AEPD).
2.Con fecha 13 de octubre de 2023 se requiere a (...). para que, en un plazo de (…),
remita a esta Agencia un certificado elaborado por dicha empresa relativo a esas (…)
llamadas (…), a las que hace referencia el párrafo del certificado de fecha 23 de mayo
de 2023 que acaba de ser reproducido, en el que se detalle, para el periodo de tiempo
en el que estuvo vigente el contrato de servicios entre Enérgya-VM y dicha empresa
(desde el 23 de septiembre de 2019 hasta el 31 de mayo de 2020), (…) detectadas
cada mes.
3. El día 31 de octubre de 2023 se recibió un escrito de (...) en respuesta a la solicitud
de prueba de 13 de octubre de 2023, aportando el certificado solicitado.
Práctica de prueba III:
1. Examinado el certificado expedido por (...). de fecha 25 de octubre de 2023,
aportado con motivo de la práctica de prueba II, en el que se indica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/227
“Los (…)”
2. Con fecha 3 de noviembre de 2023 se requiere a (...). para que, en un plazo de (…),
remita a la AEPD un certificado elaborado por dicha empresa relativo a las llamadas
(…) para el periodo comprendido entre el (…). En dicho certificado se incluirá la
siguiente información:
1. Especificar todas las (…).
2. Indicar, para cada uno de los 10 meses, el número de llamadas incluidas en
cada una de las (…) que reflejaban el motivo por el que no se daba por válida
la contratación (…).
3.Indicar la frecuencia con la que (...) comunicaba a Enérgya-VM los datos
obtenidos (…).
3. El día 13 de noviembre de 2023 se recibió un escrito de (...). en respuesta a la
solicitud de prueba de 3 de noviembre de 2023, aportando el certificado solicitado.
NOVENO: PROPUESTA DE RESOLUCIÓN, RECTIFICACIÓN DE ERROR MATERIAL
Y AMPLIACIÓN DE PLAZO
Con fecha 29 de diciembre de 2023 se formuló propuesta de resolución, que fue
notificada a la parte reclamada el día 1 de enero de 2024 conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP).
El 4 de enero de 2024 Enérgya-VM presentó un escrito por el que solicitaba aclaración
de la suma a la que ascendía la multa relativa al EXP202304117, que el plazo de
alegaciones a la propuesta de resolución, iniciado el 2 de enero de 2024, no empezara
a contar hasta el momento en el que la AEPD hubiera notificado a esa empresa la
cuantía a la que ascendía la propuesta de sanción, así como una ampliación del plazo
de cinco días hábiles adicionales para formular alegaciones.
Examinado el contenido de la propuesta de resolución, se advirtió la existencia de un
error material, dado que, en una parte de la propuesta, existía una discrepancia entre
el importe de la sanción expresado de forma numérica y el importe de la sanción
reflejado en letra, procediéndose a dictar el 10 de enero de 2024 un acuerdo
rectificando dicho error material, indicando que no procedía volver a iniciar el cómputo
del plazo para formular alegaciones a la propuesta de resolución y concediendo la
ampliación de plazo de 5 días hábiles solicitada.
DÉCIMO: ALEGACIONES A LA PROPUESTA DE RESOLUCIÓN
Notificada la propuesta de resolución conforme a las normas establecidas en la
LPACAP, la parte reclamada presentó escrito de alegaciones a la propuesta de
resolución el de enero de 2024, en el que, en síntesis, manifesta lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/227
1. SUPUESTO ERROR RELATIVO AL ROL DE ENÉRGYA-VM COMO
RESPONSABLE DE LOS TRATAMIENTOS QUE REALIZA NIVALCO.
Enérgya-VM defiende que no era responsable de los tratamientos de datos realizados
por Nivalco de forma previa a la incorporación de los datos de los nuevos clientes a su
Base de Datos. En opinión de la parte reclamada, hasta ese momento, Nivalco era el
único responsable del tratamiento.
La parte reclamada estima que, ni el hecho de que existiese un contrato entre
Enérgya-VM y Nivalco, ni el hecho de que Nivalco realizase la campaña para Enérgya-
VM, ni el hecho de que Enérgya-VM diese indicaciones sobre dicha campaña ((...)) a
Nivalco, sirven para determinar que Enérgya-VM fuera responsable del tratamiento.
Reitera las alegaciones relativas al art. 46 RLOPD, que, según defiende, prevé que
únicamente quien establece los parámetros identificativos de la campaña pueda ser
considerado responsable, lo que llevaría a concluir que Nivalco era el responsable del
tratamiento.
Destaca que la AEPD obvia que el Acuerdo de Promoción con Nivalco era en régimen
de no exclusiva y la Base de Datos de Nivalco fue empleada por dicha entidad para
ofrecer servicios a otras empresas comercializadoras, entre ellas (...).
2. SUPUESTA MUTACIÓN DEL ROL DE NIVALCO DE ENCARGADO A
RESPONSABLE DESDE EL MOMENTO EN QUE SE APARTÓ DE LAS
INSTRUCCIONES DE ENÉRGYA-VM Y TRATÓ LOS DATOS PARA FINES PROPIOS
Enérgya-VM alega, que aún en el supuesto de que se entendiera que Nivalco era
encargado del tratamiento respecto a todos los tratamientos que se llevaban a cabo en
el marco del Acuerdo de promoción, dicha condición de encargado habría mutado a la
de responsable del tratamiento, en el momento en el que Nivalco realizó tratamientos
de datos apartándose de las instrucciones de Enérgya-VM y para fines propios.
3. CONSECUENCIAS INMEDIATAS DE CONSIDERAR A NIVALCO COMO
RESPONSABLE DE LOS TRATAMIENTOS LLEVADOS A CABO EN LA PRIMERA
FASE DE CAPTACIÓN
Enérgya-VM afirma que todas las actuaciones presuntamente llevadas a cabo por
Nivalco consistentes en engañar a las personas que contactaba, serían únicamente
atribuibles a Nivalco y en ningún caso a Enérgya-VM. Estima que la “totalidad” de la
vulneración del artículo violación del art. 5.1.a) del RGPD), que se imputa a Enérgya-
VM, descansa en el engaño realizado por Nivalco, como responsable independiente.
Resalta que Enérgya-VM está viendo menoscabada su reputación como consecuencia
de este Procedimiento sancionador, que deriva de la incorrecta y gravísima actuación
de su promotor Nivalco, de la cual no participa Enérgya-VM, que afirma ser una
víctima más de Nivalco.
4. REFERENCIA A SUPUESTOS QUE ENÉRGYA-VM CONSIDERA IDÉNTICOS AL
TRATADO EN EL PROCEDIMIENTO SANCIONADOR DONDE LA AEPD HA
CONSIDERADO QUE EL PROMOTOR ERA RESPONSABLE DEL TRATAMIENTO.
SUPUESTA VULNERACIÓN DEL PRINCIPIO DE “INTERDICCIÓN DE LA
ARBITRARIEDAD”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/227
Enérgya-VM destaca dos precedentes (PS/00375/20213 y Resolución
NºEXP202103411), que considera idénticos, en los que la AEPD consideró
responsable del tratamiento al promotor y no a la empresa energética.
En su opinión, la AEPD se ha apartado completamente de dichos precedentes, lo que
supondría una vulneración del principio de “interdicción de la arbitrariedad” (artículo
9.3 de la Constitución Española).
5. SUPUESTA FALTA DE CONCURRENCIA DE REQUISITOS PARA SANCIONAR A
ENÉRGYA-VM POR LA PRESUNTA INFRACCIÓN DEL ART. 5.1.A) RGPD
En opinión de Enérgya-VM, yerra la AEPD al mencionar el (...) como un elemento de la
supuesta infracción del deber de licitud, lealtad y transparencia, al no haber sido
utilizado con ninguno de los interesados afectados por el supuesto engaño. Estima
que, al no poder acreditar que fuese utilizado, debería desaparecer cualquier
referencia a dicho documento a efectos de tipicidad, al no ocasionar ningún daño a
ningún bien jurídico protegido.
Estima la parte reclamada que al desaparecer el (…) como elemento de la tipicidad del
art. 5.1.a) del RGPD, queda patente que quien, en su caso, engañó y faltó al principio
de licitud, lealtad y transparencia fue Nivalco y no Enérgya-VM.
En relación con el (…) encargado a un tercero, Enérgya-VM manifiesta su sorpresa al
considerar que la AEPD ignora el exhaustivo seguimiento realizado por Enérgya-VM,
lo cual, en su opinión, supone una evidencia del escrupuloso cumplimiento de la
normativa de protección de datos por la parte reclamada.
Dicho sistema permitió detectar más de (…) contrataciones incorrectas. En opinión de
Enérgya-VM, la AEPD ignora dicho sistema como medida efectiva para controlar el
cumplimiento de la normativa de protección de datos, lo que supondría una
contradicción con el propio principio de responsabilidad proactiva, así como con el
asentado criterio de la Agencia, que ha validado en múltiples ocasiones la
implementación de medidas de verificación como evidencia del cumplimiento de la
normativa de protección de datos. Asimismo, destaca que la implantación de controles
de revisión del consentimiento ha sido valorado como “mejor práctica” por la CNMC.
Enérgya-VM estima que la falta de vigilancia o de medidas suficientes deberían, en su
caso, subsumirse en la supuesta infracción del artículo 5.2 del RGPD.
6. ENÉRGYA-VM CONSIDERA QUE EXISTE UN CONCURSO DE INFRACCIONES:
APLICACIÓN DEL PRINCIPIO DE SUBSUNCIÓN O CONCURSO MEDIAL
Enérgya-VM afirma que en este caso concurría un concurso medial, aplicado por la
AEPD en ocasiones similares (PS/00240/2019). En consecuencia, estima que, en su
caso, solo cabría sancionar a la parte reclamada por la infracción del art. 5.2 del
RGPD.
7. SUPUESTO INCUMPLIMIENTO DE LOS PRINCIPIOS DE ESPECIALIDAD /
TIPICIDAD Y PRESCRIPCIÓN
Enérgya-VM considera que la AEPD incumple los principios de tipicidad y especialidad
de normas. En opinión de la parte reclamada, los preceptos supuestamente infringidos
serían los que imponen determinadas obligaciones específicas (artículos 12, 13, 24,
32.1 y 28.3 RGPD), y no los artículos 5.1.a) y 5.2 RGPD. Dicha circunstancia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/227
implicaría, según Enérgya-VM, que las infracciones supuestamente cometidas serían
las tipificadas por las letras f) y k) del artículo 73 y letra a) del art. 74 de la
LOPGDGDD, que se refieren al incumplimiento de dichas obligaciones específicas.
Insiste en que todas las supuestas conductas sancionables estarían ya prescritas.
8. SUPUESTA FALTA DE PROPORCIONALIDAD DE LAS SANCIONES: LA PARTE
RECLAMADA QUE CONSIDERA INCORRECTA LA APLICACIÓN DE FACTORES
AGRAVANTES Y ATENUANTES
8.1. Enérgya-VM afirma que la AEPD ha ignorado como factor atenuante que Enérgya
jamás había sido sancionada por la AEPD ni había sido denunciada por los clientes
supuestamente afectados, insiste en que la empresa (...) ha sido objeto de sanciones
progresivas por motivos similares.
8.2. Dado que la AEPD mencionaba en la propuesta el (...). En consecuencia,
considera que, tras sus alegaciones, debería reducirse el importe de la sanción.
8.3. La parte reclamada considera incumplido el principio de interdicción del non bis in
idem. En su opinión, a los mismos hechos se les atribuye una infracción (art. 5.2 del
RGPD), que castiga una supuesta negligencia, y además se aplica un agravante por
negligencia grave.
8.4. Enérgya-VM entiende que concurre el atenuante previsto en el artículo 83.2 k) del
RGPD. Al entender que la AEPD no puede obviar que el supuesto incumplimiento
derivaría de un delito denunciado por la parte reclamada. Cita una Resolución de la
AEPD en la que se consideró el comportamiento doloso de un tercero como
atenuante.
8.5. La parte reclamada alega que, lejos de haber tenido holgados beneficios a raíz de
su relación comercial con Nivalco, ha sufrido perjuicios tanto económicos como
reputacionales, circunstancia no habría sido, en su opinión, tenida debidamente en
cuenta por parte de la AEPD.
9. SUPUESTA INFRACCIÓN DEL PRINCIPIO DE CONTRADICCIÓN
Enérgya-VM considera que las evidencias relativas al (…) se habrían obtenido por la
AEPD vulnerando el principio de contradicción, ya que no se notificaron a Enérgya-VM
como investigado, afirmando que no se le habría dado oportunidad de alegar lo que a
su derecho conviniera en dicho momento, o de haberle permitido ser consciente
siquiera de la existencia de dichas pruebas supuestamente incriminatorias, en
infracción del art. 24 de la CE. La parte reclamada estima que concurriría una causa
de nulidad de pleno derecho del acto administrativo (artículo 47.1.a) de la LPACAP).
10. SUPUESTA INCONSTITUCIONALIDAD DEL RÉGIMEN SANCIONADOR DE LA
LOPDGDD
La parte reclamada opina que dicho régimen adolece de la falta de concreción
sancionadora exigida en nuestro sistema jurídico (la amplitud de las horquillas
establecidas por el artículo 83 RGPD deja un margen de discrecional excesivo a la
AEPD. Considera inconstitucional la falta de previsibilidad de las sanciones).
Enérgya-VM afirma que la LOPDGDD debió establecer horquillas de multas, aunque
fueran mínimas, de la misma manera que previó un régimen de prescripción no
previsto en el RGPD. Al no hacerlo, la parte reclamada estima que se convirtió en algo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/227
incompatible con la Constitución Española y, por lo tanto, en una norma inválida en
nuestro ordenamiento.
En opinión de la parte reclamada, dicho régimen atentaría contra el principio de
tipicidad, básico en el sistema sancionador administrativo, que es concreción del
principio de legalidad en su vertiente material (artículo 25.1 de la Constitución
Española) y que se encuentra profundamente relacionado con la seguridad jurídica
(artículo 9.3 de la Constitución Española).
Posteriormente, Enérgya-VM se remite a las alegaciones formuladas al acuerdo de
inicio y solicita que las alegaciones rechazadas sean motivadas individualmente.
La parte reclamada concluye su escrito de alegaciones a la propuesta de resolución,
solicitando el archivo del expediente sancionador en su totalidad.
Alternativamente, que se recalifiquen las infracciones en los preceptos indicados por la
parte reclamada en sus escritos de alegaciones al acuerdo de inicio y a la propuesta
de resolución, archivando el expediente a causa de la prescripción de dichas
infracciones.
Subsidiariamente, que se desestime la supuesta infracción del artículo 5.1 a) del
RGPD, ya que Enérgya-VM entiende que no se habría acreditado la realización por su
parte de ninguna de las actividades que componen el tipo infractor.
Subsidiariamente, la desestimación de la sanción propuesta por la AEPD en relación
con la supuesta infracción del art. 5.1.a) RGPD, por aplicación de la doctrina del
concurso medial.
Asimismo, la parte reclamada solicita la reducción sustancial del importe de las
sanciones propuestas por la AEPD a una cantidad a determinar por la Agencia, que,
en su opinión, no debería superar los 1.500.000€ por infracción.
Finalmente, solicita que se tenga por realizada la alegación relativa a la
inconstitucionalidad del régimen sancionador de la LOPDGDD en relación con el
RGPD, a los efectos de que la AEPD pueda interpretar o intentar encajar el régimen
sancionador del RGPD y la LOPDGDD en los principios de seguridad jurídica, tipicidad
y taxatividad de la CE, así como a cualquier otro efecto que proceda, entre otros, con
posibilidad de hacer uso de esta alegación a la hora de interponer recursos.
UNDÉCIMO: INFORME DE AXESOR
De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ENERGYA
VM GESTIÓN DE ENERGÍA S.L. es una gran empresa constituida en el año 2002, y
con un volumen de negocios de (...) euros en el año 2021. En el año 2022 se ha
producido un incremento de dicho volumen de negocio, que en la referida fecha, según
datos de AXESOR asciende a (...) euros.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/227
HECHOS PROBADOS
A los efectos de facilitar la lectura de los hechos probados consignados en la
resolución indicaremos que:
Del hecho probado primero al hecho probado noveno se consignan los hechos
probados referidos a cómo (...) comunica a Enérgya-VM que sus clientes están
recibiendo llamadas telefónicas para contratar la electricidad con Enérgya-VM
con argumentos confusos, inexactos y/o irreales.
Del hecho probado décimo al hecho probado decimocuarto se consignan los
hechos probados relativos a la investigación realizada por la Policía (…), cuyos
resultados se reflejan en los informes de la Dirección General de la Policía
(CGPJ) de 12 de mayo de 2022, 25 de octubre de 2022 y 6 de febrero de 2023.
Del hecho probado decimoquinto al hecho probado vigésimo sexto se
consignan los hechos probados relativos a la relación contractual entre
Enérgya-VM y Nivalco: Enérgya-VM era responsable del tratamiento y Nivalco
el encargado del tratamiento.
Del hecho probado vigésimo séptimo al hecho probado quincuagésimo primero
se consignan los hechos probados relativos a la auditoría y el (…)
encomendados a (...).
Del hecho probado quincuagésimo segundo al hecho probado quincuagésimo
tercero se consignan los hechos probados relativos al (…) elaborado por
Enérgya-VM.
Del hecho probado quincuagésimo cuarto al hecho probado quincuagésimo
quinto se consignan los hechos probados que acreditan que Enérgya-VM no
realizó un análisis de riesgos relativo a Nivalco.
Del hecho probado quincuagésimo sexto al hecho probado quincuagésimo
noveno se consignan los hechos probados relativos a la ausencia de un control
continuado y exhaustivo de las grabaciones de voz del proceso de contratación
aportadas por Nivalco a Enérgya-VM.
El hecho probado sexagésimo sobre la documentación relativa a la
contratación de 30 puntos de suministro relacionadas con el Canal Nivalco,
aportada por la CNMC.
Los hechos probados sexagésimo primero y segundo consignan los hechos
probados relativos a las (…) reclamaciones relacionadas con el Canal Nivalco
aportadas por Enérgya-VM en contestación a un requerimiento del Inspector.
PRIMERO:
El 9 de septiembre de 2019 (...) informó a Enérgya-VM de que se había contactado
telefónicamente con un cliente de (...) y se le había ofrecido un contrato con Enérgya-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/227
VM, dándose a entender en la conversación, que se trataba de una empresa del
Grupo (...).
Así se refleja en el burofax enviado el 18 de septiembre de 2019 por Enérgya-VM a
(...):
(…)
SEGUNDO:
El 10 de septiembre de 2019 (...) remitió a Enérgya-VM un burofax por el que le
comunicaba que clientes de (...) habían recibido llamadas telefónicas para contratar
los servicios de electricidad con Enérgya-VM con argumentos confusos, inexactos o
irreales.
En dicho burofax:
Se indicaba que las personas que contactaban con dichos clientes decían
hacerlo en nombre de (...), generando confianza en el cliente, al transmitir la
plena disponibilidad de sus datos de carácter personal (nombre, puntos de
suministro, DNI, teléfono e incluso cuenta bancaria).
Se requería a Enérgya-VM el cese inmediato de cualquier actividad comercial
de dicho tipo, así como el envío de un informe detallado sobre los medios y
manera en la que habían obtenido los datos de carácter personal.
Se amenazaba a Enérgya-VM con ejercitar acciones para defender los
derechos de (...) y los de sus clientes ante autoridades judiciales, de
competencia y/o protección de datos.
Se reproduce el contenido del Burofax de (...) de 10 de septiembre de 2019:
“En Madrid, a 10 de septiembre de 2019
Re: Acciones sobre clientes de (...)
(…):
(...)
(…).
(…).
(…).
(…),
(…)”
TERCERO:
El 10 de septiembre de 2019 se celebró una reunión entre (...) y Enérgya-VM
relacionada con las llamadas telefónicas recibidas por clientes de (...) a las que hacía
referencia el burofax de (...) de esa misma fecha.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/227
Así se refleja en un correo electrónico enviado el 10 de septiembre de 2019 a las
18:29 por D. B.B.B. a un empleado de (...). El nombre del asunto es “RE: Burofax (...)-
EVM”
“(…),
(…).
CUARTO:
(…).
(..):
(…).
QUINTO:
El 2 de octubre de 2019 (...) envió a Enérgya-VM un burofax, con copia a la Comisión
Nacional de los Mercados y la Competencia (CNMC), en el que comunicaba que:
Clientes de (...), que habían denunciado haber sido captados irregularmente
por Enérga-VM y que querían volver a ser contratados por (...), habían recibido
una comunicación de Enérgya-VM advirtiéndoles de la aplicación de
penalizaciones si cambiaban de compañía comercializadora.
Reiteraban el cese inmediato de cualquier actividad comercial constitutiva de
competencia desleal, directamente o a través de terceros, con argumentos
falsos, induciendo a confusión y aprovechando la imagen y marca de (...).
Asimismo, instaban a Enérgya-VM a cesar inmediatamente en la remisión de
las comunicaciones advirtiendo la aplicación de penalizaciones, al considerar
que podrían ser constitutivas de infracciones sobre el derecho de la
competencia.
Recordaban que estaban a la espera de un informe detallado sobre los medios
y la manera en la que se habían realizado las acciones comerciales que habían
permitido las captaciones irregulares de clientes de (...).
Volvían a amenazar con iniciar acciones ante las autoridades judiciales, de
competencia y/o de protección de datos.
Se reproduce el contenido de dicho burofax:
“En Madrid, a 2 de octubre de 2019
Re: Acciones sobre clientes de (...)/ Penalizaciones
(…):
(…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/227
(…).
(…),
(…).
SEXTO:
El 10 de octubre de 2019 Enérgya-VM presentó una denuncia por los presuntos
delitos (...) en el Juzgado de (...) contra (...) de Nivalco.
En este sentido, en el escrito de alegaciones al acuerdo de inicio de 7 de junio de
2020, Enérgya-VM indica:
“34. Durante la fase de auditoría, Enérgya interpuso una denuncia por los
presuntosdelitos (...) frente al Juzgado de (...), el día 10 de octubre de 2019, contra
(...).” (el subrayado es nuestro).
SÉPTIMO:
A fecha 10 de octubre de 2019, Enérgya-VM tenía conocimiento de:
Que al menos (...) habían contactado con clientes potenciales de Enérgya-VM
a través de llamadas telefónicas (…).
El modus operandi que utilizaban los (...) denunciados.
En esa misma fecha, Enérgya-VM reconoce ignorar si los (...) denunciados habían
actuado auspiciados por Nivalco o no.
En el fundamento de derecho tercero del escrito de denuncia (…), presentado por
Enérgya-VM en el Juzgado (…) el 10 de octubre de 2019 se indica:
“Tercero.- (…).
(…):
(…);
(…);
(…).
(…).
OCTAVO:
Enérgya-VM sabía que Nivalco no había despedido a los (...).
En este sentido, en un burofax de 21 de octubre de 2019 enviado por Nivalco a
Enérgya-VM (documento 10, aportado por Enérgya-VM en fase de práctica de prueba)
se comunican una serie de medidas adoptadas por Nivalco:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/227
“4. Baja de la campaña VM de aquellos operadores que han cometido malas
prácticas.”
Asimismo, en el burofax de 31 de octubre de 2019, enviado por Enérgya-VM a Nivalco,
se indica:
“(…).”
NOVENO:
El 18 de octubre de 2019 (...) remitió a Enérgya-VM un nuevo burofax, titulado
“Acciones sobre clientes de (...)”, en el que se indica lo siguiente:
(…).
(…).
(…).
(…).
(…):
(…)
(…):
1.- (…).
2.- (…).
(…).
(…)
DÉCIMO:
En septiembre de 2019 la Policía inició una investigación que puso de manifiesto (…).
En relación con esta cuestión, en el informe de la Dirección General de la Policía
(CGPJ) de 12 de mayo de 2022 (en el que se refiere a Enérgya-VM como la
comercializadora VILLAR MIR ENERGIA) se indica:
“(…).
(…)”.
Asimismo, en el informe de la Dirección General de la Policía (CGPJ) de 25 de octubre
de 2022 se indica:
“(…)”.
(…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/227
(…).
UNDÉCIMO:
La Policía expone el modus operandi empleado por las “fuerzas de venta” (también
denominadas “task forces”, entre las que se encontraba Nivalco).
Conforme a dicho modus operandi descubierto por la Policía:
(…).
(…).
(…).
(…).
(…).
(…).
(…):
“1º- (…).
2º-(…).
3º-(…).
4º-(…).
4º-(…).
5º-(…).
6º-(…)
DUODÉCIMO:
El entramado empresarial investigado por la policía estaba integrado por varias
empresas, entre las que se encontraba Nivalco, que recibió de Enérgya-VM al menos
(…) de Enérgya-VM en concepto de comisiones por la captación de nuevos clientes
para dicha empresa comercializadora de energía.
En el informe de la Dirección General de la Policía (CGPJ) de 12 de mayo de 2022 se
destaca:
“(…)”:
1- (…)
2- (...)
3- (…)
4- (…)
5- (…)
6- (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/227
7- (…)
8- (…)
9- (…)
10- (…)
11- (…)
12- (…)
13- (…)
14- (…)
15- (…)
16- (…)
17- (…)
18- (…)
(…)
DECIMOTERCERO:
En la investigación realizada por la Policía se obtienen evidencias de la utilización de
números de teléfono titularidad de Nivalco para llamar a clientes y captarlos de forma
engañosa
(…):
(…)
1.PROVEEDORES DE SERVICIOS DE TELECOMUNICACIONES:
(…)
(…):
A) (…):
(…).
DESTINATA IP´S
LLAMADA
RIO TITULAR ASOCIA TITULAR IP
S
LLAMADAS DAS
(…) (…) (…) (…)
(…)
(…) (…)
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/227
(…) (…) (…)
(…).
DESTINATARI LLAMADA IP´S TITULAR
TITULAR
O LLAMADAS S ASOCIADAS IP
(…) (…) (…) (…)
(…)
(…)
(…) (…)
(…) (…) (…)
(…).
DESTINATARI Nº
O LLAMADAS TITULAR LLAMADA
S
(…) (…) (…)
(…) (…) (…)
(…)
(…) (…)
(…) (…)
(…)
(…)
(…).
(…)
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/227
DESTINATAR Nº
IO TITULAR LLAMADAS
LLAMADAS
(…) (...) (…)
(…) (…) (…)
(…) (…) (…)
(…)
(…).
DECIMOCUARTO:
La Policía considera que la operativa fraudulenta investigada (de la que formaba parte
Nivalco), habría cometido presuntamente los siguientes ilícitos penales:
(…).
(…).
(…).
(…).
(…):
“(…):
1- (…)
(…)
2- (…)
(…).
(…)
3- (…)
(…)
4- (…)
(…)
DECIMOQUINTO:
El 1 de julio de 2019 Enérgya-VM celebró con Nivalco un Acuerdo de Promoción de
contratos a Comisión. Si bien en dicho acuerdo se prevé que el mismo producía
efectos desde el 3 de mayo de 2018.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/227
Así, en el apartado 3.3 de las condiciones particulares, denominado “Entrada en vigor”
figura la siguiente previsión:
“(…)” (el subrayado es nuestro).
DECIMOSEXTO:
El apartado 1 de las condiciones generales del Acuerdo de Promoción de contratos a
Comisión de 1 de julio de 2019 preveía la obligación del Promotor (Nivalco) de:
(…).
(…)
(…).
En dicho apartado 1 “(…)” se prevé:
“(…)(…):
(…).
(…).
(…).
(…).
DECIMOSÉPTIMO:
El Acuerdo de Promoción de contratos a Comisión celebrado entre Enérgya-VM y
Nivalco el 1 de julio de 2019 contenía el contrato de encargo del tratamiento.
En relación con esta cuestión, Enérgya-VM en su escrito de alegaciones al acuerdo de
inicio de Enérgya-VM de fecha 7 de junio de 2023, destaca:
“11. Precisamente, a efectos de regular esta relación entre responsable y encargado,
Enérgya y Nivalco suscribieron un acuerdo de encargo del tratamiento, el cual se
encuentra en la Cláusula 7 de las Condiciones Generales del Contrato con Nivalco.”(el
subrayado es nuestro)
DECIMOCTAVO:
El Acuerdo de Promoción de contratos a Comisión de 1 de julio de 2019 regula en su
apartado 6 de las condiciones generales el tratamiento de datos personales y en el 7
de las condiciones generales el encargo del tratamiento. Se reproduce el contenido de
dichos apartados:
El apartado 6, denominado “Tratamiento de datos personales” dispone lo siguiente:
“(…)
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/227
(…):
(…)
(…).
(…):
(…)
El apartado 7(Objeto del encargo del tratamiento), dispone lo siguiente:
(…)
(…).
(…).
(…).
(…):
(…).
(…)
(…)
(…)
(…):
(…):
(…):
(…).
(…)
(…)
a) (…).
b) (…).
c) (…).
d) (…)”
(el subrayado es nuestro).
DECIMONOVENO:
En el Acuerdo de Promoción de contratos a Comisión de 1 de julio de 2019 se regulan
en el apartado 5 de las condiciones generales las causas de resolución anticipada y
entre ellas se prevé:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/227
“(…)” (el subrayado es nuestro
En dicho apartado, también se dispone:
“(…)” (el subrayado es nuestro)
VIGÉSIMO:
Enérgya-VM daba instrucciones a su encargado del tratamiento Nivalco:
En el expediente figuran varios ejemplos de cómo Enérgya-VM daba instrucciones a
Nivalco (encargado del tratamiento).
1. Correo electrónico enviado por D. A.A.A., empleado de Enérgya-VM, a dos
empleados de Nivalco el 16 de octubre de 2019 a las 17:55 (Documento 7, aportado
por Enérgya-VM en fase de prueba).
“Estimadas (…) y (…),
En espera de que nos respondan formalmente al burofax que les remitimos hace
escasos días, les queremos transmitir nuevamente la importancia de no usar datos
personales para la captación distintos a los que:
(…).
(…)
(…)
Queremos trasmitirles nuestra preocupación porque tras nuestros avisos de mediados
de septiembre, pueden seguir estando usando de forma particular los números de
cuenta bancaria de los clientes, (…). Lo que resulta imperativo es que CESEN
INMEDIATAMENTE en el uso de dicho dato, cualquier que sea el origen del mismo, y
que nos den la información requerida en nuestro citado burofax al efecto.
Esperamos igualmente que den respuesta al resto de las cuestiones del citado
burofax.
Sin otro particular”
2. Correo electrónico enviado por D. A.A.A. a dos empleados de Nivalco de fecha 13
de septiembre de 2019 a las 13:20 (Documento 4, aportado por Enérgya-VM junto con
su escrito de alegaciones el acuerdo de inicio).
“En este sentido tras consultarlo con nuestra Asesoría Jurídica, os reiteramos la
necesidad de:
(…)
(…)
Os abstengáis de utilizar datos que habéis podido obtener en anteriores
servicios para otras comercializadores como (...) para nuestras
contrataciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/227
(…)”
VIGÉSIMO PRIMERO:
Enérgya-VM enviaba comunicados relativos a la protección de datos a sus
encargados del tratamiento (entre ellos, Nivalco) con instrucciones relativas:
Al tratamiento de datos de carácter personal en la fase de captación de clientes
potenciales
A la atención de solicitudes de ejercicio de derechos en materia de protección
de datos por parte de clientes potenciales o clientes.
Se reproduce el contenido del comunicado de 15 de julio de 2019 titulado “(…)”:
“(…),
(…).
(…)
(…)
(…).
(…)”
Asimismo, se reproduce el contenido del comunicado titulado “(…)” enviado el 27 de
enero de 2020 y el 24 de julio de 2020:
“(…),
(…).
(…).
(…):
(…).
(…).
(…).
(…).
(…).
(…)”
VIGÉSIMO SEGUNDO:
Enérgya-VM remitía a sus encargados del tratamiento (entre ellos, Nivalco) datos
personales de potenciales clientes (nombre y apellidos/razón social, y número de
teléfono de contacto) con carácter previo a las labores de captación por parte de
dichos encargados del tratamiento.
En relación con esta cuestión, en el escrito (…):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/227
“(…).”
Asimismo, en el correo electrónico enviado por D. A.A.A., empleado de Enérgya-VM, a
dos empleados de Nivalco el 16 de octubre de 2019 a las 17:55 (Documento 7,
aportado por Enérgya-VM en fase de prueba).
“Estimadas (…) y (…),
En espera de que nos respondan formalmente al burofax que les remitimos hace
escasos días, les queremos transmitir nuevamente la importancia de no usar datos
personales para la captación distintos a los que:
(…).
(…).
(…).
Queremos trasmitirles nuestra preocupación porque tras nuestros avisos de mediados
de septiembre, pueden seguir estando usando de forma particular los números de
cuenta bancaria de los clientes,(…). Lo que resulta imperativo es que CESEN
INMEDIATAMENTE en el uso de dicho dato, cualquier que sea el origen del mismo, y
que nos den la información requerida en nuestro citado burofax al efecto.
Esperamos igualmente que den respuesta al resto de las cuestiones del citado
burofax.
Sin otro particular”
VIGÉSIMO TERCERO:
Los clientes de Enérgya-VM captados a través del Canal Nivalco procedían de (...) y
de otras empresas comercializadoras de energía.
En relación con esta cuestión, en el escrito de (…):
“(…)”.
Asimismo, tal y como refleja el informe de actuaciones previas de investigación de
fecha 5 de mayo de 2023 y el hecho probado sexagésimo de esta resolución, en el
expediente relativo a la contratación del CUPS (...), cuyo titular es C.C.C. (remitido por
la CNMC a esta Agencia) figura una grabación relativa a una: “Conversación
mantenida entre un operador en nombre de Enérgya-VM y el contratante al objeto de
agradecer la contratación y verificar la calidad del proceso de venta comercial. Se
consulta al contratante sobre su satisfacción con el proceso y su consciencia del
cambio a Enérgya-VM.
Ante esta última pregunta el contratante manifiesta “¿sigo con (...) no?”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/227
VIGÉSIMO CUARTO:
El Acuerdo de Promoción de contratos a Comisión entre Enérgya-VM y Nivalco se
celebró el 1 de julio de 2019 (si bien, el apartado 3.3 de las condiciones particulares
del mismo, prevé que dicho Acuerdo produce efectos retroactivos desde el
03/05/2018) y sus efectos se prolongaron hasta el 30 de junio de 2020.
Así se refleja, en el referido apartado 3.3 de las condiciones particulares del Acuerdo,
así como en el escrito de 28 de mayo de 2020 por el que Enérgya-VM comunicó a
Nivalco la resolución del contrato con efectos a 30 de junio de 2020.
VIGÉSIMO QUINTO:
El 28 de mayo de 2020 Energya-VM dirigió un escrito a su encargado del tratamiento
Nivalco titulado “Resolución Acuerdo de promoción de contratos a comisión”.
(…).
(…).
(…):
“(…),
(…).
• (…)
• (…)
• (…).
(…).
(…).
(…),”
VIGÉSIMO SEXTO:
Enérgya-VM reconoce que la recepción del segundo bloque de requerimientos de la
CNMC fue determinante para concluir su relación contractual con Nivalco:
En el escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023 se hace
referencia a esta cuestión en varias ocasiones:
“62 Tal y como se desprende del certificado de prestación de servicios emitido por (...)
en fecha 22 de mayo de 2023 y que se adjunta como documento número 12, estas
labores de verificación y control que fueron exclusivamente realizadas sobre las
captaciones de Nivalco se prolongaron hasta el 31 de mayo de 2020, momento en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/227
que Enérgya, tras la desconfianza que le transmitía Nivalco y la notificación el 22 de
abril de 2020 de un nuevo requerimiento por parte 21 de la CNMC, decidió resolver la
relación contractual que les unía, la cual en ningún momento se ha vuelto a retomar.
(…)” (el subrayado es nuestro)
“63.1 En primer lugar, la AEPD afirma que a pesar de obtener la confirmación de
casos de mala praxis que afectaban a dicho canal, Enérgya-VM decidió mantener el
acuerdo con Nivalco. Como bien es sabido por parte de la AEPD, Enérgya tenía una
relación contractual con Nivalco, de la que se derivan no sólo prerrogativas, sino
también obligaciones. La aseveración de la AEPD resulta precipitada y reduccionista
puesto que Enérgya estuvo de manera continuada investigando los hechos
acontecidos para tener certeza sobre ellos, tal y como se evidencia en los párrafos
precedentes. Precisamente, en el momento en el que Enérgya recibió el segundo
bloque de requerimientos de la CNMC resolvió el Contrato con Nivalco.” (el subrayado
es nuestro)
“64 Finalmente, la AEPD, de manera completamente arbitraria, afirma que Enérgya
rescindió el contrato con Nivalco, pero lo hizo como consecuencia del impacto que
tuvo la crisis provocada por la COVID-19, por lo que esta decisión no puede ser tenida
en cuenta como media adoptada por el responsable a consecuencia de la pérdida de
confianza. Sorprende a Enérgya que sea la AEPD la que decida sobre un hecho
subjetivo como la intención o causa que motivó la resolución del Contrato con Nivalco.
De nuevo, la AEPD interpreta la carta de resolución contractual remitida por Enérgya a
Nivalco como una comunicación aislada sin tener en cuenta que, a pesar de que en
dicha carta se mencione la crisis sanitaria (ya que eran meses de inactividad
generalizada por todos conocida), Enérgya adoptó la decisión de rescisión del contrato
de forma prudente al recibir el segundo bloque de requerimientos de la CNMC a partir
del 22 de abril de 2020.” (el subrayado es nuestro)
VIGÉSIMO SÉPTIMO:
En septiembre de 2019 Enérgya-VM encargó a (...). que auditara la calidad de venta
del Canal Nivalco. A estos efectos, Enérgya-VM remitió un correo electrónico a (...) el
12 de septiembre de 2019. En el referido correo, Enérgya-VM indicaba que:
(…).
(…).
(…).
(…).
En el informe de auditoría de (...) 28 de noviembre de 2019 se reproduce el contenido
del correo electrónico de 12 de septiembre de 2019:
(…)
(…),
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/227
(…)
(…).
(…)
(…):
(…)
(…)
(…).
(…).
VIGÉSIMO OCTAVO:
La auditoría realizada por (...) pretendía conocer cuál había sido la percepción del
cliente en relación con el proceso de venta realizado por Nivalco, detectando posibles
anomalías en la praxis de los comerciales.
Así se refleja en el informe de auditoría de 28 de noviembre de 2019:
“(…) La finalidad principal es conocer cuál ha sido la percepción del Cliente sobre el
proceso de venta del Promotor de Enérgya-VM, detectando posibles anomalías en la
praxis de los comerciales. (…)”
VIGÉSIMO NOVENO:
Durante la auditoría (...):
(…).
(…).
En este sentido, en el informe de auditoría de 28 de noviembre de 2019 se indica:
“(…):
1.-(…)
2.-(…)”
TRIGÉSIMO:
La encuesta realizada por (...) era telefónica y en función del perfil de los clientes (…)
(...) aplicaría una tipología de argumentarios (scripts) diferente.
En relación con esta cuestión, en el informe de auditoría se destaca:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/227
“(…)”
TRIGÉSIMO PRIMERO:
En la encuesta telefónica que (...) realizaba a los clientes finalizados con origen en el
Canal Nivalco se utilizaba el siguiente argumentario (script), reflejado en el informe de
auditoría de 28 de noviembre de 2019.
Se reproduce el contenido del script que figura en el informe de auditoría:
“(…).
(…).
(…).
(…)
(…).”
TRIGÉSIMO SEGUNDO:
(...) realizó la encuesta a los clientes de Enérgya-VM finalizados procedentes del
Canal Nivalco entre el 17 de septiembre de 2019 y el 3 de octubre de 2019.
En este sentido, en el informe de auditoría de 28 de noviembre de 2019 se indica:
“(…)”
TRIGÉSIMO TERCERO:
El informe de auditoría de (...) de 28 de noviembre de 2019 refleja que la auditoría se
realizó a (…).
De los cuales, tal y como refleja el informe de auditoría de (...) de 28 de noviembre de
2019:
(…).
(…).
(…):
(…)
(…)
(…)
(…)
(…). Con las cifras reflejadas en la siguiente tabla:
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
49/227
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
TRIGÉSIMO CUARTO:
De acuerdo con el informe de auditoría de (...) de 28 de noviembre de 2019:
(…).
(…).
(…).
Así se refleja en el referido informe de auditoría:
“(…).”
TRIGÉSIMO QUINTO:
En la encuesta telefónica que (...) realizaba a los clientes activos con origen en el
Canal Nivalco se utilizaba el siguiente argumentario (script), reflejado en el informe de
auditoría de 28 de noviembre de 2019.
Se reproduce el contenido del script que figura en el informe de auditoría:
“(…)
(…).
(…).
(…)
(…)
(…).
(…)”
TRIGÉSIMO SEXTO:
(...) realizó la encuesta a los (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
50/227
En este sentido, en el informe de auditoría de 28 de noviembre de 2019 se indica:
“(…)
(…)
(…)”
TRIGÉSIMO SÉPTIMO:
El informe de auditoría de (...) de 28 de noviembre de 2019 refleja que la auditoría se
realizó a (…).
En ocasiones, los clientes que respondieron a la encuesta telefónica conforme a los
siguientes motivos (…):
(…)
(…)
(…)
(…)
(…)
De los (…), tal y como refleja el informe de auditoría de (...) de 28 de noviembre de
2019:
(…):
(…)
(…)
(…)
(…)
(…)
(…)
(…)
(…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) de acuerdo con las cifras reflejadas en la siguiente tabla:
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
51/227
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
TRIGÉSIMO OCTAVO:
El informe de auditoría de (...) de 28 de noviembre de 2019, al reflejar los resultados
obtenidos en relación con los clientes activos origen del Canal Nivalco, destaca que
(…).
En este sentido, en dicho informe se indica lo siguiente:
“(…)
(…)”.
TRIGÉSIMO NOVENO:
En las conclusiones el informe de auditoría de (...) de 28 de noviembre de 2019 se
indica que las incidencias más notables son (…) que se corresponden a unas
tipologías relacionadas con información confusa, insuficiente y engañosa por parte del
comercial de Nivalco.
Se reproducen las conclusiones de dicho informe de auditoría:
“(…):
(…)
(…)
(…)
(…)
(…).
(…)”.
CUADRAGÉSIMO:
En el informe de la Dirección General de la Policía (CGPJ) de 6 de febrero de 2023 se
analiza el resultado de la auditoría realizada por (...) para Enérgya-VM (informe de (...)
de 28 de noviembre de 2019) concluyendo que el engaño a clientes respondía a una
práctica relevante en las contrataciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
52/227
En el mencionado informe se indica:
“(…)
(…)
(…)”
En dicho informe se concluye:
“(…)
(…)
(…)
(…)
(…).
CUADRAGÉSIMO PRIMERO:
El 23 de septiembre de 2019 Enérgya-VM adoptó un (...).
En el escrito de Enérgya-VM, elaborado en contestación a la práctica de prueba I se
indica:
“(…) con fecha 23 de septiembre se inicia la campaña de (...), la cual fue
encargada de forma verbal por parte de Enérgya (…)”
Destaca que el objetivo de dicho servicio era (…).
En este sentido, en su escrito de alegaciones al acuerdo de inicio de 7 de junio de
2023, indica:
“59 Pero es más, precisamente, en el marco de dichas labores de valoración, además
de la auditoría encargada a (...) y a causa de los resultados de la misma, Enérgya
adoptó una medida esencial de refuerzo en el procedimiento de contratación de
Nivalco, solicitando a (...). Medida que la AEPD ignora totalmente en su Propuesta.
CUADRAGÉSIMO SEGUNDO:
Enérgya-VM detalla en el escrito de alegaciones al acuerdo de inicio de 7 de junio de
2023 en qué consistía el (…) encomendado a (...):
(…).
(…).
En relación con esta cuestión, en el informe de alegaciones al acuerdo de inicio,
Enérgya-VM indica:
“60 Esta medida consistía en que (...).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
53/227
61 (…). Esta actuación por parte de Enérgya sirve, de nuevo, para demostrar su
diligencia en el procedimiento de contratación y alta de nuevos clientes.
62 Tal y como se desprende del certificado de prestación de servicios emitido (...) en
fecha 22 de mayo de 2023 y que se adjunta como documento número 12, (…),
momento en el que Enérgya, tras la desconfianza que le transmitía Nivalco y la
notificación el 22 de abril de 2020 de un nuevo requerimiento por parte de la CNMC,
decidió resolver la relación contractual que les unía, la cual en ningún momento se ha
vuelto a retomar.”
CUADRAGÉSIMO TERCERO:
Enérgya-VM ha aportado junto con su escrito de alegaciones al acuerdo de inicio un
certificado elaborado por (...) de fecha 23 de mayo de 2023, relativo al (…) que le
encomendó Enérgya-VM, en el que dicha empresa, entre otras cuestiones, declara
que:
El (…), suscribiendo el correspondiente contrato de servicios al efecto.
Dicho servicio se extendió desde el (…). (...) afirma que el referido servicio era
independiente de la auditoría realizada en relación con las contrataciones del
Canal Nivalco correspondientes a los meses de julio, agosto y septiembre de
2019.
El objeto del servicio era (…).
(...).
Se realizaron (…) llamadas de las cuales (…).
Se reproduce el contenido del certificado de (...) de 23 de mayo de 2023:
“(…)
(…)
(…)
1. (…).
2. (…).
3. (…).
4. (…).
5. (…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
54/227
(…)”
CUADRAGÉSIMO CUARTO:
Enérgya-VM contrató verbalmente con (...) el (…) de los clientes potenciales captados
a través del Canal Nivalco.
Enérgya-VM ha aportado varias facturas relativas a dicho servicio realizado por (...).
En este sentido, en el escrito de la parte reclamada de fecha 31 de octubre de 2023 en
el que daba respuesta a la solicitud de práctica de prueba I, Enérgya-VM indica:
“SÉPTIMO. APARTADO 3.F DEL REQUERIMIENTO: CONTRATO DE SERVICIOS
CELEBRADO ENTRE ENÉRGYA-VM Y (...) AL OBJETO DE QUE ESTA ÚLTIMA
REALIZASE UNA (…) REALIZADAS POR EL CANAL DE VENTA EXTERNA NIVALCO
SOLUCIONES COMERCIALES S.L.
47. Enérgya tenía (…). (…) se aportan, respectivamente, como documento número 11
y documento número 12 al presente escrito y es en el contexto de los mismos en el
que, con fecha 23 de septiembre se inicia (...), la cual fue encargada de forma verbal
por parte de Enérgya, si bien totalmente acreditada mediante las facturas de los
servicios que diligentemente aportamos junto al presente escrito.
48. Puesto que en la página 2 del contrato de 3 de mayo de 2017 se especifica lo
siguiente:
“(…).
(…)
(…).
[…]
“(…).” (el subrayado es nuestro).
CUADRAGÉSIMO QUINTO:
En los certificados de (...) de fechas 25 de octubre y 8 de noviembre de 2023 (...)
declara:
(…).
(…).
Así, en el primer párrafo de dichos certificados, se indica:
“(…)1. Que (...) prestó un (…) a la mercantil ENERGYA VM GESTION DE ENERGIA
SLU con CIF 883393066 (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
55/227
CUADRAGÉSIMO SEXTO:
En el certificado de (...) de fecha 25 de octubre de 2023, elaborado en contestación a
la práctica de prueba II, la referida empresa aporta una tabla con el desglose mensual
de las llamadas (…) a las que hacía referencia en su certificado de 23 de mayo de
2023.
A continuación, se refleja el contenido de dicha tabla:
(…)
(…) (…) (…)
(…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…)
CUADRAGÉSIMO SÉPTIMO:
(...).
(…)
Así se refleja en el certificado de dicha empresa de 8 de noviembre de 2023,
elaborado en contestación a la práctica de prueba III. una explicación de las
subclasificaciones empleadas al calificar las llamadas (…):
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
56/227
CUADRAGÉSIMO OCTAVO:
(...) aporta en su certificado de fecha 8 de noviembre de 2023, elaborado en
contestación a la práctica de prueba III, en el que (…):
“(…):
(…).
(…).
(…).
(…).
(…).
CUADRAGÉSIMO NOVENO:
De acuerdo con el certificado de (...) de fecha 8 de noviembre de 2023, elaborado en
contestación a la práctica de prueba III, (…)”.
Dicha subclasificación refleja que (…).
En la siguiente tabla se incluyen las cifras relativas a estos (…) casos calificados como
no consciente cambio de compañía reflejados en el certificado de (...) de 8 de
noviembre de 2023
(…)
(…) (…) (…) (…) (…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…) (…) (…) (…) (…)
(…)
QUINCUAGÉSIMO:
De acuerdo con el certificado de (...) de fecha 8 de noviembre de 2023, elaborado en
contestación a la práctica de prueba III, (…).
Dicha subclasificación refleja que (…).
En la siguiente tabla se incluyen las cifras relativas a estos (…) casos calificados como
no consiente cambio reflejados en el certificado de (...) de 8 de noviembre de 2023
(…)
(…) (…) (…) (…) (…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…) (…) (…) (…) (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
57/227
(…)
QUINCUAGÉSIMO PRIMERO:
Tras haber examinado el contenido de las grabaciones de varias contrataciones
aportadas por la CNMC, que contenían la llamada de verificación realizada por (...), se
aprecia que las mismas tienen un contenido muy similar.
Se trata de una llamada de calidad que pretende verificar la actuación del
comercial de Nivalco.
En dichas llamadas se confirma que el nuevo cliente es consciente de que
realiza un cambio de compañía y consiente dicho cambio.
Las preguntas que se realizan no están vinculadas con la protección de datos
personales, el tratamiento de datos realizado por el personal de Nivalco
durante la captación comercial.
Tampoco se pretende comprobar si el nuevo cliente de Enérgya-VM es
consciente de que sus datos de carácter personal están siendo tratados por
Enérgya-VM en calidad de responsable del tratamiento.
A continuación, se reproduce, de forma sintética, el contenido de dichas llamadas:
1.(…).
2.(…).
3. (…).
(…).
4. (…):
(…).
(…).
(…)
(…).
(…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
58/227
QUINCUAGÉSIMO SEGUNDO:
Enérgya-VM había elaborado un argumentario de venta (...).
El (...) incluye instrucciones precisas sobre el momento y el modo de solicitar al
cliente datos de carácter cuyo tratamiento era necesario para la celebración del
contrato entre el cliente potencial y Enérgya-VM (…). Así como para verificar
otros datos de carácter personal.
En la parte inicial del argumentario, se obtienen datos personales de los
interesados sin informarles previamente sobre el tratamiento de sus datos de
carácter personal que se realiza. Aspecto del que no se informa hasta el punto
5 de la última parte del argumentario denominada “(…)”
A continuación, se reproduce el contenido (…):
“(…)
(…)
(…).
(…)
(…)
(…)
(…)
(…)
(…)
(…)
(…)
(…).
(…).
(…).
(…)
(…):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
59/227
1. (…).
2. (…).
3. (…).
4. (…).
5. (…).
6. (…).
(…).”
QUINCUAGÉSIMO TERCERO:
El argumentario (…) reproducido en el hecho probado anterior debía ser utilizado por
el encargado del tratamiento de Enérgya-VM (Nivalco).
Así lo refleja el burofax de fecha 23 de octubre de 2019 enviado por Enérgya-VM a (...)
(Documento 5, aportado por Enérgya-VM en fase de prueba) se refleja el carácter
obligatorio del Script de Venta VM para los encargados del tratamiento como Nivalco:
(…).
Asimismo, lo muestra el correo electrónico enviado por D. A.A.A. a dos empleados de
Nivalco de fecha 13 de septiembre de 2019 a las 13:20 (Documento 4 aportado por
Enérgya-VM junto con su escrito de alegaciones el acuerdo de inicio), Enérgya-VM
exige a Nivalco respetar el Script de Venta VM:
“En este sentido tras consultarlo con nuestra Asesoría Jurídica, os reiteramos la
necesidad de:
(…)
(…).
QUINCUAGÉSIMO CUARTO:
Enérgya-VM reconoce no haber realizado un análisis de riesgos en relación con
Nivalco.
En el escrito de alegaciones al acuerdo de inicio, Enérgya-VM destaca:
“63.2 En segundo lugar, la AEPD indica que no consta un análisis de riesgos tras los
resultados obtenidos en la auditoría interna. Esta afirmación es incongruente con las
múltiples acciones implementadas por Enérgya y puestas a disposición de la AEPD
por parte de Enérgya. A este respecto, la AEPD menciona en su Guía de Gestión del
riesgo y evaluación de impacto en tratamientos de datos personales lo siguiente:
“La gestión del riesgo implica actividades como contextualizar, identificar, analizar,
evaluar, actuar y revisar.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
60/227
63.3 En este sentido, Enérgya dedicó sendos esfuerzos a contextualizar, identificar,
analizar y evaluar las conductas de Nivalco. El motivo por el que Enérgya, tras la fase
de identificación y análisis no llevó a cabo una evaluación de riesgos más exhaustiva
es simple: optó por la resolución del Contrato con Nivalco.” (el subrayado es nuestro).
Asimismo, en el escrito de 31 de octubre de 2023, elaborado en contestación a la
práctica de prueba I, Enérgya-VM indica:
“DÉCIMO. APARTADO 3.J DEL REQUERIMIENTO: ANÁLISIS DE RIESGOS PARA
LOS DERECHOS Y LIBERTADES DE LOS INTERESADOS, FECHADO Y FIRMADO,
QUE, EN SU CASO, HUBIERE REALIZADO ENÉRGYA-VM EN RELACIÓN CON LA
PARTICIPACIÓN DE ENCARGADOS DEL TRATAMIENTO EN EL PROCESO DE
CONTRATACIÓN.
68. En primer lugar, la elaboración de un análisis de riesgos para evaluar el impacto
de la contratación de encargados del tratamiento no constituye una obligación de
conformidad con lo establecido en el RGPD y la LOPDGDD.
69. Por otro lado, como ya se indicó en el escrito de Alegaciones, en el momento en
que fueron identificadas las presuntas irregularidades, era Nivalco y no Enérgya el
responsable del tratamiento de la Base de Datos. Por lo tanto, incluso si Enérgya
hubiese realizado dicho análisis de riesgos, Nivalco no habría sido evaluado respecto
a los tratamientos efectuados en el proceso de captación.” (el subrayado es nuestro).
QUINCUAGÉSIMO QUINTO:
Nivalco reconoció ante Enérgya-VM su inexperiencia en el sector de la venta telefónica
y la falta de mecanismos de control interno adecuados.
En un burofax remitido por Nivalco a Enérgya-VM de fecha 21 de octubre de 2019
(Documento 10, aportado por Enérgya-VM en contestación a la práctica de prueba I):
“(…) Dicho esto, hemos de reconocer que en el inicio de la colaboración y debido
básicamente a nuestra inexperiencia en el sector de la venta telefónica y la
coincidencia del arranque de la campaña con la época estival en la que no estábamos
bien dimensionados a nivel administrativo, los mecanismos de control que
instauramos no fueron adecuados tal y como hemos visto con posterioridad.” (el
subrayado es nuestro).
QUINCUAGÉSIMO SEXTO:
El acuerdo de promoción de contratos a Comisión de fecha 1 de julio de 2019
celebrado por Enérgya-VM con Nivalco contiene varias previsiones relativas a la
obligación del promotor (Nivalco) de efectuar una grabación de voz del proceso de
contratación.
En el apartado 1 (Objeto, vigencia y términos del acuerdo) se indica:
“(…):
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
61/227
(…)
(…)” (el subrayado es nuestro)
En el apartado 3 (Obligaciones del promotor), el punto 8 prevé:
“(…).
En el apartado 9 (Condiciones de registro y validación de contratos) se dispone:
“(…).
QUINCUAGÉSIMO SÉPTIMO:
Nivalco, en calidad de encargado del tratamiento, estaba obligado a realizar una
grabación del proceso de venta y a aportarla a Enérgya-VM.
En este sentido, en el escrito de fecha 31 de octubre de 2023, elaborado por Enérgya-
VM en contestación a la práctica de prueba I, se indica:
“OCTAVO. APARTADO 3.G DEL REQUERIMIENTO: EN RELACIÓN CON LAS
GRABACIONES DE VOZ DE LOS PROCESOS DE CONTRATACIÓN REALIZADAS
POR EL CANAL DE VENTA EXTERNA NIVALCO SOLUCIONES COMERCIALES S.L,
INDICAR SI DICHO PROMOTOR ENVIABA A ENÉRGYA-VM LAS MENCIONADAS
GRABACIONES DE VOZ. EN CASO AFIRMATIVO, ACLARAR SI REMITÍA TODAS
LAS GRABACIONES Y ESPECIFICAR LA FRECUENCIA CON LA QUE DICHAS
GRABACIONES ERAN ENVIADAS A ENÉRGYA-VM.”
49. En relación con las grabaciones de voz de las llamadas realizadas por Nivalco,
dicha empresa facilitaba a Enérgya exclusivamente aquellas relativas a los
interesados que iniciaban el proceso de contratación, nunca las llamadas de contactos
previos comerciales fallidos. En particular, Nivalco, cuando un cliente sí iniciaba el
proceso de contratación, subía los archivos de voz (…) de Enérgya.
(…)
51. La operativa respecto a las grabaciones no hace más que confirmar lo
mencionado en el párrafo anterior y desarrollado en las Alegaciones. Como no puede
ser de otra forma, Nivalco actuaba como responsable del tratamiento de la Base de
Datos durante la fase de captación y, por ello, (…) de Enérgya las grabaciones
relativas a aquellos consumidores que no confirmaban su intención de contratar a
Enérgya.
52. En suma, Enérgya únicamente ha tratado los datos de aquellos clientes que, en
algún momento, decidieron formalizar el contrato de suministro y, por lo tanto, no ha
accedido a grabaciones ajenas a este proceso de contratación.”
QUINCUAGÉSIMO OCTAVO:
Enérgya-VM decidió encomendar a (...) la verificación de las contrataciones
provenientes del Canal Nivalco, a través de la realización de una auditoría sobre los
clientes captados por dicho Canal en julio, agosto y septiembre de 2019 y,
posteriormente, estableciendo el (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
62/227
QUINCUAGÉSIMO NOVENO:
En los escritos dirigidos por Enérgya-VM a (...) o a Nivalco son escasas las referencias
a la escucha de las grabaciones de voz aportadas por Nivalco.
1.El 10 de septiembre de 2019 (fecha en la que (...) envió su burofax y se celebró una
reunión entre dicha empresa y Enérgya-VM) Enérgya-VM escuchó grabaciones de voz
relativas a los contratos procedentes del Canal Nivalco.
Así se refleja en el correo electrónico enviado por D.D.D. a dos empleados de Nivalco
el día 10 de septiembre de 2019 a las 13:20 horas (Documento 8, aportado por
Enérgya-VM en contestación a la práctica de prueba I) titulado “IMPORTANTE.
Grabaciones Venta a Nivalco”, en el que se indica:
“(…) Puesto que en las llamadas de captación que Uds. (…), que estamos revisando,
no se observan cuestiones que revelen esta conducta, agradeceríamos nos confirmen
si existen o no llamadas previas de contacto con los clientes, que no nos remiten. Les
rogamos que nos confirmen o nos remitan todo el expediente de contratación de por
ejemplo la cliente E.E.E..” (el subrayado es nuestro).
2.El correo electrónico enviado por D. B.B.B. a un empleado de (...) el 10 de
septiembre de 2019 a las 18:29 (Documento 2, aportado por Enérgya-VM en
contestación a la práctica de prueba I) en el que se indica:
“(…) (…).
(…).
3.(…).
“ (…).”
SEXAGÉSIMO:
A solicitud de la Inspección, la CNMC ha aportado documentación, que forma parte de
este expediente, relativa a la contratación 30 puntos de suministro de clientes de
Enérgya-VM, captados a través del Canal Nivalco, en los que se acredita la confusión
y el engaño en la fase de captación de dichos clientes potenciales.
Las referidas captaciones implicaban el tratamiento de datos de carácter personal por
parte del encargado del tratamiento de Enérgya-VM (Nivalco), que obtenía de los
interesados (clientes potenciales de Enérgya.-VM) datos personales imprescindibles
para la formalización del contrato entre Enérgya-VM y dichos clientes potenciales.
En el informe de actuaciones previas de investigación de fecha 5 de mayo de 2023,
reproducido en el antecedente cuarto de esta resolución se indica:
“Muestra de contrataciones efectuadas por Nivalco para EnergyaVM
La ResoluciónCNMC incluye, entre los hechos probados, el siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
63/227
“La comercializadora ENÉRGYA-VM GESTIÓN DE LA ENERGÍA, S.L.U. durante el
periodo comprendido entre febrero y mayo de 2020, realizó de forma continuada
llamadas telefónicas, a través de la sociedad NIVALCO SOLUCIONES
COMERCIALES, S.L., que viciaron el consentimiento prestado por una pluralidad de
consumidores de electricidad y gas -que se corresponden con los CUPS que, a
continuación, se relacionan- para cambiar sus correspondientes contratos de
suministro”.
A solicitud de la AEPD, la CNMC ha facilitado (EscritoCNMC) la documentación
relativa a los treinta puntos de suministro cuya contratación se refiere en los hechos
probados de la ResoluciónCNMC. Para cada una de estas contrataciones la CNMC ha
aportado (Diligencia CNMC) los siguientes documentos:
“1. La grabación desde el primer contacto con el consumidor (numerado con un 1).
2. La grabación para formalizar la contratación (numerado con un 2).
3. En caso de existir, la grabación de la llamada de verificación de la contratación
efectuada por la empresa (...) (numerado con un 3).
4. Copia del certificado de envío, recepción y confirmación del SMS con la oferta
comercial.
5. Copia del contrato formalizado”
A continuación, se reproduce parte del hecho cuarto del acuerdo de inicio de fecha 9
de mayo de 2023, que reproduce el contenido del informe de actuaciones previas de
investigación de 5 de mayo de 2023 relativo a la contratación 30 puntos de suministro
de clientes de Enérgya-VM, captados a través del Canal Nivalco, remitida por la
CNMC a esta Agencia:
“
- 1 En relación con el CUPS (...).
o (…). Expresa, además, sobre el argumentario de Nivalco, lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Condiciones Económicas han
finalizado hay que actualizarlas. Comercializadora cambia cada año.
Obtiene información con engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 1.1. Se llama en nombre de Nivalco, se conocen
nombre, apellidos, y direcciones de la contratante (receptora de la
llamada). Se busca comercializar los servicios de Enérgya-VM. Se
solicita el número de DNI de la contratante y se verifica la dirección.
Grabación 1.2. Se llama para comunicar el alta de luz de la
contratante. La llamada se transfiere para que la contratante
confirme la contratación al operador de “tecas, empresa colaborada
de EnergyaVM”. La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, correo electrónico,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
64/227
dirección de suministro, número de cuenta bancaria, y voluntad de
cambiar su suministro a Enérgya-VM en las condiciones que se
citan.
(…).
(…).
- 2 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 2.1. Se llama en nombre de Nivalco, se conocen
nombre, apellidos, dirección del contratante (receptor de la
llamada), y condiciones actuales de los suministros de electricidad
y gas. Se indica que han concluido las bonificaciones de que
disponía y que se hace una comparación entre los precios de los
comercializadores para encontrar la mejor tarifa. Se concluye
ofreciendo Enérgya-VM. Se solicita el número del DNI del
contratante y el número de cuenta bancaria para “verificarlo”. Se
señala que se envía el SMS para contestar afirmativamente a la
contratación.
Grabación 2.2. Se llama para comunicar el alta de luz y gas del
contratante. La llamada se transfiere para que el contratante
confirme la contratación al operador de “tecas, empresa colaborada
de EnergyaVM”. El contratante confirma los CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro,
número de cuenta bancaria, y voluntad de cambiar su suministro a
Enérgya-VM en las condiciones que se citan.
Grabación 2.3. Conversación mantenida entre un operador que se
identifica como del departamento de calidad de Enérgya-VM y el
contratante en la que se le consulta sobre su satisfacción con el
proceso de venta comercial y su consciencia del cambio a
Enérgya-VM.
(…).
(…).
- 3 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 3.1. Se llama en nombre de Nivalco. Se conocen
nombre, apellidos, dirección del contratante (receptor de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
65/227
llamada), y condiciones actuales del suministro de electricidad y
gas. Se indica que se han concluido las bonificaciones de que
disponía y que se llama para renovarlos. Se solicita el número del
DNI del contratante y el número de cuenta bancaria para
“verificarlo”. Se señala que se envía el SMS para contestar
afirmativamente a la contratación con Enérgya-VM.
La grabación incluye también la conversación de “verificación”, en la
que el operador de “tecas, empresa colaborada de EnergyaVM” solicita
al contratante confirmación del CUPS, nombre, apellidos, NIF, número
de teléfono móvil, dirección de suministro, número de cuenta de la
contratante, y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan. El contratante pregunta si Enérgya-VM es la
misma empresa que le suministra actualmente. Al contestarle
negativamente, el contratante cuestiona sobre cómo puede ser que
tengan sus datos personales. En este momento se le responde que esa
pregunta ha de dirigírsela al comercial, al que se le transfiere
nuevamente la llamada. El comercial responde sobre las diferencias
entre comercializadora y distribuidora, sin que se aprecie aclaración
sobre el origen de los datos. Termina la conversación con un nuevo
proceso de verificación en el que el contratante acepta la contratación.
Grabación 3.2. Se llama para comunicar el alta de luz del
contratante. La llamada se transfiere para que el contratante
confirme la contratación al operador del “tecas, empresa
colaborada de EnergyaVM”. El contratante confirma los CUPS,
nombre, apellidos, NIF, número de teléfono móvil, dirección de
suministro, número de cuenta de la contratante, y voluntad de
cambiar su suministro a Enérgya-VM en las condiciones que se
citan. El contenido se encuentra igualmente imbuido en la
Grabación 3.1.
Grabación 3.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 4 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 4.1. Se llama en nombre de Nivalco (“asesor
energético”). Se conocen nombre, apellidos, dirección de la
contratante (receptora de la llamada), y condiciones actuales del
suministro de electricidad y gas. Se indica que se han concluido las
bonificaciones de que disponía y que se llama para recomendar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
66/227
comercializadora que mejores condiciones y descuentos tiene, que
es Enérgya-VM. Se solicita el número del DNI de la contratante y el
número de cuenta bancaria para “verificarlo” (la contratante
expresa que “si no lo tienen ya de anteriores recibos”). Se señala
que se envía el SMS para contestar afirmativamente a la
contratación con Enérgya-VM.
Grabación 4.2. Se llama para comunicar el alta de los suministros
de la contratante (electricidad y gas). La llamada se transfiere para
que la contratante confirme la contratación al operador de “tecas,
empresa colaborada de EnergyaVM”. La contratante confirma los
CUPS, nombre, apellidos, NIF, número de teléfono móvil, dirección
de suministro, número de cuenta bancaria, y voluntad de cambiar
su suministro a Enérgya-VM en las condiciones que se citan.
Grabación 4.3. Conversación mantenida entre un operador en
nombre del departamento de calidad de Enérgya-VM y la
contratante al objeto de agradecer la contratación y verificar la
calidad del proceso de venta comercial. Se consulta a la
contratante sobre su satisfacción con el proceso y su consciencia
del cambio a Enérgya-VM.
(…).
(…).
- 5 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 5.1. Se llama en nombre de Nivalco (“asesor
energético”). Se conocen nombre, apellidos, dirección del
contratante (receptor de la llamada), y condiciones actuales del
suministro de electricidad y gas. Se indica que se han concluido las
bonificaciones de que disponía y que se llama para mejorarle las
condiciones. Se solicita el número del DNI y el número de cuenta
bancaria para “verificarlo” (el contratante pregunta si es que no lo
tienen ya, a lo que le contesta el comercial que necesita
nuevamente los datos “por el tema de la protección de datos”). Se
señala que se envía el SMS para contestar afirmativamente a la
contratación con Enérgya-VM.
Incluye en los últimos minutos la transferencia de la llamada a
“tecas, empresa colaborada de EnergyaVM” en la que se confirman
los datos de la contratación (Grabación 5.2).
Grabación 5.2. Se llama para comunicar el alta de los suministros
del contratante (electricidad y gas). La llamada se transfiere para
que el contratante confirme la contratación al operador de “tecas,
empresa colaborada de EnergyaVM”. El contratante confirma los
CUPS, nombre, apellidos, NIF, número de teléfono móvil, dirección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
67/227
de suministro, número de cuenta bancaria, y voluntad de cambiar
su suministro a Enérgya-VM en las condiciones que se citan.
Grabación 5.3. Conversación mantenida entre un operador en
nombre del departamento de calidad de Enérgya-VM y el
contratante al objeto de agradecer la contratación y verificar la
calidad del proceso de venta comercial. Se consulta al contratante
sobre su satisfacción con el proceso y su consciencia del cambio a
Enérgya-VM.
(…).
(…).
- 6 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 6.1. Se llama de la “asesoría energética”. Se conocen
nombre, apellidos, dirección de la contratante (receptora de la
llamada), y condiciones actuales del suministro. Se indica que se
va a bajar el precio y se van a aplicar descuentos. Se solicita el
número del DNI de la contratante y el número de cuenta bancaria
para “verificarlo”. Se señala que se envía el SMS para contestar
afirmativamente a la contratación con Enérgya-VM.
Grabación 6.2. Se llama para comunicar el alta del suministro de la
contratante. La llamada se transfiere para que la contratante
confirme la contratación al operador de “tecas, empresa colaborada
de EnergyaVM”. La contratante confirma los CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro,
número de cuenta bancaria, y voluntad de cambiar su suministro a
Enérgya-VM en las condiciones que se citan.
Grabación 6.3. Conversación mantenida entre un operador en
nombre del departamento de calidad de Enérgya-VM y la
contratante al objeto de agradecer la contratación y verificar la
calidad del proceso de venta comercial. Se consulta a la
contratante sobre su satisfacción con el proceso y su consciencia
del cambio a Enérgya-VM.
(…).
(…).
- 7 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
68/227
Grabación 7.1. Se llama en nombre de Nivalco (“asesor energético
y distribuidor autorizado de EnergyaVM”). Se conocen nombre,
apellidos, dirección del contratante (receptor de la llamada), y
condiciones actuales del suministro. Se indica que han concluido
los descuentos que le estaban siendo aplicados al suministro de
luz, y que le van a buscar la mejor tarifa entre todas las
comercializadoras. Se le termina indicando que las mejores
condiciones las ofrece Enérgya-VM. Se solicita el número del DNI,
el correo electrónico, y el número de cuenta bancaria para
“verificarlo”. El contratante muestra reticencias a dar el número de
cuenta por teléfono y el comercial le indica que por motivos de
seguridad necesita “verificar la cuenta”. El contratante señala que
quiere que se le siga domiciliando en la misma cuenta bancaria y
que por seguridad no quiere decir su número de cuenta por
teléfono. El comercial termina convenciendo al contratante y éste
se lo facilita. Se señala que se envía el SMS para contestar
afirmativamente a la contratación con Enérgya-VM. El comercial le
informa de que dentro de un año se podrá en contacto con él
nuevamente para renovarle los descuentos.
Incluye en los últimos minutos la transferencia de la llamada a
“tecas, empresa colaborada de EnergyaVM” en la que se confirman
los datos de la contratación (Grabación 7.2).
Grabación 7.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación al operador de “tecas, empresa colaborada
de EnergyaVM”. El contratante confirma los CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro,
número de cuenta bancaria, y voluntad de cambiar su suministro a
Enérgya-VM en las condiciones que se citan.
Grabación 7.3. Conversación mantenida entre un operador en
nombre del departamento de calidad de Enérgya-VM y el
contratante al objeto de agradecer la contratación y verificar la
calidad del proceso de venta comercial. Se consulta al contratante
sobre su satisfacción con el proceso y su consciencia del cambio a
Enérgya-VM.
(…).
(…).
- 8 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 8.1. Se llama en nombre de una “asesoría energética”.
Se conocen nombre, apellidos, dirección del contratante (receptor
de la llamada), y condiciones actuales del suministro. Se indica que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
69/227
han concluido los descuentos que le estaban siendo aplicados al
suministro, y que le van a buscar la mejor tarifa entre todas las
comercializadoras. Se le termina indicando que las mejores
condiciones las ofrece Enérgya-VM. Se solicita el número del DNI
del contratante y el número de cuenta bancaria para “verificarlo”.
Se señala que se envía el SMS para contestar afirmativamente a la
contratación con Enérgya-VM.
Grabación 8.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación de los suministros con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 8.3. Conversación mantenida entre un operador en
nombre del departamento de calidad de Enérgya-VM y el
contratante al objeto de agradecer la contratación y verificar la
calidad del proceso de venta comercial. Se consulta al contratante
sobre su satisfacción con el proceso y su consciencia del cambio a
Enérgya-VM.
(…).
(…).
- 9 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 9.1. Se llama en nombre una “asesoría”. Se conocen
nombre, apellidos, dirección del contratante (receptor de la
llamada), y condiciones actuales del suministro. Se indica que han
concluido los descuentos que le estaban siendo aplicados al
suministro, y que le van a buscar la mejor tarifa entre todas las
comercializadoras. Se le termina indicando que las mejores
condiciones las ofrece Enérgya-VM. Se solicita el número del DNI
del contratante y el número de cuenta bancaria para “verificarlo”. El
contratante primeramente señala que no “da” el número de cuenta
por teléfono, pero finalmente lo facilita. Se señala que se envía el
SMS para contestar afirmativamente a la contratación con Enérgya-
VM.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 9.2).
Grabación 9.2. Se llama para comunicar el alta de los suministros
(luz y gas) del contratante. La llamada se transfiere para que el
contratante confirme la contratación de los suministros con
Enérgya-VM. El contratante confirma los CUPS, nombre, apellidos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
70/227
NIF, número de teléfono móvil, dirección de suministro, número de
cuenta bancaria, y voluntad de cambiar su suministro a Enérgya-
VM en las condiciones que se citan.
Grabación 9.3. Conversación mantenida entre un operador en
nombre del departamento de calidad de Enérgya-VM y el
contratante al objeto de agradecer la contratación y verificar la
calidad del proceso de venta comercial. Se consulta al contratante
sobre su satisfacción con el proceso y su consciencia del cambio a
Enérgya-VM.
(…).
(…).
- 10 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 10.1. Se llama en nombre de “Nivalco asesores”. Se
conocen nombre, apellidos, dirección del contratante (receptor de
la llamada), y condiciones actuales del suministro. Se indica que
han concluido los descuentos que le estaban siendo aplicados al
suministro de luz, y que le van a buscar un nuevo descuento para
los próximos doce meses. Se le indica que las mejores condiciones
las ofrece Enérgya-VM. Se solicita el número del DNI del
contratante, el correo electrónico, y el número de cuenta bancaria
para “verificarlo”. Se señala que se envía el SMS para contestar
afirmativamente a la contratación con Enérgya-VM.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 10.2).
Grabación 10.2. Se llama para comunicar el alta de los suministros
(luz y gas) del contratante. La llamada se transfiere para que el
contratante confirme la contratación de los suministros con
Enérgya-VM. El contratante confirma los CUPS, nombre, apellidos,
NIF, número de teléfono móvil, dirección de suministro, número de
cuenta bancaria, y voluntad de cambiar su suministro a Enérgya-
VM en las condiciones que se citan.
Grabación 10.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 11 En relación con el CUPS (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
71/227
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 11.1. Se llama en nombre de “Nivalco”. Se conocen
nombre, apellidos, dirección de la contratante (receptora de la
llamada), y condiciones actuales del suministro. Se indica que han
concluido los descuentos que le estaban siendo aplicados y que
tiene que realizar la renovación, siguiendo “con la misma empresa”.
Se le indica que el descuento durante los próximos doce meses se
lo va a aplicar Enérgya-VM, y que pasados estos doce meses la
misma operadora personalmente le volverá a llamar. Se solicita el
número del DNI de la contratante, y el número de cuenta bancaria
para “verificarlo”. Se señala que se envía el SMS para contestar
afirmativamente a la contratación con Enérgya-VM.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 11.2).
Grabación 11.2. Se llama para comunicar el alta de los suministros
de la contratante. La llamada se transfiere para que la contratante
confirme la contratación de los suministros con Enérgya-VM. La
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria
de la contratante, y voluntad de cambiar su suministro a Enérgya-
VM en las condiciones que se citan.
(…).
(…).
- 12 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Condiciones Económicas han
finalizado hay que actualizarlas. Comercializadora cambia cada año.
Obtiene información con engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 12.1. Se llama en nombre de “Suministro de luz de
Nivalco asesores” que trabaja “con su distribuidora”. Se conocen
nombre, apellidos, dirección de la contratante (receptora de la
llamada), y condiciones actuales del suministro. Se indica que han
concluido las tarifas que tenía vigentes, y que se llama al objeto de
conseguirle una mejor tarifa. Se le indica que las mejores
condiciones las ofrece Enérgya-VM. Se solicita el número del DNI
de la contratante, y el número de cuenta bancaria para “verificarlo”.
La contratante manifiesta que va a buscar el número de cuenta y
queda con la operadora en que le vuelva a llamar.
Grabación 12.2. Se llama para comunicar el alta de los suministros
(luz y gas) de la contratante. La llamada se transfiere para que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
72/227
contratante confirme la contratación de los suministros con
Enérgya-VM (“tecas en colaboración con EnergyaVM”). La
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria
de la contratante, y voluntad de cambiar su suministro a Enérgya-
VM en las condiciones que se citan.
Grabación 12.3. Conversación mantenida entre un operador del
departamento de calidad de Enérgya-VM y la contratante al objeto
de agradecer la contratación y verificar la calidad del proceso de
venta comercial. Se consulta a la contratante sobre su satisfacción
con el proceso y su consciencia del cambio a Enérgya-VM.
(…).
(…).
- 13 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 13.1. Se llama en nombre del “suministro de la luz y del
gas”. Se conocen nombre, apellidos, dirección del contratante
(receptor de la llamada), y condiciones actuales del suministro. Se
indica que han concluido los descuentos que le estaban siendo
aplicados al suministro y que el objeto de la llamada es renovarlos.
Se le indica que la facturación se la aplicaría a partir de ahora
Enérgya-VM (manteniendo la misma distribuidora). Se solicita el
número del DNI del contratante, el número de teléfono móvil, el
correo electrónico, y el número de cuenta bancaria para
“verificarlo”. El contratante muestra reticencia a verbalizar su
número de cuenta bancaria, si bien finalmente lo facilita. Se señala
que se envía el SMS para contestar afirmativamente a la
contratación con Enérgya-VM.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 13.2).
Grabación 13.2. Se llama para comunicar el alta de los suministros
(luz y gas) del contratante. La llamada se transfiere para que el
contratante confirme la contratación de los suministros con
Enérgya-VM. El contratante confirma los CUPS, nombre, apellidos,
NIF, número de teléfono móvil, correo electrónico, dirección de
suministro, número de cuenta bancaria, y voluntad de cambiar su
suministro a Enérgya-VM en las condiciones que se citan.
Grabación 13.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
73/227
(…).
(…).
- 14 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 14.1. Se llama en nombre de “Nivalco”. Se conocen
nombre, apellidos, dirección de la contratante (receptora de la
llamada), y condiciones actuales del suministro. Se indica que han
concluido los descuentos, y que se llama al objeto de renovarlos.
Se le indica que se va a renovar la comercializadora a Enérgya-
VM. Se solicita el número del DNI de la contratante, y el número de
cuenta bancaria para “verificarlo”. Se señala que se envía el SMS
para contestar afirmativamente a la contratación con Enérgya-VM.
Grabación 14.2. Se llama para comunicar el alta del suministro de
la contratante. La llamada se transfiere para que la contratante
confirme la contratación de los suministros con Enérgya-VM (“tecas
en colaboración con EnergyaVM”). La contratante confirma los
CUPS, nombre, apellidos, NIF, número de teléfono móvil, dirección
de suministro, número de cuenta bancaria de la contratante, y
voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 14.3. Conversación mantenida entre un operador del
departamento de calidad de Enérgya-VM y la contratante al objeto
de agradecer la contratación y verificar la calidad del proceso de
venta comercial. Se consulta a la contratante sobre su satisfacción
con el proceso y su consciencia del cambio a Enérgya-VM.
(…).
(…).
- 15 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Llamada cortada. Descuentos o bonificaciones caducados.
Comercializadora cambia cada año”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 15.1. Es la continuación de una llamada anterior. Se
conoce el nombre de la contratante (receptora de la llamada). Se
indica que han concluido los descuentos, y que se llama al objeto
de cambiarle la compañía comercializadora a Enérgya-VM para
que se los mantengan. Se solicita el número del DNI de la
contratante (la operadora comienza diciéndolo y termina la
contratante), y el número de cuenta bancaria para “verificarlo”. Se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
74/227
señala que se envía el SMS para contestar afirmativamente a la
contratación con Enérgya-VM.
Grabación 15.2. Se llama para comunicar el alta del suministro de
la contratante. La llamada se transfiere para que la contratante
confirme la contratación de los suministros con Enérgya-VM (“tecas
en colaboración con EnergyaVM”). La contratante confirma los
CUPS, nombre, apellidos, NIF, número de teléfono móvil, dirección
de suministro, número de cuenta bancaria, y voluntad de cambiar
su suministro a Enérgya-VM en las condiciones que se citan.
Grabación 15.3. Conversación mantenida entre un operador del
departamento de calidad de Enérgya-VM y la contratante al objeto
de agradecer la contratación y verificar la calidad del proceso de
venta comercial. Se consulta a la contratante sobre su satisfacción
con el proceso y su consciencia del cambio a Enérgya-VM.
(…).
(…).
- 16 En relación con el CUPS (…).
o(…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 16.1. Se llama en nombre de “Nivalco”. Se conocen
nombre, apellidos, dirección del contratante (receptor de la
llamada), y condiciones actuales del suministro. Se indica que han
concluido los descuentos que le estaban siendo aplicados al
suministro y que el objeto de la llamada es renovarlos. Se le indica
que la renovación de los descuentos implica el cambio de
comercializadora a Enérgya-VM (manteniendo la misma
distribuidora). Se solicita el número del DNI del contratante, el
número de teléfono móvil, y el número de cuenta bancaria para
“verificarlo”. Se señala que se envía el SMS para contestar
afirmativamente a la contratación con Enérgya-VM.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 16.2).
Grabación 16.2. Se llama para comunicar el alta de los suministros
(luz y gas) del contratante. La llamada se transfiere para que el
contratante confirme la contratación de los suministros con
Enérgya-VM. El contratante confirma los CUPS, nombre, apellidos,
NIF, número de teléfono móvil, dirección de suministro, número de
cuenta bancaria, y voluntad de cambiar su suministro a Enérgya-
VM en las condiciones que se citan.
(…).
(…).
- 17 En relación con el CUPS (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
75/227
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados.”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 17.1. Se llama en nombre de “Nivalco, asesoría
energética”. Se conocen la dirección del contratante (receptor de la
llamada), y condiciones actuales del suministro. Se indica que han
concluido los descuentos que le estaban siendo aplicados al y que
el objeto de la llamada es facilitarle una mejora de sus condiciones
a través de Enérgya-VM. Se solicita el número del DNI del
contratante, el número de teléfono móvil, y el número de cuenta
bancaria para domiciliar el recibo. Se señala que se envía el SMS
para contestar afirmativamente a la contratación.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 17.2).
Grabación 17.2. Se llama para comunicar el alta de los suministros
del contratante. La llamada se transfiere para que el contratante
confirme la contratación de los suministros con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, correo electrónico, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a
Enérgya-VM en las condiciones que se citan.
Grabación 17.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 18 En relación con el CUPS (...).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Obtiene información con engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 18.1. Se llama de la “asesoría energética”. Se conocen
la dirección del contratante (receptor de la llamada), y condiciones
actuales del suministro. Se indica que han concluido los
descuentos que le estaban siendo aplicados y que el objeto es
renovarlos con Enérgya-VM (“que es la que le corresponde este
año”). Se solicita el número del DNI del contratante y el número de
cuenta bancaria para domiciliar el recibo. Se señala que se envía el
SMS para contestar afirmativamente a la contratación.
Grabación 18.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
76/227
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma el CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 18.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM. Ante esta última pregunta el
contratante manifiesta “¿sigo con (...) no?”. El operador lo niega y
señala que cambia a Enérgya-VM, cuestionando al contratante si el
comercial se identificó de esta forma. El contratante lo niega. El
operador le explica el cambio que se ha producido y pregunta si lo
consiente. a lo que el contratante asiente.
(…).
(…).
- 19 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 19.1. Se llama “del suministro de la luz” para “renovar la
comercializadora de este año para poder acceder a algún
descuento”. Se conocen la dirección del contratante (receptor de la
llamada), y condiciones actuales del suministro. El contratante
pregunta si la empresa va a continuar siendo la misma. Se le
contesta que la distribuidora sí, pero que cambiará la empresa que
le factura, la comercializadora, a Enérgya-VM. Se solicita el número
del DNI del contratante, el número de teléfono móvil, y el número
de cuenta bancaria para “confirmar el IBAN que tenemos aquí”. Se
señala que se envía el SMS para contestar afirmativamente a la
contratación.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 19.2).
Grabación 19.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, correo electrónico, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a
Enérgya-VM en las condiciones que se citan.
Grabación 19.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
77/227
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 20 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Obtiene información con engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 20.1. Se llama de Nivalco porque han caducado los
descuentos que tenía aplicados al objeto de renovar la
comercializadora a Enérgya-VM para volver a aplicarlos. Se
conocen nombre, apellidos, y dirección del contratante (receptor de
la llamada). Se solicita el número del DNI del contratante, el
número de teléfono móvil, y el número de cuenta bancaria. Se
señala que se envía el SMS para contestar afirmativamente a la
contratación.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 20.2).
Grabación 20.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 20.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 21 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 21.1. Se llama de la “asesoría energética (Nivalco)”,
encargada de aplicar los descuentos de la renovación mediante
Enérgya-VM ya que han caducado los que tenía. Se conocen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
78/227
nombre, apellidos, y dirección del contratante (receptor de la
llamada). Se solicita el número del DNI del contratante y el número
de cuenta bancaria. El contratante no tiene el número de cuenta
disponible en ese momento y se emplazan para una conversación
posterior.
Grabación 21.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 21.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 22 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 22.1. Se llama de Nivalco porque han caducado los
descuentos que tenía aplicados en la factura de la luz al objeto de
renovarlos. Para ello se indica que hay que cambiar la
comercializadora. Se conocen nombre, apellidos, y dirección del
contratante (receptor de la llamada). Se solicita el número del DNI
del contratante “para acceder al contador de la luz” y el número de
cuenta bancaria “por la ley de protección de datos para que el
sistema lo confirme como correcto”. Se señala que se envía el SMS
para contestar afirmativamente a la contratación.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 22.2).
Grabación 22.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma el CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 22.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
79/227
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 23 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 23.1. Se llama de Nivalco (“la asesoría energética”)
porque ya no tiene aplicados los descuentos de la luz. Se indica
que para renovarlos ha de cambiar de comercializadora a Enérgya-
VM. Se conocen nombre, apellidos, dirección del contratante
(receptor de la llamada), y condiciones actuales del suministro. Se
solicita el número del DNI del contratante “para acceder al contador
de la luz”, el número de teléfono móvil, y el número de cuenta
bancaria. Se señala que se envía el SMS para contestar
afirmativamente a la contratación.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 23.2).
Grabación 23.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma el CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 23.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 24 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
80/227
Grabación 24.1. Se llama de Nivalco (“asesoría energética”) porque
le han caducado los descuentos de luz y gas. Se indica que para
renovarlos ha de cambiar de comercializadora a Enérgya-VM,
manteniendo la misma distribuidora. Se conocen nombre, apellidos,
dirección del contratante (receptor de la llamada), y condiciones
actuales del suministro. Se solicita el número del DNI del
contratante “para acceder al contador de la luz”, y el número de
cuenta bancaria. Se señala que se envía el SMS para contestar
afirmativamente a la contratación.
Grabación 24.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma el CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 24.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 25 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 25.1. Se llama en nombre de “Nivalco”. Se conocen
nombre, apellidos, dirección de la contratante (receptora de la
llamada), y condiciones actuales del suministro. Se indica que han
concluido los descuentos y que se llama al objeto de renovarlos. Se
le indica que se va a renovar la comercializadora a Enérgya-VM
manteniendo la distribuidora porque “cada año es una
comercializadora la que aplica los descuentos”. Se solicita el
número del DNI de la contratante “para entrar al contador”, el
número de teléfono móvil, y el número de cuenta bancaria para
“verificarlo”. Se señala que se envía el SMS para contestar
afirmativamente a la contratación con Enérgya-VM.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación.
Grabación 25.2. Se llama para comunicar el alta del suministro de
la contratante. La llamada se transfiere para que la contratante
confirme la contratación de los suministros con Enérgya-VM (“tecas
en colaboración con EnergyaVM”). La contratante confirma los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
81/227
CUPS, nombre, apellidos, NIF, número de teléfono móvil, dirección
de suministro, número de cuenta bancaria de la contratante, y
voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 25.3. Conversación mantenida entre un operador del
departamento de calidad de Enérgya-VM y la contratante al objeto
de agradecer la contratación y verificar la calidad del proceso de
venta comercial. Se consulta a la contratante sobre su satisfacción
con el proceso y su consciencia del cambio a Enérgya-VM.
(…)
(…).
(…).
- 26 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 26.1. Se llama de Nivalco (“asesoría energética”) porque
le han caducado los descuentos de luz y gas al objeto de
renovarlos. Para ello se le va a cambiar la comercializadora a
Enérgya-VM manteniendo la misma distribuidora. Se conocen
nombre, apellidos, dirección del contratante (receptor de la
llamada), y condiciones actuales del suministro. El contratante
pregunta cómo es posible que tengan sus datos, y el operador le
responde que porque previamente habrán mantenido algún
contacto, y que anualmente se ponen en contacto para renovar los
descuentos. Se solicita el número del DNI del contratante, y el
número de cuenta bancaria. Se señala que se envía el SMS para
contestar afirmativamente a la contratación.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 26.2).
Grabación 26.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 26.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
82/227
(…).
- 27 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 27.1. Se llama de Nivalco “asesores” porque le han
caducado los descuentos que tenía aplicados al objeto de
renovarlos con Enérgya-VM. Se conocen nombre, apellidos,
dirección del contratante (receptor de la llamada), y condiciones
actuales del suministro de luz y gas. Se solicita el número del DNI
del contratante, y el número de cuenta bancaria para “verificarlo por
la ley de protección de datos”. Se señala que se envía el SMS para
contestar afirmativamente a la contratación.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 27.2).
Grabación 27.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 27.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 28 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
83/227
Grabación 28.1. Se llama de Nivalco (“asesores energéticos que
trabajamos con todas las compañías”) porque le han caducado las
condiciones económicas de luz y gas que contrató. El objeto de la
llamada es renovarlas. Se conocen nombre, apellidos, dirección del
contratante (receptor de la llamada), y condiciones actuales de los
suministros. Señala que los mejores precios los ofrece ahora
Enérgya-VM. Además le informan de que pasado un año le
volverán a llamar para volver a ofrecerle “el mejor precio del
mercado”. Se solicita el número del DNI del contratante y el número
de cuenta bancaria “por ley de protección de datos”. El contratante
facilita los datos de otra vivienda para la que también quiere
contratar el suministro. Se señala que se envían los SMS para
contestar afirmativamente a las contrataciones.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 28.2).
Grabación 28.2. Se llama para comunicar el alta de los suministros
del contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 28.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 29 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 29.1. Se llama de la “asesoría energética” porque le han
caducado los descuentos que tenía aplicados al objeto de
renovarlos con la comercializadora Enérgya-VM por los próximos
doce meses. Se conocen nombre, apellidos, dirección del
contratante (receptor de la llamada), y condiciones actuales de los
suministros de luz y gas. Se solicita el número del DNI del
contratante, el número de teléfono móvil, la dirección de correo
electrónico, y el número de cuenta bancaria. El contratante muestra
reticencias para dar el número de cuenta bancaria expresando que
quiere que le facturen en la misma cuenta en la que ya venían
cargándole los recibos. El operador verbaliza los CUPS del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
84/227
contratante para que “confíe en él”. Finalmente el contratante
facilita el número de cuenta bancaria. Se señala que se envía el
SMS para contestar afirmativamente a la contratación.
Incluye en los últimos minutos la transferencia de la llamada a un
colaborador de Enérgya-VM en la que se confirman los datos de la
contratación (Grabación 29.2).
Grabación 29.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma los CUPS, nombre, apellidos, NIF, número de
teléfono móvil, dirección de suministro, número de cuenta bancaria,
y voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
Grabación 29.3. Conversación mantenida entre un operador en
nombre de Enérgya-VM y el contratante al objeto de agradecer la
contratación y verificar la calidad del proceso de venta comercial.
Se consulta al contratante sobre su satisfacción con el proceso y su
consciencia del cambio a Enérgya-VM.
(…).
(…).
- 30 En relación con el CUPS (…).
o (…). Expresa además sobre el argumentario de Nivalco lo siguiente:
“Conocen Nombre y Dirección y Teléfono. Descuentos o bonificaciones
caducados. Comercializadora cambia cada año. Obtiene información con
engaño (NIF y/o CC)”.
o La CNMC adjunta (Diligencia CNMC -se refieren los documentos según la
codificación establecida en la propia diligencia-):
Grabación 30.1. Se llama “de la asesoría energética del estado” en
relación al punto de suministro de luz porque le han caducado los
descuentos que tenía aplicados al objeto de “buscar los mejores
precios para el cliente”. Se conocen el nombre y la dirección del
contratante (receptor de la llamada), y las condiciones actuales de
los suministros. Se solicita el número del DNI del contratante, el
número de teléfono móvil, y el número de cuenta bancaria “para
verificarlo”. Se señala que se envía el SMS para contestar
afirmativamente a la contratación. Incluye en los últimos minutos la
transferencia de la llamada a un colaborador de Enérgya-VM en la
que se confirman los datos de la contratación (Grabación 30.2).
Grabación 30.2. Se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante
confirme la contratación del suministro con Enérgya-VM. El
contratante confirma el CUPS, el nombre, los apellidos, el número
de DNI, la fecha de nacimiento, el número de teléfono móvil, la
dirección de suministro, el número de cuenta bancaria, y la
voluntad de cambiar su suministro a Enérgya-VM en las
condiciones que se citan.
(…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
85/227
SEXAGÉSIMO PRIMERO:
En contestación a un requerimiento del Inspector de 3 de abril de 2023, Enérgya-VM
ha aportado (…) reclamaciones de clientes relacionadas con el Canal Nivalco (alguna
incluye varios puntos de suministro, CUPS).
Asimismo, ha aportado la reclamación de G.G.G., aclarando que no llegó a ser cliente
de Enérgya-VM
Al examinar el contenido de las mismas, cabe apreciar claras similitudes:
En la mayoría de las reclamaciones los reclamantes se sienten engañados,
creían que la llamada telefónica en la que se les ofrecían descuentos la
realizaba su compañía comercializadora. En algún caso, resaltan que se les ha
hecho creer que los descuentos de los que disfrutaban con su compañía
comercializadora habían caducado, cuando no era así.
Muchos de los reclamantes destacan que el comercial que se puso en contacto
con ellos disponía de sus datos de carácter personal, ignorando cómo los
había obtenido.
En ocasiones, reconocen haber facilitado algún dato de carácter personal, bajo
engaño o sintiéndose presionados por la insistencia del comercial. En uno de
los casos afirman, que, a pesar de no haber facilitado su número de cuenta
bancaria, están recibiendo cargos en una cuenta bancaria de la que es titular
un familiar.
Las reclamaciones reflejan sorpresa de los reclamantes al descubrir
posteriormente que habían celebrado un nuevo contrato de suministro eléctrico
con Enérgya-VM, cuando realmente no deseaban cambiar de compañía
comercializadora.
En algunos casos han podido hacer uso de la figura del desistimiento. En otros,
el periodo de desistimiento había concluido, siendo amenazados con
penalizaciones. En un caso, se ha producido la inclusión en la lista de morosos.
Acuden directamente a Enérgya-VM o a asociaciones de consumidores o a
administraciones públicas en materia de consumo, con todas o algunas de las
siguientes pretensiones (anulación del contrato con Enérgya-VM, devolución
del importe de las facturas ya abonadas, evitar que Enérgya-VM les aplique
penalizaciones por rescisión anticipada del contrato y supresión de sus datos
de carácter personal de la base de datos de Enérgya-VM)
A continuación, se reproduce el contenido de una muestra de dichas reclamaciones (la
numeración que figura junto a cada reclamación se corresponde con la que figuraban
en el hecho cuarto del acuerdo de inicio de 9 de mayo de 2023):
- 1 En relación con el CUPS (…)
- (…) la contratante dirigió un correo a Enérgya-VM manifestando:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
86/227
“Quiero denunciar por escrito que he recibido esta mañana una llamada de
teléfono de un operador de su empresa, preguntando por un familiar mio ya
fallecido, han solicitado datos de la vivienda y de la persona que viven en ella, e
incluso han solicitado los datos bancarios, con relación a un suministro eléctrico.
Han llamado sin identificarse de que empresa llamaban y sin decir claramente las
intenciones de la llamada. Se han aprovechado de que les ha atendido una
persona mayor, sin conciencia, que les ha facilitado información personal sensible,
incluido número de cuenta bancaria, sin saber por qué la estaba facilitando ni a
quién la está facilitando.”
- 2 En relación con el CUPS (…). El Escrito de reclamación de la contratante frente
a Enérgya-VM está fechado (…). En el mismo, se expone lo siguiente:
“Que hoy día (…), he recibido a través de correo el contrato, de esa Empresa
número (…), fecha de aceptación (…) asesor y código (…), conteniendo las
condiciones particulares de contrato mencionado, anexo de condiciones
económicas Ref: (…) y puesto al habla con su departamento de atención al
cliente, considerando una vez por escrito el contrato dentro de los plazos previsto,
formulada las siguientes:
RECLAMACIONES
“Primera - Que la persona que me llamó por teléfono me dijo y aseguró que era de
la misma empresa (...) a la que pertenezco, pero que para poder rebajarme los
importes de la factura que venía pagando me ofrecía lo que dijese en ese
momento, que ahora mismo no puedo asegurar, pero sí que era la misma
empresa.
Segunda - Que la dicente viene a denunciar el uso de su número de teléfono
privado sin haber dado su consentimiento a esa Empresa para su utilización
según la Ley de Protección de Datos.
Tercera - Que el consentimiento se consideró siempre pensando sobre la empresa
suministradora hasta ese momento (...) por el comienzo de la conversación,
diciendo que pertenecía a dicha compañía una vez más preguntado.
En su virtud,
SOLICITA que, habiendo por presentado este escrito como hoja de
reclamaciones, lo admita y tenga por formuladas las alegaciones de solicitud de
rectificación y posterior anulación del contrato mencionado en el cuerpo del mismo
a los efectos interesados procediéndose a la restitución del suministro con (...)
como venía siendo habitual sin ningún tipo de reclamación, ni penalización por
parte de esa Empresa, antes de incoar denuncia judicial por engaño haciéndose
pasar por otra compañía que no era la suya y uso de teléfono sin autorización,
ante los Juzgados de (…) que por turno corresponda.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
87/227
- 3 En relación con el CUPS (…). El reclamante presentó su reclamación el día (…)
ante la Oficina Municipal de Información al Consumidor (OMIC) de la
Mancomunidad L’Horta Nord en la que señala:
“-Que el pasado (…) recibí una llamada telefónica. diciéndome que eran de
(...).
-Que el fin de la llamada era para contratar un seguro que cubría incidencias
de subidas y bajadas de tensión, etc, todo ello sin coste alguno.
-Que previamente a decirles que sí, les pregunté insistentemente para
cerciorarme de que la persona que me llamaba era de la compañía (...) y de
que el seguro que iba a contratar era a coste cero.
-Que el día (…) recibí un SMS en el que se me daba la bienvenida a
ENERGYA-VM y el día (...) me comunicaba la aceptación del cambio de
comercializadora solicitado por mí. Ante mi sorpresa por ambos SMS, me dirigí
a la tienda de (...) de (…) y volví a darme de alta en (...), procediéndose al
cambio.
-Que he sido engañado por ENERGYA-VM, en tanto en cuanto, la persona que
me llamó se hizo pasar por un trabajador de (...) ofreciéndome un seguro de
esta compañía, cuando lo que realmente estaba haciendo era una contratación
en ENERGYA-VM.
-Que ante lo sucedido ejerzo mi derecho de desistimiento del contrato con
ENERGYA-VM.
Solicita:
-Tenga por presentado en tiempo y forma, mi derecho de desistimiento del
contrato con ENERGYA-VM.
-Se proceda a la baja de mis datos en ENERGYA-VM.”
- 4 En relación con el CUPS (…).
En un escrito de la reclamante de fecha (…) señala no tener ningún contrato con
Enérgya-VM por lo que solicita la baja inmediata. Asimismo, indica desconocer de qué
forma se obtuvieron sus datos personales.
En un segundo escrito de fecha (…) la reclamante manifiesta:
“Yo (…) con DNI (…) me reitero en la carta que les envié el día (…), por correo
certificado.
Por lo que no deseo ni quiero que me sigan llamando.
Yo no he firmado ningún contrato con ustedes, por lo que tampoco tengo
ninguna deuda.
Yo no estando conforme les llamé, atención del cliente, les envié un correo, no
me dieron solución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
88/227
Yo no tengo ningún contrato con ustedes. Quiero que me den de baja de
inmediato.
Yo en ningún momento les he facilitado mis datos personales, no sé de qué forma
los han obtenido ustedes, por lo tanto no les autorizo a hacer uso de ellos, ni a
facilitarlos a otras entidades dependiente de ustedes.”
- 7 En relación con el CUPS (…) (la contratante a estos efectos). En la reclamación
interpuesta frente a Enérgya-VM ante el Instituto Gallego do Consumo e da
Competencia el día (…) se destaca lo siguiente:
“El pasado mes (…), recibo una llamada telefónica de la sociedad “Energya VM”
en la que me informan de que son la nueva compañía que va a llevar la
facturación de la sociedad “(...)”. En esa conversación me solicitan que les facilite
el número de cuenta bancaria a lo que me niego, alegando que si son ellos los
que van a realizar dicha tarea junto con “(...)” no necesitarán que yo les facilitase
dichos datos.
En (…), voy a mi banco y me encuentro con que se han realizado tres cargos en
mi cuenta con fechas (…), (…) y (…) a favor de “Energya VM” sin que por mi parte
se haya dado ninguna autorización a los mismos. Procedo a devolver el último
cargo, dando orden al Banco de que no se atienda ningún recibo a favor de dicha
compañía. Pasados unos días recibo SMS de “Energya VM” informándome de
que pasan a una lista de morosos y a gestión judicial, así como una carta
certificada amenazándome con acciones judiciales por la devolución del recibo.
También se han puesto en contacto conmigo telefónicamente para que les
facilitara el número de mi NIF, a lo que por supuesto me he negado. Ante los
hechos relatados. Procederá devolver los recibos adeudados en mi cuenta y que
aún se encuentran en plazo de devolución.
Me reservo el derecho a proceder judicialmente contra esa sociedad por haberme
incluido en un fichero de morosos y por las amenazas que vengo recibiendo vía
SMS y correo certificado.
Me reservo el derecho a interponer una demanda ante la Agencia de Protección
de Datos por haber utilizado datos personales sin mi autorización y por posible
fraude en la obtención de los mismos.
Lo que pongo en conocimiento de esa Oficina de Consumo de (…) a efectos de la
correspondiente denuncia”.
- 8 En relación con el CUPS (…). En un correo electrónico dirigido por el reclamante
a Enérgya-VM el día (…) en el que manifiesta su voluntad de desistir del contrato
suscrito en el plazo legalmente establecido para ello:
“Buenas tardes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
89/227
Por la presente me pongo en contacto con ustedes para que se haga efecto del
desistimiento del nuevo contrato que he realizado con ustedes de mi punto de luz
situado en (…), por motivo de haber recibido información errónea por parte de
ustedes, haciéndome creer que los descuentos que tenía en mi antigua compañía
(...) estaban CADUCADOS lo cual no es cierto sigo teniendo los mismo en vigor.
Por lo expuesto espero que mi petición sea llevada a cabo de inmediato, ya que
me acojo al derecho de tener 14 días para renunciar al servicio que ustedes me
iban a proporcionar, rogándoles que mi información personal por la Ley de
Protección de Datos no sea utilizada para otros fines.
Ruego que por este medio me hagan llegar el acuse de recibo del presente
comunicado.”
- 11 En relación con el CUPS (…). En un correo electrónico dirigido por el
contratante a Enérgya-VM el día (…) manifiesta su voluntad de cancelar la
contratación efectuada el día (…):
“El motivo de este correo es comunicar mi decisión de cancelar cualquier relación
con su compañía (energya vm).
Mi nombre es (…), con dni (…) y quiero cancelar el contrato confirmado con
ustedes el dia (…).
El domicilio donde se realizó la contratacion es (…).
Como Consumidor (artículo 3 del Real Decreto Legislativo 1/2007) tengo derecho
a desistir del presente Contrato en un plazo de 14 días naturales desde el día de
la celebración del Contrato y asi lo hago saber a dia de hoy, (…).
Aun no siendo necesario informar los motivos al encontrarme en el plazo de 14
dias naturales, les comunico que esta decisión ha sido tomada tras sentirme
totalmente engañado por el comercial que se ha puesto en contacto conmigo. En
la llamada telefónica le pregunté si se estaba tratando de un cambio de compañía
y me confirmo que NO, que mi actual compañía ((...)), cambiaba de nombre. Si no
me sintiese engañado desde un primer momento, es posible que hubiese confiado
en su empresa, pero en la situación que me he encontrado, no creo que sea la
mejor forma de captar clientes. Esta desconfianza y el sentirme engañado me ha
llevado a cancelar cualquier contrato actual y a futuro con su compañia.
He comunicado mi situación a mi compañía actual ((...)) y han efectuado los
procedimientos de baja con su empresa para volver a la situación que tenía
anteriormente.
Tambien he comunicado a (...) que disponen de toda mi información personal y
contratada con ellos. Tomaré las medidas necesarias y legales para,
principalmente entender y evitar que empresas como la suya dispongan de mis
datos.
Para finalizar y que quede constancia, deseo y solicito que se cancelen de
manera inmediata cualquier contrato a mi nombre contratando servicios de su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
90/227
compañía y se proceda a eliminar cualquier información personal que tengan
sobre mi persona.”
- 13 En relación con el CUPS (…). En un correo electrónico de fecha (…) dirigido a
Enérgya-VM la reclamante manifiesta:
“Solicito que desde mismo instante, borren de sus bases de datos todos mis datos
de contacto, ya que no deseo que se vuelvan a poner en contacto conmigo por
ningún medio: tlf, correo postal, emails, sms, whasapp, etc.”
- 18 En relación con los CUPS (…) (la contratante a estos efectos). En su
reclamación de fecha (…), la reclamante manifiesta:
“Quiero anular el contrato de gas con ustedes, que coste que me voy a tomar
medidas legales, por extraer documentación mía sin autorización haber de dónde
la sacaron, aunque haya una grabación, pero antes de la grabación que, me
dieron toda la documentación ustedes, y engañan.”
- 19 En relación con el CUPS (…). En un correo electrónico enviado el día (…)
desde ***EMAIL.1 en el que se manifiesta adjuntar una reclamación.
La reclamación interpuesta por la contratante frente a Enérgya-VM ante la OMIC
Central del Ayuntamiento de Madrid señala:
“Recibí llamada telefónica de esta empresa, les dije que si eran de (...) y me
contestaron que sí. Me hicieron grabación de voz y me enteré que había
contratado con otra compañía cuando me llamó (...) para decirme que cuál era
el motivo de haberme dado de baja. Inmediatamente les dije que no quería
cambiar de compañía, que me habían engañado y suplantado la identidad de
(...). En ningún momento creí que estaba haciendo un nuevo contrato y les dije
que no me dieran de baja. Han enviado al banco un recibo por importe (…) que
he devuelto.
He recibido las cartas que adjunto y un mensaje al móvil requiriendo diferentes
pagos por penalización
(…)
No me requieran pago alguno porque el contrato se hizo mediante engaño.
No se me incluya en ningún registro de morosos.
Cancelen mis datos personales y bancarios de su base de datos”.
- 21 En relación con el CUPS (…) . En una reclamación manuscrita frente a
Enérgya-VM, la reclamante manifiesta:
“Estimada Enérgya VM:
Mi objetivo con este escrito es poner una reclamación a esta empresa por motivo
de fraude (Nº de referencia…).
Un comercial se puso en contacto conmigo y con mi marido por vía telefónica
varias veces. En estas llamadas nos explicaba quiénes eran, una empresa que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
91/227
había contratado (...) (mi empresa anterior y actual encargada de mi suministro de
luz) para realizar una serie de ofertas y actualizar los datos para poder hacerlas
(Nº de comercial…)
Ante nuestras sospechas insistíamos en que no queríamos de empresa, y ellos
evadían el comentario para proseguir con la venta.
Destacar que durante estas llamadas, nos insistían en compartir datos
personales, sobre todo el número de cuenta, escusándose que era para poder
hacer las ofertas comentadas anteriormente.
Tras tantas insistencias, nos sentimos obligados a ceder el número de cuenta ya
que los demás datos ya los tenían a desconocimiento nuestros. Estos datos
fueron dados en una llamada realizada a mi marido (…).
Una vez hecho esto, otra persona contactó conmigo (…) para efectuar una
encuesta, informándome con anterioridad que la encuesta iba a ser grabada y que
no hiciese preguntas y respondiese a Todo “sí”.
Al cabo de un mes, recibimos una carta de (...) con aviso de baja de contrato. Ante
nuestro desconcierto nos pusimos en contacto con (...) para pedir explicaciones
de esta baja la cual fue realizada sin nuestro permiso.
La respuesta fue que la baja consistía en un cambio de empresa con Enérgya VM
(ustedes). Si no le habíamos dado consentimiento de esto y esta empresa les
había (…) se trataba de un fraude.
Quisiesemos una respuesta y una solución.
(…)
No respondemos ante ninguna penalización de contrato si la hubiese.”
- 22 En relación con los CUPS (…). En la Reclamación frente a Enérgya-VM,
presentada por el reclamante ante el Servicio Municipal de Consumo del
Ayuntamiento de Ciudad Real, se expone:
“Se han recibido diversos cargos por esa compañía de suministro de gas natural y
electricidad, que he procedido a devolver, manifestando lo siguiente:
A lo largo de (…) recibí diversas llamadas de ENERGYA VM, en las que
se manifestaba que eran los nuevos comercializadores, tras el cambio
de (...), información en mi opinión, cuando menos dolosa, puesto que
tras la visita a las dependencias de (...) en (…), me manifestaron que
ellos seguían siendo los suministradores.
En ningún momento he formalizado con Vdes. un contrato por escrito.
Exijo que dicha empresa me indique cómo han conseguido todos mis
datos personales, a saber, domicilio, DNI, números de contratos de gas
y electricidad o, incluso, de mi cuenta corriente, datos todos ellos que
en ningún momento yo les he facilitado.
De este hecho doy traslado a la Agencia Estatal de Protección de Datos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
92/227
- 23 En relación con el CUPS (…). En su reclamación ante Enérgya-VM de fecha
(…), presentada ante FACUA, la reclamante expone:
“Yo, (…), con DNI (…) quiero hacer mediante este comunicado denuncia ante una
situación que me viene ocurriendo desde el pasado mes de (…). Puntualizo las
siguientes situaciones:
1.Que el día (…) recibo una llamada telefónica de la compañía Energya (gas y
electricidad) donde se me da de alta por confusión y sin ningún tipo de
consentimiento creyendo en todo momento que la compañía que emitía la llamada
era con la que tengo el contrato desde siempre y hasta la actualidad (...).
2.Que emiten facturas a una cuenta bancaria sin previo acuerdo de domiciliación
en la que además no soy titular de (…) € el (…) y (…) € (…).
3.Me anuncian por sms un nuevo cobro de factura el (…) de un importe de (…) €
que será devuelto por orden del familiar que es titular de dicha cuenta.
4.Según me indican en el sms el número de contrato es el (…) y puedo dirigirme a
la web (…) y cuando intento acceder para ver a qué se deben los recibos emitidos
me resulta imposible.
5.Que no tengo ninguna documentación escrita ni he facilitado ningún dato ni
compromiso para esta compañía, Energya realice acuerdo sin consensuar.
6.Que les hemos emitido un correo electrónico al departamento de atención al
cliente en el día (…) haciéndoles llegar nuestro malestar y el error que estaban
cometiendo en la facturación, sin resolver aún la incidencia.
7.Que según he podido constatar en el punto 7.5 del condicionado general de las
pólizas de la citada empresa, “el cliente podrá ejercer los derechos de acceso,
rectificación, supresión y oposición, limitación del tratamiento y portabilidad de sus
datos personales dirigiendo una reclamación a (…) (…) el cliente tiene derecho a
dirigir cualquier tipo de reclamación en materia de protección de datos personales
(…)”
Y así lo hago constar acogiéndome a este derecho.
Me opongo a que sigan usando mis datos y continúen teniendo en vigor el
contrato (según me hacen llegar por sms) (…) SIN MI CONSENTIMIENTO tanto
para el alta de dicho contrato, como para el tratamiento de mis datos personales y
así mismo la domiciliación de facturas en cuenta bancaria.
Y para hacerlo constar, así lo firmo Y adjunto las facturas que han sido abonadas.”
- 25 En relación con el CUPS (…). Carta dirigida por la reclamante a Enérgya-VM
en la que manifiesta:
“El motivo de la presente es para indicarles que el día (…) me llamaron de Energy
VM me engañaron diciéndome que esta era mi compañía de suministros y que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
93/227
debía renovarla inmediatamente si no quería que me cortaran el suministro, en
ese momento yo me encontraba en mi lugar de trabajo, me sentí muy presionada
y accedí a hacer dicha renovación, resulta que esta no es mi compañía, aparte de
engañarme y presionarme ahora me piden que pague una indemnización la cual
no estoy dispuesta a abonar por los motivos ya expuestos.
Aprovecho para solicitar que todos mis datos personales sean borrados de sus
ficheros amparada en la ley de protección de datos.”
SEXAGÉSIMO SEGUNDO:
El informe de actuaciones previas de investigación de 5 de mayo de 2023 lleva a cabo
un análisis de la tramitación de las 25 relacionadas con el Canal Nivalco aportadas por
Enérgya-VM a esta Agencia tras un requerimiento del Inspector, se reproducen
extractos de dicho informe con el mencionado análisis.
Enérgya-VM aclara que G.G.G. (cuya reclamación está numerada como 1 ) ha
formulado reclamación, pero no ha sido cliente de Enérgya-VM.
1.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -número de registro (…)):
o EnergyaVM señala como titular a ***TITULAR.1. (la contratante a estos
efectos).
o Intercambio de correos electrónicos entre la contratante y EnergyaVM. El
día (…) la contratante dirigió un correo a EnergyaVM manifestando haber
recibido una llamada “sin identificarse de que empresa llamaban y sin decir
claramente las intenciones de la llamada”. Añade que “han aprovechado
de que les ha atendido una persona mayor, sin conciencia, que les ha
facilitado información personal sensible, incluido número de cuenta
bancaria, sin saber por qué la estaba facilitando ni a quién la está
facilitando” para concluir solicitando la anulación de la contratación y la
supresión de todos los datos personales facilitados. El día (…) el delegado
de protección de datos de EnergyaVM contestó al anterior confirmando
que no consta como cliente ni sus datos figuran en las bases de datos de
la entidad. Expresa, no obstante, que EnergyaVM cuenta con “empresas
colaboradoras para la comercialización de nuestros productos que
disponen de bases de datos propias actuando estas empresas como
responsable del tratamiento de las mismas” de las que manifiesta facilitarle
los datos.”
2.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.2 (la contratante a estos
efectos).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
94/227
o Condiciones generales y particulares del contrato de suministro de gas
natural entre EnergyaVM y la contratante que refiere el día (…) como
fecha de aceptación.
o Grabación en la que se llama para comunicar el alta de los suministros de
la contratante. La llamada se transfiere para que la contratante confirme la
contratación de los suministros con EnergyaVM. El operador señala que la
llamada se produce el día (…). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa a la contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Correo electrónico dirigido el día (…) con el asunto “***TITULAR.2. HOJA
RECLAMACIONES” en el que se manifiesta adjuntar reclamación en
relación con la normativa de protección de datos personales.
o Escrito de reclamación de la contratante frente a EnergyaVM fechado el
día (…) en el que se expone lo siguiente:
“Primera - Que la persona que me llamó por teléfono me dijo y aseguró
que era de la misma empresa (...) a la que pertenezco, pero que para
poder rebajarme los importes de la factura que venía pagando me ofrecía
lo que dijese en ese momento, que ahora mismo no puedo asegurar pero
sí que era la misma empresa.
Segunda - Que la dicente viene a denunciar el uso de su número de
teléfono privado sin haber dado su consentimiento a esa Empresa para su
utilización según la Ley de Protección de Datos
Tercera - Que el consentimiento se consideró siempre pensando sobre la
empresa suministradora hasta ese momento (...) por el comienzo de la
conversación, diciendo que pertenecía a dicha compañía una vez más
preguntado.”
o Contestación dirigida por EnergyaVM con fecha (…) en la que se facilita la
siguiente información:
“1. Hemos identificado el contrato objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de la contratación
y debemos comunicarle que proviene de una venta telefónica con fecha (…),
de la que disponemos del certificado electrónico de su consentimiento,
garantizado por un tercero de confianza, de conformidad con el art. 25 Ley
34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico, al haber respondido afirmativamente al mensaje de texto
enviado al número de teléfono ***TELÉFONO,1, con la totalidad de la
documentación contractual. Asimismo, disponemos de la grabación de la
llamada de confirmación de la venta, donde usted responde afirmativamente a
todas las cuestiones planteadas por la verificadora, incluida la de si ha
solicitado cambiar el suministro eléctrico y de gas a Enérgya-VM.
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo, hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas, con el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
95/227
objetivo de esclarecer los hechos que nos traslada. Además, hemos anulado
las penalizaciones por la resolución anticipada de los Contratos. […]
5. Respecto a su [sic] datos personales, le informamos que son facilitados por
el distribuidor comercial independiente Nivalco […] Y por ello, dado que es el
citado distribuidor el titular de su propia base de datos, no podemos determinar
la procedencia de los mismos.”
3.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.3 (el contratante a estos
efectos)
o Grabación en la que se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). El contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre el contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa al contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Copia de la reclamación interpuesta por el contratante frente a EnergyaVM
el día (…) ante la Oficina Municipal de Información al Consumidor (OMIC)
de la Mancomunidad L’Horta Nord y de su traslado a EnergyaVM el mismo
día. Señala el contratante haber sido engañado por EnergyaVM pues la
persona que se puso en contacto con él se dirigió en todo momento como
trabajador de (...).”
4
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.4 (la contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta del suministro de la
contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa a la contratante de que “ya disfruta de nuestro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
96/227
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Escrito de la contratante de fecha (…) en el que señala no tener ningún
contrato con EnergyaVM por lo que solicita la baja inmediata. Asimismo
indica desconocer de qué forma se obtuvieron sus datos personales.
o Contestación dirigida por EnergyaVM a la contratante con fecha (…) en la
que se facilita la siguiente información:
“1. Hemos identificado el contrato objeto de la controversia […]
2 Hemos realizado las comprobaciones oportunas respecto de la contratación y
debemos comunicarle que proviene de una venta telefónica con fecha (…),de
la que disponemos del certificado electrónico de su consentimiento.
garantizado por un tercero de confianza, de conformidad con el art. 25 Ley
34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico, al haber respondido afirmativamente al mensaje de texto
enviado al número de teléfono ***TELÉFONO.2, con la totalidad de la
documentación contractual. Asimismo, disponemos de la grabación de la
llamada de confirmación de la venta, donde usted responde afirmativamente a
todas las cuestiones planteadas por la verificadora, incluida la de si ha
solicitado cambiar el suministro eléctrico a Enérgya-VM.
3. A pesar de lo expuesto. nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas con el
objetivo de esclarecer los hechos que nos traslada. Además, hemos anulado la
penalización por la resolución anticipada del Contrato, pero el abono de las
facturas por el suministro eléctrico consumido durante el tiempo de vigencia del
Contrato corresponde. […]
4. Respecto a su [sic] datos personales, le informamos que son facilitados por
el distribuidor comercial independiente Nivalco […] Y por ello, dado que es el
citado distribuidor el titular de su propia base de datos, no podemos determinar
la procedencia de los mismos.”
o Escrito de la contratante de fecha (…) en el que reitera no tener ningún
contrato con EnergyaVM por lo que solicita la baja inmediata. Asimismo
indica desconocer de qué forma se obtuvieron sus datos personales y
manifiesta no autorizar el uso de los mismos.
o Contestación dirigida por EnergyaVM a la contratante con fecha (…) en el
que identifica el contrato objeto de controversia y expresa que se ha
anulado la penalización pero requiere el abono del suministro eléctrico
consumido.”
5.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a TITULAR.5 (el contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). El contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
97/227
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan. El contratante facilita un segundo número de
teléfono de contacto.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre el contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje al número
de teléfono ***TELÉFONO.3 en el que EnergyaVM informa de que “ya
disfruta de nuestro suministro” y facilita el enlace a una dirección de
internet en la que, según se indica, se puede acceder a la información
contractual.
o Contestación dirigida por EnergyaVM al contratante con fecha (…) en la
que se facilita la siguiente información:
“1. Hemos identificado el contrato objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de la contratación
y debemos comunicarle que proviene de una venta telefónica con fecha (…),
de la que disponemos del certificado electrónico de su consentimiento,
garantizado por un tercero de confianza, de conformidad con el art. 25 Ley
34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico, al haber respondido afirmativamente al mensaje de texto
enviado al número de teléfono ***TELÉFONO.3, con la totalidad de la
documentación contractual. Asimismo, disponemos de la grabación de la
llamada de confirmación de la venta, donde usted responde afirmativamente a
todas las cuestiones planteadas por la verificadora, incluida la de si ha
solicitado cambiar el suministro eléctrico y de gas a Enérgya-VM.
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo, hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas, con el
objetivo de esclarecer los hechos que nos traslada. Además, hemos anulado la
penalización por la resolución anticipada del Contrato.
4. Respecto a su [sic] datos personales, le informamos que son facilitados por
el distribuidor comercial independiente Nivalco […] Y por ello, dado que es el
citado distribuidor el titular de su propia base de datos, no podemos determinar
la procedencia de los mismos.”
6.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -números de registro (...):
o EnergyaVM señala como titular a ***TITULAR.6 (el contratante a estos
efectos)
o Grabación en la que se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). El contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre el contratante y EnergyaVM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
98/227
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa al contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Contestación dirigida por EnergyaVM al contratante con fecha (…) en la
que se facilita la siguiente información:
“1. Hemos identificado el contrato objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de la contratación
y debemos comunicarle que proviene de una venta telefónica con fecha (…),
de la que disponemos del certificado electrónico de su consentimiento,
garantizado por un tercero de confianza, de conformidad con el art. 25 Ley
34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico, al haber respondido afirmativamente al mensaje de texto
enviado al número de teléfono ***TELÉFONO.4, con la totalidad de la
documentación contractual. Asimismo, disponemos de la grabación de la
llamada de confirmación de la venta, donde usted responde afirmativamente a
todas las cuestiones planteadas por la verificadora, incluida la de si ha
solicitado cambiar el suministro de electricidad a Enérgya-VM.
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo, hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas, con el
objetivo de esclarecer los hechos que nos traslada. Además, hemos anulado la
penalización por la resolución anticipada del Contrato.
4. Respecto a su [sic] datos personales, le informamos que son facilitados por
el distribuidor comercial independiente Nivalco […] Y por ello, dado que es el
citado distribuidor el titular de su propia base de datos, no podemos determinar
la procedencia de los mismos.”
7.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.7 (la contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta del suministro de la
contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan. La contratante facilita igualmente un número
de teléfono fijo.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje al número
de teléfono ***TELÉFONO.5 en el que EnergyaVM informa de que “ya
disfruta de nuestro suministro” y facilita el enlace a una dirección de
internet en la que, según se indica, se puede acceder a la información
contractual.
o Reclamación interpuesta por la contratante frente a EnergyaVM ante el
Instituto Gallego do Consumo e da Competencia el día (…). La contratante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
99/227
manifiesta que se ha realizado una contratación con EnergyaVM a su
nombre sin su consentimiento.
o Contestación dirigida por EnergyaVM al Instituto Gallego do Consumo e da
Competencia con fecha (…) en la que se describe el procedimiento de
contratación que sigue EnergyaVM, la participación de Nivalco en el caso
de la contratante, y se le emplaza a abonar las facturas pendientes de
pago. Adicionalmente EnergyaVM señala lo siguiente en relación a la
verificación de la contratación:
“La empresa que verifica tanto el consentimiento como la comprensión de los
términos por parte de los Clientes que han suscrito un contrato con Enérgya-
VM es (…). […] realiza la llamada de verificación siguiendo el argumentario
facilitado por Enérgya-VM cuyo objetivo principal es asegurar la identidad del
consumidor como suficiente para acreditar que otorga el consentimiento a la
contratación y entiende los términos de ésta. La llamada de verificación se
graba y archiva para ser examinada por Enérgya-VM antes de proceder a
solicitar el inicio del suministro o en las auditorias periódicas que se efectúan,
según los casos.”
8.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.8 (el contratante a estos
efectos)
o Grabación en la que se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). El contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre el contratante y EnergyaVM.
o Correo electrónico dirigido por el contratante a EnergyaVM el día (…) en el
que manifiesta su voluntad de desistir del contrato suscrito en el plazo
legalmente establecido para ello. Motiva la solicitud en “haber recibido
información errónea por parte de ustedes, haciéndome creer que los
descuentos que tenía en mi antigua compañía (...) estaban caducados lo
cual no es cierto”.
o Correo electrónico dirigido por EnergyaVM al contratante el día (…)
informando de que se está gestionando la solicitud de desistimiento
formulada.
9.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.9 (la contratante a estos
efectos).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
100/227
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre la contratante y EnergyaVM.
o Intercambio de correos electrónicos entre la contratante y EnergyaVM.
Primeramente, el día (…), la contratante se dirige a EnergyaVM solicitando
anular el contrato entre ambas partes y la supresión de sus datos
personales. EnergyaVM responde, el día (…), confirmando la anulación del
contrato de gas y solicitando más datos para proceder a la anulación del
contrato de luz. Igualmente refiere la vía para solicitar la supresión de los
datos personales.”
10.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.10 (el contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). El contratante confirma los CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre el contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa al contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Respuesta de EnergyaVM estimando el ejercicio del derecho de supresión
del contratante con fecha de (…).”
11.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.11 (el contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). El contratante confirma los CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre el contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje dirigido al
contratante al número de teléfono ***TELÉFONO.5 en el que EnergyaVM
informa de que “ya disfruta de nuestro suministro” y facilita el enlace a una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
101/227
dirección de internet en la que, según se indica, se puede acceder a la
información contractual.
o Correo electrónico dirigido por el contratante a EnergyaVM el día (…)
manifestando su voluntad de cancelar la contratación efectuada el día (…).
Señala como motivo el hecho de haber sido engañado por el comercial,
que le habría manifestado continuar con (...) y que se trataba únicamente
de un cambio de nombre. Refiere además que el comercial disponía de
sus datos personales. Solicita igualmente la supresión de sus datos de los
sistemas de EnergyaVM.
o Correo electrónico dirigido por EnergyaVM al contratante el día (…) en el
que le informan de que no es posible proceder a la supresión de sus datos
personales. Como motivo se refiere: “Los datos personales tienen que ser
conservados durante los plazos establecidos legalmente”; “Los datos
personales han de ser conservados para dar cumplimiento a obligaciones
derivadas de la relación contractual que las precede”.
o Comunicación fechada el (…) dirigida por EnergyaVM al contratante en la
que le confirman la supresión de sus datos.”
12.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.12 (el contratante a estos
efectos).
o Condiciones generales y particulares del contrato de suministro de gas
natural entre EnergyaVM y el contratante que refiere el día (…) como
fecha de aceptación.
o Grabación en la que se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador especifica que se
había intentado verificar anteriormente pero que el cliente no quería
cambiar de comercializadora. Al respecto el otro operador especifica que
no tenía claro las diferencias entre comercializadora y distribuidora, pero
ya “me ha dicho que sí”. El operador señala que la llamada se produce el
día (…). El contratante confirma los CUPS, nombre, apellidos, NIF, número
de teléfono móvil, dirección de suministro, número de cuenta bancaria, y
voluntad de cambiar su comercializadora a EnergyaVM en las condiciones
que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre el contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa al contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Escrito de fecha (…) mediante el cual el reclamante solicita desestimar la
contratación realizada dentro del plazo de 14 días previsto y ejecutar el
derecho de supresión de sus datos personales.
o Correo electrónico dirigido por EnergyaVM al contratante el día (…) en el
que le informan de que no es posible proceder a la supresión de sus datos
personales. Como motivo se refiere: “Los datos personales tienen que ser
conservados durante los plazos establecidos legalmente”; “Los datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
102/227
personales han de ser conservados para dar cumplimiento a obligaciones
derivadas de la relación contractual que las precede”.
13.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.13 (la contratante a estos
efectos)
o Condiciones generales y particulares del contrato de suministro de gas
natural entre EnergyaVM y la contratante que refiere el día (...) como fecha
de aceptación.
o Grabación en la que se llama para comunicar el alta de suministros de la
contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministros de
fecha de aceptación (...) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (...) de un mensaje en el que
EnergyaVM informa a la contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Correo electrónico de fecha (…) dirigido por la contratante a EnergyaVM
en el que solicita la supresión de sus datos personales.
o Correo electrónico de fecha (…) dirigido por EnergyaVM a la contratante
en el que le informan de que no es posible proceder a la supresión de sus
datos personales. Como motivo se refiere: “Los datos personales tienen
que ser conservados durante los plazos establecidos legalmente”; “Los
datos personales han de ser conservados para dar cumplimiento a
obligaciones derivadas de la relación contractual que las precede”.
14.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.14 (la contratante a estos
efectos).
o Documento con las condiciones generales y particulares del contrato de
suministro de gas natural entre EnergyaVM y la contratante que refieren el
día (...) como fecha de aceptación.
o Grabación en la que se llama para comunicar el alta del suministro de la
contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
103/227
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (...) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa a la contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Grabación de la conversación mantenida entre la contratante y EnergyaVM
en la que la primera manifiesta que le engañaron durante el proceso de
contratación haciéndose pasar por (...). Desde EnergyaVM le informan de
que su contrato ya se ha dado de baja y toman nota de la reclamación.
o Comunicación fechada el (…) dirigida por EnergyaVM a la contratante en
la que le confirman la supresión de sus datos.”
15.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.15 (la contratante a estos
efectos).
o Condiciones generales y particulares del contrato de suministro de gas
natural entre EnergyaVM y la contratante que refiere el día (...) como fecha
de aceptación.
o Grabación en la que se llama para comunicar el alta del suministro de la
contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (...) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa a la contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Ejercicio del derecho de supresión y baja de servicios solicitada por la
contratante a EnergyaVM con fecha de (…).
o Respuesta de EnergyaVM estimando el ejercicio del derecho de supresión
de la contratante con fecha de (…).”
16.
“En relación con los CUPS (…) y (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.16 (el contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta del suministro del
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). El contratante confirma los CUPS, nombre,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
104/227
apellidos, NIF, número de teléfono móvil, dirección de suministro, números
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
electricidad de fecha de aceptación (...) entre el contratante y EnergyaVM.
o Dos certificados de envío a través de SMS el día (…) de dos mensajes en
los que EnergyaVM informa al contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Correo electrónico de fecha (…) en el que se manifiesta adjuntar la
reclamación recibida en el Ayuntamiento de Gáldar.
o Correo electrónico de fecha (…) dirigida por EnergyaVM al Ayuntamiento
de Gáldar en el que se manifiesta adjuntar la contestación a la reclamación
planteada por el contratante.
o Contestación dirigida por EnergyaVM a la Oficina Municipal de Información
al Consumidor del Ayuntamiento de Gáldar con fecha (…) en la que se
facilita la siguiente información:
“1. Hemos identificado los contratos objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de las
contrataciones y debemos comunicarles que provienen de una venta
telefónica con fecha (...), de la que disponemos de los certificados electrónicos
del consentimiento del Reclamante, garantizados por un tercero de confianza,
de conformidad con el art. 25 Ley 34/2002, de 11 de julio, de servicios de la
sociedad de la información y de comercio electrónico, al haber respondido
afirmativamente a los mensajes de texto enviados al número de teléfono
***TELÉFONO.6, con la totalidad de la documentación contractual. Asimismo,
disponemos de la grabación de la llamada de confirmación de la venta, donde
el Reclamante responde afirmativamente a todas las cuestiones planteadas
por la verificadora, incluida la de si ha solicitado cambiar los suministros,
eléctrico y de gas, a Enérgya-VM. […]
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo, hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas, con el
objetivo de esclarecer los hechos que nos traslada, además de anular las
penalizaciones por resolución anticipada de los Contratos, finalizado ya con
fecha (…). Pero entendemos que el Reclamante sí debe abonar las facturas
por el suministro eléctrico consumido durante el tiempo de vigencia de los
Contratos […].
4. Respecto a su [sic] datos personales, le informamos que son facilitados por
el distribuidor comercial independiente Nivalco […] Y por ello, dado que es el
citado distribuidor el titular de su propia base de datos, no podemos determinar
la procedencia de los mismos.
5. Finalmente, comunicarles que, una vez abonadas las facturas por el
suministro eléctrico consumido, procederemos a la supresión de los datos
personales del Reclamante, de conformidad con el RGPD y la LOPDGDD.”
o Facturas emitidas en (…) por EnergyaVM a nombre del contratante.”
17.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - número de registro (…):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
105/227
o EnergyaVM señala como titular a ***TITULAR.17 (el contratante a estos
efectos).
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (…) entre el contratante y EnergyaVM.
o Correo electrónico dirigido por el contratante a EnergyaVM el día (…) en el
que manifiesta su voluntad de desistir del contrato suscrito en el plazo
legalmente establecido para ello. Adicionalmente ejerce el derecho de
supresión de sus datos personales.
o Correo electrónico enviado por EnergyaVM al contratante el día (…) en el
que le comunican lo siguiente:
“sus datos actualmente no constan en ninguna base de datos de la que
Enérgya-VM sea el responsable de tratamiento. No obstante lo anterior,
contamos con empresas colaboradoras para la comercialización de nuestros
productos que disponen de bases de datos propias actuando estas empresas
como responsable del tratamiento de las mismas. En este sentido, le
informamos de que desde EVM registramos las solicitudes referentes al
ejercicio de derechos de los interesados en materia de protección de datos en
una base de datos de solicitudes propia, y estas empresas colaboradoras
están obligadas a comprobar esa base de datos de solicitudes antes de
desarrollar cualquier acción comercial. Le hacemos saber que procedemos a
registrar su solicitud en la mencionada base de datos.”
18.
“En relación con los CUPS (…) y (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.18 (la contratante a estos
efectos).
o Condiciones generales y particulares del contrato de suministro de
electricidad entre EnergyaVM y la contratante que refiere el día (...) como
fecha de aceptación.
o Condiciones generales y particulares del contrato de suministro de gas
natural entre EnergyaVM y la contratante que refiere el día (...) como fecha
de aceptación.
o Grabación en la que se llama para comunicar el alta de los suministros de
la contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
electricidad de fecha de aceptación (...) entre la contratante y EnergyaVM.
o Certificado de aceptación a través de SMS del contrato de suministro de
gas de fecha de aceptación (...) entre la contratante y EnergyaVM.
o Reclamación de la contratante de fecha (…) en la que denuncia que
tuvieran todos sus datos con carácter previo a la grabación.
o Contestación dirigida por EnergyaVM al contratante con fecha (…) en la
que se facilita la siguiente información:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
106/227
“1. Hemos identificado el contrato objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de la contratación
y debemos comunicarle que proviene de una venta telefónica con fecha (...), de
la que disponemos del certificado electrónico de su consentimiento,
garantizado por un tercero de confianza, de conformidad con el art. 25 Ley
34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico, al haber respondido afirmativamente al mensaje de texto
enviado al número de teléfono ***TELÉFONO.6, con la totalidad de la
documentación contractual. Asimismo, disponemos de la grabación de la
llamada de confirmación de la venta, donde usted responde afirmativamente a
todas las cuestiones planteadas por la verificadora, incluida la de si ha
solicitado cambiar el suministro de gas a Enérgya-VM.
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo, hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas, con el
objetivo de esclarecer los hechos que nos traslada. Además, hemos anulado la
penalización por la resolución anticipada del Contrato, pero el abono de las
facturas de suministro de gas consumido durante el tiempo de vigencia del
Contrato corresponde. […]
4. Respecto a su [sic] datos personales, le informamos que son facilitados por
el distribuidor comercial independiente Nivalco […] Y por ello, dado que es el
citado distribuidor el titular de su propia base de datos, no podemos determinar
la procedencia de los mismos.”
19.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - número de registro (…):
o EnergyaVM señala como titular a ***TITULAR.19 (la contratante a estos
efectos).
o Condiciones generales y particulares del contrato de suministro de gas
natural entre EnergyaVM y la contratante que refiere el día (...) como fecha
de aceptación.
o Grabación en la que se llama para comunicar el alta de los suministros de
la contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan. La contratante facilita además el número de
telé***fono fijo.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (...) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa a la contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Cartas dirigidas por EnergyaVM a la contratante los días (…) en las que le
requiere unas cantidades pendientes de pago por resolución anticipada de
los contratos suscritos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
107/227
o Correo electrónico enviado el día (…) desde ***EMAIL.2 en el que se
manifiesta adjuntar una reclamación.
o Reclamación interpuesta por la contratante frente a EnergyaVM ante la
OMIC Central del Ayuntamiento de Madrid en la que señala que la
contratación se hizo mediante engaño pues le hicieron creen que la
llamada procedía de (...).
o Correo electrónico enviado el día (…) por EnergyaVM a ***EMAIL.3 en el
que se manifiesta adjuntar la contestación a la reclamación planteada por
la contratante.
o Contestación dirigida por EnergyaVM a la contratante con fecha (…) en la
que se facilita la siguiente información:
“1. Hemos identificado los contratos objeto de la controversia […]
2. Tras realizar las comprobaciones oportunas respecto de las contrataciones,
hemos de comunicarles que provienen de una venta telefónica con fecha (…),
de la que disponemos del certificado electrónico del consentimiento del
Reclamante, garantizado por un tercero de confianza, de conformidad con el
art. 25 Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico, al haber respondido afirmativamente al
mensaje de texto enviado al número de teléfono ***TELÉFONO.7, con acceso
a la totalidad de la documentación contractual mediante una URL
personalizada, conforme al art. 23.3 del mismo cuerpo legislativo. […]
Asimismo, disponemos de la grabación de la llamada de confirmación de las
ventas, donde el Reclamante responde afirmativamente a todas las cuestiones
planteadas por la verificado, incluida la de si ha solicitado cambiar los
suministros, eléctrico y de gas, a Enérgya-VM. […]
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo, hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas, con el
objetivo de esclarecer los hechos que nos traslada, al tiempo que anulamos las
facturas generadas por el suministro eléctrico y de gas consumido durante el
tiempo de vigencia de los Contratos, así como las penalizaciones por la
resolución anticipada de los mismos.
4. Por último, comunicarles que procedemos a la supresión de los datos
personales de la Reclamante de conformidad con la legislación vigente.”
20.
“En relación con los CUPS (…) y (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.20 (la contratante a estos
efectos).
o Condiciones generales y particulares del contrato de suministro de gas
natural entre EnergyaVM y la contratante que refiere el día (...)como fecha
de aceptación.
o Grabación en la que se llama para comunicar el alta de los suministros de
la contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (…). La contratante confirma los CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de correo electrónico,
dirección de suministro, número de cuenta bancaria, y voluntad de cambiar
sus suministros a EnergyaVM en las condiciones que se citan.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
108/227
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (...)entre la contratante y EnergyaVM.
o Certificado de envío a través de correo electrónico el día (...) de un
mensaje de correo electrónico en el que EnergyaVM informa a la
contratante de que “ya disfruta de nuestro suministro eléctrico” y facilita el
enlace a una dirección de internet en la que, según se indica, se puede
acceder a la información contractual. El certificado apunta además que los
días (…) se visitó el “formulario”.
21.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.21 (la contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta del suministro de la
contratante. La llamada se transfiere para que la contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (...) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje al número
de teléfono ***TELÉFONO.7 en el que EnergyaVM informa de que
“disfruta de nuestro suministro” y facilita el enlace a una dirección de
internet en la que, según se indica, se puede acceder a la información
contractual.
o Reclamación manuscrita interpuesta por la contratante frente a
EnergyaVM por haber sido engañada por el comercial, conocedor de sus
datos personales, durante el proceso de contratación.
o Contestación dirigida a través de correo electrónico por EnergyaVM a (…)
con fecha (…) que incluye el siguiente contenido:
“1. Hemos identificado el contrato objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de la contratación
y debemos comunicarle que proviene de una venta telefónica con fecha (...), de
la que disponemos del certificado electrónico de su consentimiento,
garantizado por un tercero de confianza, de conformidad con el art. 25 Ley
34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico, al haber respondido afirmativamente al mensaje de texto
enviado al número de teléfono ***TELÉFONO.7, con la totalidad de la
documentación contractual. Asimismo, disponemos de la grabación de la
llamada de confirmación de la venta, donde usted responde afirmativamente a
todas las cuestiones planteadas por la verificadora, incluida la de si ha
solicitado cambiar el suministro de electricidad a Enérgya-VM.
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo, hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas, con el
objetivo de esclarecer los hechos que nos traslada. Además, hemos anulado la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
109/227
penalización por la resolución anticipada del Contrato. Sin embargo, el abono
de las facturas por el suministro eléctrico consumido durante el tiempo de
vigencia del Contrato corresponde.
4. Respecto a los datos personales del Reclamante, le informamos que son
facilitados por el distribuidor comercial independiente Nivalco […] Y por ello,
dado que es el citado distribuidor el titular de su propia base de datos, no
podemos determinar la procedencia de los mismos.”
22.
“En relación con los CUPS (…) y (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -número de registro (…):
o EnergyaVM señala como titular a ***TITULAR.22 (el contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta del suministro de la
contratante. La llamada se transfiere para que el contratante confirme la
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). El contratante confirma los CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (...) entre el contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje en el que
EnergyaVM informa al contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Certificado de envío a través de SMS el día (…) de un mensaje al número
de teléfono ***TELÉFONO.8 en el que EnergyaVM informa de que “ya
disfruta de nuestro suministro” y facilita el enlace a una dirección de
internet en la que, según se indica, se puede acceder a la información
contractual.
o Reclamación presentada por el contratante frente a EnergyaVM ante el
Servicio Municipal de Consumo del Ayuntamiento de Ciudad Real en la
que manifiesta haber sido engañado durante la contratación. Se adjunta
además el traslado de la reclamación, de fecha (…), a EnergyaVM.
o Contestación dirigida por EnergyaVM a la Oficina Municipal de Información
al Consumidor del Ayuntamiento de Ciudad Real con fecha (…) que
incluye el siguiente contenido:
“1. Hemos identificado los contratos objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de la contratación
y debemos comunicarle que proviene de una venta telefónica con fecha (…),
de la que disponemos del certificado electrónico del consentimiento del
Reclamante, garantizado por un tercero de confianza, de conformidad con el
art. 25 Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico, al haber respondido afirmativamente al
mensaje de texto enviado al número de teléfono ***TELÉFONO.8, con acceso
a la totalidad de la documentación contractual mediante una URL
personalizada, conforme al art. 23.3 del mismo cuerpo legislativo. […]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
110/227
Asimismo, disponemos de la grabación de la llamada de confirmación de la
venta, donde el Reclamante responde afirmativamente a todas las cuestiones
planteadas por la verificadora, incluida la de si ha solicitado cambiar el
suministro eléctrico y de gas a Enérgya-VM. […]
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
a nuestros clientes y por este motivo, hemos iniciado las acciones oportunas
con el distribuidor comercial independiente responsable de las ventas, con el
objetivo de esclarecer los hechos que nos traslada el Reclamante. Además,
hemos anulado las penalizaciones por la resolución anticipada de los
Contratos.
Sin embargo, el abono de las facturas, que a continuación se enumeran, por el
suministro eléctrico y de gas consumido durante el tiempo de vigencia de los
Contratos corresponde. […]
4. Respecto a los datos personales del Reclamante, le informamos que son
facilitados por el distribuidor comercial independiente Nivalco […] Y por ello,
dado que es el citado distribuidor el titular de su propia base de datos, no
podemos determinar la procedencia de los mismos.”
o Facturas emitidas por EnergyaVM a nombre del contratante.”
23.
“En relación con el CUPS (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM -números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.23 (la contratante a estos
efectos).
o Grabación en la que se llama para comunicar el alta de los suministros de
la contratante. La llamada se transfiere para que la contratante confirme la
contratación de los suministros con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (...) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje al número
de teléfono ***TELÉFONO.9 en el que EnergyaVM informa de que “ya
disfruta de nuestro suministro para el punto de suministro (…)” y facilita el
enlace a una dirección de internet en la que, según se indica, se puede
acceder a la información contractual.
o Certificado de envío a través de SMS el día (…) de un mensaje al número
de teléfono ***TELÉFONO.9 en el que EnergyaVM informa de que “ya
disfruta de nuestro suministro” y facilita el enlace a una dirección de
internet en la que, según se indica, se puede acceder a la información
contractual.
o Facturas de gas y electricidad emitidas por EnergyaVM a nombre de la
contratante en (…).
o Reclamación de fecha (…) dirigida por la contratante a EnergyaVM en la
que expone que durante el proceso de contratación seguido el día (…)
pensó que la llamada procedía de (...). Por ello considera que el
consentimiento para la contratación no fue válidamente recogido. A tal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
111/227
efecto solicita la baja del contrato y la oposición al tratamiento de sus
datos personales.
o Reclamación de fecha (…) y dirigida por FACUA en representación de la
contratante a EnergyaVM en la que se solicita la anulación del contrato al
haberse producido un vicio en el consentimiento de la contratante.
o Correo electrónico dirigido por EnergyaVM a la contratante con fecha (…)
que incluye el siguiente contenido:
“1. Hemos identificado los contratos objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de la contratación
y debemos comunicarle que proviene de una venta telefónica con fecha (...), de
la que disponemos del certificado electrónico de su consentimiento,
garantizado por un tercero de confianza, de conformidad con el art. 25 Ley
34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico, al haber respondido afirmativamente al mensaje de texto
enviado al número de teléfono ***TELÉFONO.9, con la totalidad de la
documentación contractual. Asimismo, disponemos de la grabación de la
llamada de confirmación de la venta, donde usted responde afirmativamente a
todas las cuestiones planteadas por la verificadora, incluida la de si ha
solicitado cambiar el suministro eléctrico y de gas a Enérgya-VM.
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
y por ello hemos iniciado las acciones oportunas con el distribuidor comercial
independiente responsable de las ventas, con el objetivo de esclarecer los
hechos que nos traslada. Además, hemos anulado las penalizaciones por la
resolución anticipada de los Contratos, pero el abono de las facturas por el
suministro eléctrico y de gas consumido durante el tiempo de vigencia de los
Contratos corresponde.
4. Respecto a su [sic] datos personales, le informamos que son facilitados por
el distribuidor comercial independiente Nivalco […] Y por ello, dado que es el
citado distribuidor el titular de su propia base de datos, no podemos determinar
la procedencia de los mismos.
5. Finalmente, comunicarles que, una vez que abone las facturas pendientes,
procederemos a la supresión de sus datos personales, de conformidad con el
RGPD y la LOPDGDD.”
o Contestación de fecha (…) dirigida por EnergyaVM a FACUA en relación
con la reclamación de la contratante. Señala EnergyaVM que el contrato
finalizó el día (…) y que la penalización fue cancelada el día (…). Expresa
asimismo disponer de “procesos de contratación que contemplan controles
de validación para impedir el tipo de situaciones descritas”.
24.
“En relación con los CUPS (…) y (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.24 (la contratante a estos
efectos).
o Condiciones generales y particulares del contrato de suministro de gas
natural entre EnergyaVM y la contratante que refiere el día (...) como fecha
de aceptación.
o Grabación en la que se llama para comunicar el alta del suministro de la
contratante. La llamada se transfiere para que la contratante confirme la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
112/227
contratación del suministro con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Certificado de aceptación a través de SMS del contrato de suministro de
fecha de aceptación (...) entre la contratante y EnergyaVM.
o Certificado de envío a través de SMS el día (…) de un mensaje dirigido a
la contratante al número de teléfono ***TELÉFONO.10 en el que
EnergyaVM informa de que “ya disfruta de nuestro suministro” y facilita el
enlace a una dirección de internet en la que, según se indica, se puede
acceder a la información contractual.
o Intercambio de correos electrónicos entre la contratante y EnergyaVM. El
día (…) la contratante dirigió un correo a EnergyaVM manifestando haber
recibido una llamada en la que se le ofreció un descuento en el suministro
sin cambiar de compañía ((...)). Señala que con posterioridad se ha
percatado del engaño, pues (...) dejó de ser su compañía. Ante esta
situación manifiesta la contratante que deshizo el cambio retornando a (...),
si bien señala que por ello se le solicita una cantidad económica en
concepto de penalización por parte de EnergyaVM. EnergyaVM contesta al
correo electrónico anterior señalando disponer de certificado electrónico de
su consentimiento garantizado por un tercero de confianza y de la
grabación de la llamada de confirmación de la venta “donde usted
responde afirmativamente a todas las cuestiones planteadas por la
verificadora, incluida la de si ha solicitado cambiar el suministro de gas y
electricidad a Enérgya‐VM”. Además, EnergyaVM señala a Nivalco como
promotor de la venta y expresa, tanto haber tomado acciones para
esclarecer los hechos como haber anulado la penalización.”
25.
“En relación con el CUPS (…), (…), y (…), EnergyaVM manifiesta y facilita la siguiente
información (EscritoEnergyaVM - números de registro (…):
o EnergyaVM señala como titular a ***TITULAR.25 (la contratante a estos
efectos)
o Grabación en la que se llama para comunicar el alta de los suministros de
la contratante. La llamada se transfiere para que la contratante confirme la
contratación de los suministros con EnergyaVM. El operador señala que la
llamada se produce el día (...). La contratante confirma el CUPS, nombre,
apellidos, NIF, número de teléfono móvil, dirección de suministro, número
de cuenta bancaria, y voluntad de cambiar su suministro a EnergyaVM en
las condiciones que se citan.
o Tres certificados de aceptación a través de SMS de los contratos de
suministro de fecha de aceptación (...) entre la contratante y EnergyaVM.
o Tres certificados de envío a través de SMS el día (…) de mensajes en los
que EnergyaVM informa a la contratante de que “ya disfruta de nuestro
suministro” y facilita el enlace a una dirección de internet en la que, según
se indica, se puede acceder a la información contractual.
o Correo electrónico de fecha (…) en el que la contratante manifiesta
adjuntar una carta dirigida a EnergyaVM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
113/227
o Carta dirigida por la contratante a EnergyaVM en la que manifiesta haber
sido engañada durante el proceso de contratación al señalarle que se le
llamaba desde su suministradora. Solicita no abonar la penalización que le
requieren así como la eliminación de sus datos personales de los ficheros
de EnergyaVM.
o Correo electrónico dirigido por EnergyaVM a la contratante con fecha (…)
que incluye el siguiente contenido:
“1. Hemos identificado los contratos objeto de la controversia […]
2. Hemos realizado las comprobaciones oportunas respecto de las
contrataciones y debemos comunicarle que provienen de una venta telefónica
con fecha (...), de la que disponemos de los certificados electrónicos de su
consentimiento, garantizados por un tercero de confianza, de conformidad con
el art. 25 Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico, al haber respondido afirmativamente a
los mensajes de texto enviados al número de teléfono ***TELÉFONO.11, con la
totalidad de la documentación contractual. Asimismo, disponemos de la
grabación de la llamada de confirmación de las ventas, donde usted responde
afirmativamente a todas las cuestiones planteadas por la verificadora, incluida
la de si ha solicitado cambiar los suministros eléctricos a Enérgya-VM.
3. A pesar de lo expuesto, nuestra voluntad es ofrecer siempre el mejor servicio
y por ello hemos iniciado las acciones oportunas con el distribuidor comercial
independiente responsable de las ventas, con el objetivo de esclarecer los
hechos que nos traslada. También hemos procedido a anular las
penalizaciones por la resolución anticipada de los Contratos.
4. Finalmente, informarle de que sus datos personales han sido suprimidos de
nuestras bases de datos, de conformidad con su solicitud el RGPD.”
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver
este procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
114/227
Cronología de los hechos
03/05/2017 y 10/07/2017 Celebración de Acuerdos marco entre Enérgya-VM y (...)
(Mencionados en el hecho probado cuadragésimo cuarto. Documentos 11 y 12,
aportados por Enérgya-VM en fase de prueba).
28/06/2019 Declaración responsable de Nivalco (Documento 2, aportado por Enérgya-
VM junto a su escrito de alegaciones al acuerdo de inicio).
01/07/2019 Celebración del Acuerdo de promoción de contratos a comisión entre
Enérgya-VM y Nivalco. Dicho acuerdo prevé que el mismo produce efectos desde el 3
de mayo de 2018.(Hecho probado decimoquinto. Aportado por Enérgya-VM durante
las actuaciones previas de investigación).
15/07/2017 Enérgya-VM remite a sus (…), entre ellos Nivalco, el comunicado
denominado “(…)”. (Hecho probado vigésimo primero. Documento 9, aportado por
Enérgya-VM junto a su escrito de alegaciones al acuerdo de inicio).
Septiembre 2019 (...) presentó una denuncia ante la Comisaría General de la Policía
Judicial (…), circunstancia que motivó el inicio de una investigación por parte de la
Policía. (Informe de la Policía de 25 de octubre de 2022).
09/09/2019 Llamada de (...) a Enérgya-VM en el que avanza a Enérgya-VM que
algunos clientes han recibido llamadas para contratar los servicios de electricidad con
Enérgya-VM, haciendo creer que es (...) la que hace la llamada.
10/09/2019 1. (...) envió un burofax a Enérgya-VM, titulado “Acciones sobre clientes de
(...)”, alertando a la segunda de que clientes de (...) habían recibido llamadas
telefónicas para contratar servicios de electricidad con Enérgya-VM, utilizando
argumentos confusos, inexactos y/o irreales. Las personas que contactaban dichos
clientes decían hacerlo en nombre de (...) y disponían de datos de carácter personal
de los referidos clientes. (Hecho probado segundo. Documento 3, aportado por
Enérgya-VM junto a su escrito de alegaciones al acuerdo de inicio).
2. Ese mismo día se celebró una reunión entre Enérgya-VM y (...) en las oficinas de
esta última empresa para tratar las acciones sobre clientes de (...).
3. Correo electrónico enviado por Enérgya-VM a Nivalco a las 13:20. (Documento 8,
aportado por Enérgya-VM en fase de prueba). Reproducido parcialmente en el hecho
probado quincuagésimo noveno). Han tenido conocimiento de algunas reclamaciones
en la contratación telefónica llevada a cabo por Nivalco. Instan a Nivalco a cesar en
captaciones en las que se confunda a los clientes, al indicar que les llama (...),
contratan con (...) o se ofrecen descuentos de (...).
Solicitan confirmación de si existen o no llamadas previas de contacto con los clientes
que no remiten a Enérgya-VM y solicitan el expediente de contratación de una clienta.
4. Correo electrónico enviado por Nivalco a Enérgya-VM en contestación al correo
electrónico anterior. (Documento 8, aportado por Enérgya-VM en fase de prueba).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
115/227
5. Correo electrónico enviado por Enérgya-VM a Nivalco a las 19:00. (Documento 8,
aportado por Enérgya-VM en fase de prueba). Han recibido reclamaciones de clientes
en las que el comercial se hacía pasar por comercial de (...) u ofrecía descuentos de
(...).
Enérgya-VM ha realizado unas auditorías a clientes que se han dado de baja en los
primeros días de contrato y en un porcentaje elevado les indican que la operativa de
venta ha sido la misma.
Manifiestan estar en contra de cualquier operativa de venta que pueda dar lugar a
confusión por parte de clientes e instan a Nivalco a cesar de inmediato con este tipo
de argumentarios.
Solicitan que analicen todas las llamadas realizadas que se hayan llegado a activar
con Enérgya-VM e identifiquen a los operadores que han incurrido en dicha praxis y se
lo comuniquen para tomar acciones legales.
Destacan que van a realizar su propia auditoría.
Resaltan que cualquier confusión hacia los clientes entre la distribuidora y la
comercializadora no es una práctica correcta, en todas las ventas tiene que quedar
claro que el nuevo comercializador es Enérgya-VM.
Solicitan la llamada previa realizada a una clienta, en caso de existir.
12/09/2019 Enérgya-VM envió un correo electrónico a (...) indicando que querían
auditar las ventas del canal Nivalco, dando instrucciones sobre cómo realizar dicha
auditoría (primera auditoría que (...) realiza sobre el canal Nivalco). Dicho correo se
encuentra reproducido en el informe de auditoría de (...) de fecha 28 de noviembre de
2019. Documento 6, aportado por Enérgya-VM junto a su escrito de alegaciones al
acuerdo de inicio. Hecho probado vigésimo séptimo).
13/09/2019 1. Enérgya-VM envió un correo electrónico a Nivalco. (Documento 4,
aportado por Enérgya-VM junto a su escrito de alegaciones al acuerdo de inicio.
Reproducido parcialmente en el hecho probado vigésimo). En el mismo se indica que
(...) ha detectado irregularidades en la contratación de sus clientes hacia Enérgya-VM.
En las llamadas, el comercial se presenta indicando que es operador de (...) o que
ofrece descuentos en nombre de dicha empresa. Se ha identificado un teléfono de la
oficina de Nivalco en Sevilla relacionado con dichas irregularidades.
Han iniciado un proceso de auditorías para identificar posibles irregularidades en la
contratación en algunos de los operadores.
En dicho escrito se reitera la necesidad, entre otros aspectos, de que Nivalco realice
una investigación interna para identificar a los operadores y/o coordinador que están
promoviendo o incurriendo en dichas prácticas, que respeten los argumentarios de
contratación existentes indicados por Enérgya-VM (…), que se abstengan de utilizar
datos obtenidos de servicios a otras comercializadoras como (...).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
116/227
2. Enérgya-VM envió un nuevo correo electrónico a (...) dándole instrucciones sobre la
primera auditoría sobre el Canal Nivalco, tal y como refleja el informe de auditoría de
(...) de fecha 28 de noviembre de 2019. (Documento 6, aportado por Enérgya-VM junto
a su escrito de alegaciones al acuerdo de inicio).
16/09/2019 Nivalco envió un correo electrónico a Enérgya-VM, en contestación a su
correo electrónico de 13 de septiembre de 2019. (Documento 4, aportado por Enérgya-
VM junto a su escrito de alegaciones al acuerdo de inicio). Entre otras cuestiones,
niega que los operadores de Nivalco se hayan hecho pasar por personal de (...) y
afirma que hablaban siempre de Enérgya-VM, asimismo niega que Nivalco hubieran
facilitado a sus comerciales datos que no cumplieran con la legislación vigente.
17/09/2019 (...) inició la auditoría de los clientes finalizados con origen en el canal
Nivalco (primera auditoría de (...) sobre el Canal Nivalco), tal y como refleja el informe
de auditoría de (...) de fecha 28 de noviembre de 2019. (Hecho probado trigésimo
segundo. Documento 6, aportado por Enérgya-VM junto a su escrito de alegaciones al
acuerdo de inicio).
18/09/2019 1. Enérgya-VM envió un burofax a (...), en contestación al burofax de (...)
de 10 de septiembre de 2019. (Documento 2, aportado por Enérgya-VM en fase de
prueba). Entre otras cuestiones, en el mismo, Enérgya-VM informaba del inicio de una
investigación exhaustiva de la contratación realizada desde el teléfono facilitado por
(...) y la oficina a la que pertenecía dicho teléfono, indicando que Enérgya-VM
demandaría a las personas cuyas prácticas quedaran identificadas.
2. (...) inició la auditoría de los clientes activos con origen en el canal Nivalco (primera
auditoría de (...) sobre el Canal Nivalco), tal y como refleja el informe de auditoría de
(...) de fecha 28 de noviembre de 2019. (Hecho probado trigésimo sexto. Documento
6, aportado por Enérgya-VM junto a su escrito de alegaciones al acuerdo de inicio).
23/09/2019 Enérgya-VM decidió establecer el (…), encomendando verbalmente su
ejecución a (...).
25/09/2019 (...) comenzó a prestar el (…) sobre el canal Nivalco ((…)), comunicando a
Enérgya-VM los resultados del día anterior, con frecuencia diaria de lunes a viernes.
(Certificados de (...) de 25 de octubre de 2023 y 8 de noviembre, aportados por (...) en
fase de prueba. Hecho probado cuadragésimo quinto).
02/10/2019 (...) envió un burofax a Enérgya-VM (con copia a la Comisión Nacional de
los Mercados y la Competencia, CNMC). (Hecho probado quinto. Documento 3,
aportado por Enérgya-VM en fase de prueba).
03/10/2019 (...) concluyó las llamadas de la primera auditoría a clientes finalizados y
activos con origen en el canal Nivalco (primera auditoría de (...) sobre el Canal
Nivalco), tal y como refleja el informe de auditoría de (...) de fecha 28 de noviembre de
2019. (Hechos probados trigésimo segundo y trigésimo sexto. Documento 6, aportado
por Enérgya-VM junto a su escrito de alegaciones al acuerdo de inicio).
10/10/2019 1. Energya-VM interpuso, ante los Juzgados de (...), una denuncia por
presuntos delitos (...) contra (...), en la misma se refleja el modus operandi utilizado por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
117/227
(…). (Hecho probado sexto. Documento 9, aportado en fase de prueba por Enérgya-
VM).
2. Enérgya-VM envió un burofax a Nivalco (Documento 7, aportado por Enérgya-VM
junto a su escrito de alegaciones al acuerdo de inicio). En el mismo hace referencia a
una queja formal de (...) contra Enérgya-VM y a un requerimiento de información por
parte de la CNMC.
Indican que se ha iniciado una investigación y auditoría de las contrataciones de canal
Nivalco (tras revisar unas (…) contrataciones de los meses de julio, agosto y
septiembre se han detectado una serie de incidencias, agrupadas en cuatro
categorías).
Han observado que en algunas contrataciones los operadores de Nivalco disponen del
número de cuenta bancaria de los clientes, que no se encuentra entre los datos que en
determinadas ocasiones remite Enérgya-VM a Nivalco, trasmitiéndoles que dichas
prácticas supondrían un grave incumplimiento del Acuerdo con Enérgya-VM y podrían
ser tipificables con figuras delictivas del orden penal y/o infracciones administrativas.
Les informan de la denuncia contra los (...).
Instan a Nivalco a que lleve a cabo una serie de actuaciones ((…)).
16/10/2019 1. Enérgya-VM envió un burofax a (...) (con copia a la CNMC) en
contestación al burofax de (...) de 2 de octubre de 2019. (Documento 4, aportado por
Enérgya-VM en fase de prueba). En el mismo hace referencia a la auditoría realizada
por (...) y al resultado de la misma. Asimismo, indican las medidas llevadas a cabo por
Enérgya-VM.
2. Enérgya-VM envió un correo electrónico a Nivalco (Hechos probados vigésimo y
vigésimo segundo. Documento 7, aportado por Enérgya-VM en fase de prueba), en el
que indica los datos personales que remite Enérgya-VM a Nivalco para las
captaciones e instan a Nivalco al cese inmediato en el uso del número de cuenta
bancaria de los clientes, sin requerir que sean los clientes quienes aporten dicho dato.
18/10/2019 (...) envió un burofax a Enérgya-VM. (Hecho probado noveno. Documento
6, aportado por Enérgya-VM en fase de prueba). En él formulan diversas acusaciones
a Enérgya-VM (ser conscientes de que Nivalco ha realizado más de (…)
contrataciones para Enérgya-VM con argumentarios falsos e inexactos que inducen a
confusión, aprovechándose de datos personales de los clientes obtenidos de manera
ilícita, seguir permitiendo que Nivalco siguiera con su actividad, siendo el principal
beneficiario de dicha actividad).
21/10/2019 Nivalco envió un Burofax a Enérgya-VM. (Documento 10, aportado por
Enérgya-VM en fase de prueba, reproducido parcialmente en hechos probados octavo
y quincuagésimo quinto). En el mismo, entre otras cuestiones, reconocen que, dada su
inexperiencia en el sector de venta telefónica y la coincidencia del arranque de la
campaña con la época estival, no estaban bien dimensionados a nivel administrativo y
los mecanismos de control instaurados no habían sido adecuados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
118/227
Hacen referencia a las medidas llevadas a cabo, entre ellas, la baja de la campaña de
Enérgya-VM de los operadores que han cometido malas prácticas.
23/10/2019 Burofax enviado por Enérgya-VM a (...), en el que se destaca que el
Burofax de Enérgya-VM de 16 de octubre de 2019 se ha cruzado con el burofax de
(...) de 18 de octubre, por lo que vuelve a hacer referencia cuestiones ya reflejadas en
su Burofax de 16 de octubre de 2019. (Documento 5, aportado por Enérgya-VM en
fase de prueba, reproducido parcialmente en los hechos probados quincuagésimo
tercero y quincuagésimo noveno).
31/10/2019 Enérgya-VM envió un burofax a Nivalco. (Documento 8, aportado por
Enérgya-VM junto con el escrito de alegaciones al acuerdo de inicio, reproducido
parcialmente en el hecho probado octavo).
Destacan que están valorando resolver el contrato con Nivalco.
Están realizando un recuento de perjuicios económicos para Enérgya-VM, anuncian
que les informarán del importe que será detraído de futuras comisiones a Nivalco o
reclamado directamente.
Adjuntan copia de la denuncia presentada contra los (...).
(…).
(…).
08/11/2019 Escrito de Enérgya-VM dirigido a la Dirección General de la Policía (…),
dando respuesta a una solicitud de información de 6 de noviembre de 2019 sobre la
auditoría realizada por Enérgya-VM sobre las contrataciones de Nivalco durante los
meses de julio, agosto y septiembre de 2019. Reproducido parcialmente en los hechos
probados vigésimo segundo y vigésimo tercero.
28/11/2019 Informe de la primera auditoría realizada por (...) sobre el canal Nivalco.
Hacen referencia al mismo los hechos probados desde el vigésimo séptimo hasta el
cuadragésimo.
27/01/2020 Enérgya-VM remite a (…), entre ellos Nivalco, el comunicado denominado
“Protección de Datos Personales y garantía de los derechos digitales”. (Hecho
probado vigésimo primero. Documento 10, aportado por Enérgya-VM junto con el
acuerdo de inicio).
22/04/2020 Enérgya-VM recibe el segundo bloque de requerimientos de la CNMC
(Hecho probado vigésimo sexto y apartado 64 del escrito de alegaciones al acuerdo de
inicio).
28/05/2020 Enérgya-VM comunica a Nivalco la resolución del Acuerdo de promoción
de contratos a comisión con efectos de 30 de junio de 2020 (Hecho probado vigésimo
quinto. Documento aportado por Enérgya-VM durante las actuaciones previas de
investigación).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
119/227
10/06/2020 (...) deja de prestar el servicio de verificación telefónica sobre el canal
Nivalco ((…)). (Certificados de (...) de 25 de octubre de 2023 y 8 de noviembre,
aportados por (...) en fase de prueba. Hecho probado cuadragésimo quinto).
01/07/2020 Concluye el Acuerdo de promoción de contratos a comisión entre Enérgya-
VM y Nivalco.
24/07/2020 Enérgya-VM remite a sus Promotores el comunicado denominado
“Protección de Datos Personales y garantía de los derechos digitales”. (Hecho
probado vigésimo primero. Documento 11, aportado por Enérgya-VM en fase de
prueba).
28/07/2022 CNMC dicta la resolución del procedimiento sancionador incoado a
Enérgya-VM por incumplimiento de los requisitos de contratación y apoderamiento con
los clientes, sancionando a Enérgya-VM, que figura en la Diligencia del Inspector de 5
de mayo de 2023.
El examen de los documentos que figuran en esta cronología refleja que, tras recibir la
llamada y el burofax de (...) (9 y 10 de septiembre de 2019), Enérgya-VM empezó a
adoptar medidas. La mayoría de dichas medidas no fueron espontáneas.
(...) amenazó en dos ocasiones (10 de septiembre y 2 de octubre de 2019) a Enérgya-
VM con iniciar acciones contra ella al objeto de defender sus derechos y los de sus
clientes ante las autoridades judiciales, de la competencia y de protección de datos.
Dichas amenazas se materializaron rápidamente en la práctica, ya que (...):
1. Interpuso una denuncia ante la Policía, hecho que motivó el inicio de una
investigación policial (en la que se requirió información a Enérgya-VM),
2. Puso en copia a la CNMC en su burofax de 2 de octubre de 2019. Circunstancia que
motivó dos requerimientos de información a Enérgya-VM y una resolución
sancionadora por parte de la CNMC.
Muchas medidas adoptadas por Enéryga-VM (la denuncia contra (…), la primera
auditoría de (...), la exoneración de penalizaciones por resolución del contrato a los
clientes de (...), el que diera la opción a los clientes de (...) de permanecer con
Enérgya-VM o volver con su comercializadora de origen) se llevaron a cabo porque
(...) lo exigía o con el fin de evitar previsibles denuncias en la vía penal o sanciones
administrativas (dichos temores se reflejan claramente en el burofax de Enérgya-VM
enviado a Nivalco el 10 de octubre de 2019).
Se aprecia un descenso en el nivel de actividad de Enérgya-VM una vez que
comprueba que (...) no le envía más escritos relativos a esta cuestión.
III
Cuestiones preliminares
El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
120/227
“1) «datos personales»: toda información sobre una persona física identificada
o identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en
particular mediante un identificador, como por ejemplo un nombre, un número
de identificación, datos de localización, un identificador en línea o uno o varios
elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona;
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción”.
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados
miembros determina los fines y medios del tratamiento, el responsable del
tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros.
8) «encargado del tratamiento» o «encargado»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento;”
A lo largo del resto de los fundamentos de derecho de esta resolución se va a ir dando
respuesta a las alegaciones formuladas por Enérgya-VM al acuerdo de inicio en su
escrito de 7 de junio de 2023, en el escrito de contestación a la práctica de prueba I de
fecha 31 de octubre de 2023 y en el escrito de alegaciones a la propuesta de
resolución de fecha 22 de enero de 2024.
El escrito de alegaciones a la propuesta de resolución no ha rebatido los hechos
probados, que figuraban en dicha propuesta y que han sido reproducidos en esta
resolución.
IV
Enérgya-VM como responsable del tratamiento
A. Contestación al supuesto error relativo al rol de Enérgya-VM como responsable
de los tratamientos que realiza Nivalco:
Enérgya-VM estima en sus alegaciones al acuerdo de inicio que, desde la perspectiva
de protección de datos, la relación con los consumidores a los que Nivalco se dirigía
fue, en todo momento, ajena a Enérgya-VM en la primera fase de la captación. Es
decir, en el momento de contacto con tales consumidores y hasta que estos no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
121/227
confirmaban su intención de contratar a Enérgya-VM, Nivalco era el único responsable
del tratamiento de los datos personales contenidos en la Base de Datos Nivalco.
En las alegaciones a la propuesta de resolución insiste en que en la fase
precontractual el único responsable del tratamiento era Nivalco:
“10. Por lo tanto y resumiendo lo expuesto queda acreditado que Enérgya no
era responsable de los tratamientos de datos realizados por Nivalco de forma
previa a la incorporación de los datos de los ya clientes en la Base de Datos de
Enérgya. Hasta ese momento, Nivalco era la única responsable. Y sobre este
punto y en contra de lo argumentado en la Propuesta de Resolución, resulta
claro que ni el hecho de que existiese un contrato entre Enérgya y Nivalco, ni el
que Nivalco realizase la campaña para Enérgya, ni el que Enérgya diese
indicaciones sobre la campaña (e.g. el script) a Nivalco, sirven (ni pueden
servir) para determinar que Enérgya ostentase el rol de responsable de dichos
tratamientos. De hecho, aplicando el art. 46 RLOPD, únicamente quien
establece los parámetros identificativos de la campaña puede ser considerado
responsable, y ese “quien” no era otro que Nivalco.”
La parte reclamada afirma en sus alegaciones a la propuesta de resolución que la
argumentación que figura en la propuesta de resolución adolece, en su opinión, de dos
grandes defectos:
1.Instrucciones que Enérgya-VM daba a Nivalco:
La parte reclamada niega que se traten de instrucciones sobre la forma de tratar los
datos de carácter personal. En su opinión, no eran más que meras indicaciones sobre
cómo realizar el servicio de promoción encomendado.
Según Enérgya-VM, en la primera fase de captación comercial Enérgya-VM definía el
servicio (contactar con clientes potenciales de los servicios de Enérgya-VM) y era
Nivalco quien decidía qué datos utilizar o no, el público objetivo concreto de la acción
comercial, que tratamientos realizar o no, etc.
La parte reclamada defiende que hasta el momento en que los datos de los
interesados pasaban a la Base de Datos de Enérgya-VM “(…) Nivalco era la única que
decidía qué datos tratar, cómo usarlos y a quién dirigirse para realizar la labor de
promoción, limitándose las indicaciones de Enérgya a describir de forma amplia la
promoción desde un punto de vista comercial.”
2. Artículo 46 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba
el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de
protección de datos de carácter personal.
Enérgya-VM afirma que dicho artículo se encuentra vigente y establece las reglas para
determinar el rol de responsable del tratamiento en el contexto de campañas
publicitarias de productos propios encomendadas a terceros, como es el caso de
Enérgya-VM y Nivalco.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
122/227
La parte reclamada afirma que, según el artículo 46 del RLOPD sería responsable del
tratamiento en dichas campañas quien establezca los parámetros identificativos de los
destinatarios (público objetivo).
Indicando: “El art. 46.4 RLOPD establece que se consideran “parámetros
identificativos de los destinatarios” las variables utilizadas para identificar el público
objetivo o destinatario de una campaña o promoción comercial de productos o
servicios que permitan acotar los destinatarios individuales de la misma.”
Enérgya-VM afirma que los parámetros identificativos de la campaña encomendada a
por dicha empresa eran determinados única y exclusivamente por Nivalco, que, en su
opinión, sería el único responsable del tratamiento de los datos.
3. La parte reclamada destaca que el Acuerdo de Promoción entre Enérgya-VM y
Nivalco era en régimen de no exclusiva, afirma que la Base de Datos de Nivalco fue
utilizada por dicha entidad para ofrecer servicios a otras empresas comercializadoras
de la energía (entre ellas, (...)).
No obstante, a pesar de las alegaciones formuladas por la parte reclamada, esta
Agencia considera que Enérgya-VM también era responsable del tratamiento en la
fase precontractual en la que Nivalco realizaba el tratamiento de datos de carácter
personal de clientes potenciales de Enérgya-VM por encargo de dicha empresa.
Durante el contacto telefónico que Nivalco mantenía con los clientes potenciales, por
encargo de Enérgya-VM, y antes de la contratación, se obtenían datos personales
imprescindibles para que pudiera llegar a formalizarse el contrato de suministro de
energía con Enérgya-VM. Enérgya-VM decidió sobre los fines y los medios del
tratamiento realizado por su encargo por Nivalco con la finalidad de obtener nuevos
clientes.
En primer lugar, a la vista de las alegaciones formuladas por Enérgya-VM, resulta
necesario diferenciar dos cuestiones:
A. Nivalco tenía una base de datos (Base de Datos de Nivalco), previa a la
relación contractual con Enérgya-VM. Respecto a dicha base de datos Nivalco
era el responsable del tratamiento, ya que determinaba los fines y los medios.
B. Nivalco realizó un específico tratamiento de datos en la fase precontractual
por cuenta de Enérgya-VM actuando como encargado del tratamiento (el
contrato de encargo del tratamiento se aplicaba a Nivalco también en esta
fase) y Enérgya-VM era responsable de este tratamiento, ya que determinaba
los fines y los medios de dicho tratamiento.
Sobre esta cuestión, las Directrices 07/2020 del Comité Europeo de Protección de
Datos sobre los conceptos de responsable del tratamiento y encargado en el RGPD
indican que “Los conceptos de «responsable del tratamiento», «corresponsable del
tratamiento» y «encargado del tratamiento» son conceptos funcionales, puesto que se
utilizan para asignar responsabilidades en virtud de la función que desempeña cada
una de las partes, y autónomos, en el sentido de que, en términos generales, deben
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
123/227
interpretarse con arreglo al Derecho de la UE en materia de protección de datos”. Así
determinan que “la condición jurídica de «responsable del tratamiento» o «encargado
del tratamiento» de los participantes debe establecerse en principio en virtud de sus
actividades concretas en una situación determinada y no en función de la designación
formal de un participante como «responsable del tratamiento» o «encargado del
tratamiento» (p. ej., en un contrato). Esto implica que la asignación de la función de
responsable o encargado debe derivar normalmente de un análisis de los hechos o
circunstancias del caso y, en consecuencia, no es negociable”
Procede aquí recordar que el artículo 4.7) del RGPD considera «responsable del
tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u
otro organismo que, solo o junto con otros, determine los fines y medios del
tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y
medios del tratamiento, el responsable del tratamiento o los criterios específicos para
su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados
miembros;”.
Según las citadas Directrices, el concepto cuenta con cinco componentes principales:
“la persona física o jurídica, autoridad pública, servicio u otro organismo”, “determine”,
“sólo o junto con otros”, “los fines y medios” y “del tratamiento”. Y precisan que “el
responsable del tratamiento es la parte que determina por qué tiene lugar el
tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo
(es decir, qué medios se emplearán para lograrlo)”.
De este modo, la condición jurídica de «responsable del tratamiento» se ha de asignar
a quien decide sobre los fines y los medios del tratamiento. En este sentido las
Directrices recogen lo siguiente:
“35. La determinación de los fines y los medios equivale a decidir,
respectivamente, el porqué y el cómo del tratamiento: en una operación de
tratamiento concreta, el responsable del tratamiento es la parte que determina
por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo
se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo).
Una persona física o jurídica que influye de este modo en el tratamiento de
datos personales participa, por tanto, en la determinación de los fines y los
medios de dicho tratamiento de conformidad con la definición prevista en el
artículo 4, punto 7, del RGPD.
(…)
40. Por lo que respecta a la determinación de los medios, cabe distinguir entre
los medios esenciales y los no esenciales. Los medios esenciales se reservan
tradicionalmente y de forma inherente al responsable del tratamiento. Estos
deben ser determinados obligatoriamente por el responsable del tratamiento,
aunque la determinación de los medios no esenciales también puede dejarse
en manos de él. Los medios esenciales son medios estrechamente ligados al
fin y el alcance del tratamiento, como el tipo de datos personales tratados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
124/227
(«¿qué datos se tratarán?»), la duración del tratamiento («¿cuánto tiempo se
tratarán?»), las categorías de destinatarios («¿quién tendrá acceso a los
datos?») y las categorías de interesados («¿a quién pertenecen los datos
personales tratados?») (…)”.
En este caso, Enérgya-VM determinó que se llevara a cabo la acción publicitaria con la
finalidad de difundir su oferta comercial, dirigida a obtener la contratación de sus
servicios, asimismo determinó las categorías de datos que debían ser utilizados en la
acción comercial, también que esta publicidad se realizara a través del contacto
telefónico con potenciales clientes, usuarios de energía eléctrica o de gas natural, o de
ambos tipos de energía, que no fueran clientes de Enérgya-VM, lo que implicaba el
tratamiento de datos personales con una finalidad concreta y de un modo determinado
por Enérgya-VM .
El concepto de responsable del tratamiento es un concepto amplio, que trata de
procurar una protección eficaz y completa a los interesados. Así lo ha determinado la
jurisprudencia del Tribunal de Justicia de la Unión Europea. En este sentido, citaremos
la Sentencia del TJUE en el asunto Google-Spain de 13 de mayo de 2014, C-131/12,
la cual considera en un sentido amplio al responsable del tratamiento para garantizar
“una protección eficaz y completa de los interesados”.
Y la reciente sentencia del Tribunal de Justicia de la Unión Europea (Gran Sala) de 5
de diciembre de 2023, asunto C 683/21, que, en cuanto a la condición de responsable
del tratamiento, afirma lo siguiente:
“[…] 28 El artículo 4, punto 7, del RGPD define de manera amplia el concepto de
«responsable del tratamiento» como la persona física o jurídica, autoridad
pública, servicio o cualquier otro organismo que, solo o junto con otros,
«determine los fines y medios del tratamiento» de datos personales.
29 El objetivo de esta definición amplia consiste, de conformidad con el del RGPD,
en garantizar una protección eficaz de las libertades y de los derechos
fundamentales de las personas físicas y, en particular, un elevado nivel de
protección del derecho de toda persona a la protección de los datos personales
que le conciernan (véanse, en este sentido, las sentencias de 29 de julio de
2019, Fashion ID, C-40/17, EU:C:2019:629, apartado 66, y de 28 de abril de
2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, apartado 73 y
jurisprudencia citada).
30 El Tribunal de Justicia ya ha declarado que cualquier persona física o jurídica
que, atendiendo a sus propios objetivos, influya en el tratamiento de tales datos
y participe, por tanto, en la determinación de los fines y los medios del
tratamiento puede ser considerada responsable de dicho tratamiento. A este
respecto, no es necesario que los fines y los medios del tratamiento se
determinen mediante instrucciones por escrito o consignas impartidas por el
responsable del tratamiento (véase, en este sentido, la sentencia de 10 de julio
de 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, apartados 67 y 68) ni que
este haya sido designado formalmente como tal.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
125/227
31 Por consiguiente, para determinar si una entidad como el CNSP puede ser
considerada responsable del tratamiento en el sentido del artículo 4, punto 7, del
RGPD, es preciso examinar si dicha entidad ha influido efectivamente, para sus
propios fines, en la determinación de los fines y los medios de dicho tratamiento.
[…]”
Al objeto de determinar en este caso concreto quién actúa en calidad de responsable y
encargado del tratamiento, nos ilustra también el informe 0064/2020 del Gabinete
Jurídico de la AEPD:
“El RGPD ha supuesto un cambio de paradigma al abordar la regulación del
derecho a la protección de datos personales, que pasa a fundamentarse en el
principio de «accountability» o «responsabilidad proactiva» tal y como ha
señalado reiteradamente la AEPD (Informe 17/2019, entre otros muchos) y se
recoge en la Exposición de motivos de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos
digitales (LOPDGDD)”. Sigue diciendo el citado informe que “…los criterios
sobre cómo atribuir los diferentes roles siguen siendo los mismos (apartado
11), reitera que se trata de conceptos funcionales, que tienen por objeto
asignar responsabilidades de acuerdo con los roles reales de las partes
(apartado 12), lo que implica que en la mayoría de los supuestos deba
atenderse a las circunstancias del caso concreto (case by case) atendiendo a
sus actividades reales en lugar de la designación formal de un actor como
“responsable” o “encargado” (por ejemplo, en un contrato), así como de
conceptos autónomos, cuya interpretación debe realizarse al amparo de la
normativa europea sobre protección de datos personales (apartado 13), y
teniendo en cuenta (apartado 24) que la necesidad de una evaluación fáctica
también significa que el papel de un responsable del tratamiento no se deriva
de la naturaleza de una entidad que está procesando datos sino de sus
actividades concretas en un contexto específico…”.
En definitiva, los conceptos de responsable y encargado del tratamiento no son
formales, sino funcionales, siendo necesario atender a las circunstancias del caso
concreto.
Partiendo de esta perspectiva y examinando el caso concreto analizado, se
encuentran varios elementos que reflejan que Enérgya-VM actuaba como responsable
del tratamiento en la fase precontractual (captación del cliente potencial):
1. Enérgya-VM había contratado a Nivalco para que fuera su encargado del
tratamiento.
2. Cuando Nivalco se ponía en contacto con los potenciales clientes actuaba
por cuenta de Enérgya-VM, que le había encargado la realización de la
campaña de marketing telefónico con una finalidad determinada.
3. Enérgya-VM había elaborado un argumentario (denominado Script de Venta
VM), que tenía que utilizar su encargado del tratamiento (Nivalco) y que
especificaba los datos de carácter personal necesarios para la celebración del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
126/227
contrato entre el cliente potencial y Enérgya-VM que tenía que recabar Nivalco
(hechos probados quincuagésimo segundo y tercero).
4. En el expediente figuran varios documentos que reflejan cómo Enérgya-VM
daba instrucciones a sus promotores (encargados del tratamiento) y, en
concreto, a Nivalco, sobre el tratamiento de datos de carácter personal, tanto
de clientes como de clientes potenciales o relativas a la tramitación de las
peticiones de ejercicio de derechos en materia de protección de datos.
A pesar de que la parte reclamada niegue que se traten de indicaciones sobre
la forma de tratar los datos de carácter personal y afirme que no eran más que
indicaciones sobre cómo realizar el servicio de promoción encomendado, esta
Agencia no comparte dicha opinión, pues el tratamiento de los datos se hacía
por cuenta de Enérgya-VM y en base a las decisiones adoptadas por Enérgya-
VM sobre el porqué del tratamiento y el cómo se alcanzará este objetivo.
Además, si bien no se discute que, en el marco de un Acuerdo de promoción
de contratos a comisión, se puedan dar instrucciones e indicaciones al
promotor sobre la forma de prestar el servicio. En este expediente no estamos
analizando lo sucedido desde una perspectiva empresarial o comercial, sino
desde el punto de vista de la protección de datos de carácter personal. Desde
dicha perspectiva, es indiscutible que Enérgya-VM, en calidad de responsable
del tratamiento, como concepto autónomo que ha de interpretarse
fundamentalmente con arreglo al Derecho de la Unión en materia de protección
de datos, daba instrucciones a su encargado Nivalco sobre cómo efectuar los
tratamientos de datos de carácter personal que realizaba por cuenta de
Enérgya-VM.
A continuación, se analizarán algunos de los aspectos anteriormente enumerados:
1. Enérgya-VM había contratado a Nivalco para que fuera su encargado del
tratamiento:
El 1 de julio de 2019 Enérgya-VM y Nivalco suscribieron un Acuerdo de promoción de
contratos a comisión, en el que Nivalco intervenía en calidad de promotor. (…) (hecho
probado decimoquinto).
Dicho contrato consistía en la promoción de Contratos de Suministro de Energía y/o
Servicios Adicionales (CSUMs) en todo el territorio nacional. Enérgya-VM se
comprometía a abonar a Nivalco unas comisiones, que aparecen reflejadas en el
mencionado Acuerdo, en función de los CSUMs promovidos. Por tanto, el Acuerdo de
promoción celebrado con Nivalco encomendaba a este último la captación de nuevos
clientes para Enérgya-VM.
Para poder dar cumplimiento a dicho Acuerdo era necesario que Nivalco, tratara datos
de carácter personal en la fase precontractual (captación de clientes potenciales para
Enérgya-VM). Por este motivo, dicho Acuerdo prevé cláusulas relativas a la protección
de datos de carácter personal (Apartados 6, “(…)” y 7, “(…)”, tal y como refleja el
hecho probado décimoctavo).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
127/227
Por tanto, Enérgya-VM y Nivalco suscribieron un acuerdo de encargo del tratamiento
como parte del Acuerdo de promoción de contratos a comisión suscrito en fecha 1 de
julio de 2019.
En este sentido, en la cláusula 7, denominada “(…)”, del acuerdo de promoción de
contratos a comisión suscrito con Nivalco, reproducida en el hecho probado
decimoctavo, se prevé:
“(…).”
Quedando claro que Enérgya-VM es responsable del tratamiento y Nivalco encargado
del tratamiento de los datos de carácter personal.
(…)
(…)
(…).
En consecuencia, el Acuerdo prevé que el responsable (Enérgya-VM) dé instrucciones
a su encargado (Nivalco) sobre el modo en el que ha tratar los datos de carácter
personal Instrucciones relativas al tratamiento de datos, no meras indicaciones sobre
la forma de prestar un servicio.
(...)
(…)
(…)
(…)
a) (…)
b) (…)
c) (…)
d) (…)
Sentado lo anterior y por lo que aquí interesa, cabe señalar que en el proceso de
contratación telefónica se siguen los siguientes pasos, de acuerdo con lo indicado por
la parte reclamada en su escrito de 19/04/2023:
(i) Previo contacto telefónico por parte de los Promotores
(ii) Inicio del Procedimiento de Contratación:
(iii) Labor de control y verificación por parte de Enérgya-VM:
Debe resaltarse que respecto de los procesos de contratación telefónica en los que
intervino Nivalco, Enérgya-VM decidía sobre fines y medios del tratamiento en las tres
fases del procedimiento, incluida, por tanto, la primera de ellas, ya que decidió la
realización de la campaña comercial telefónica en su nombre determinando los datos
que debían tratarse y el público objetivo al que iba destinada:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
128/227
Usuarios de energía eléctrica o de gas natural, o de ambos tipos de energía, que no
fueran clientes de Enérgya-VM.
La finalidad última que se perseguía con dicha campaña era la captación de nuevos
clientes para Enérgya-VM.
Durante el contacto telefónico que Nivalco mantenía con los clientes potenciales
(público objetivo determinado por Enérgya-VM) se conseguían los datos de carácter
personal y/o documentación necesarios para la contratación, según consta en el
acuerdo de prestación de servicios.
Por tanto, los datos tratados en la acción publicitaria lo fueron en nombre y por cuenta
de Enérgya-VM.
En consecuencia, ha de ser considerada responsable del tratamiento, de acuerdo con
la definición de “responsable del tratamiento” del artículo 4.7 del RGPD, también
respecto de los datos tratados en los procesos previos a la formalización del contrato.
Enérgya-VM tomó decisiones sobre la selección del público objetivo (usuarios de
energía eléctrica o de gas natural, o de ambos tipos de energía que no fueran clientes
de Enérgya-VM); el contacto con los potenciales clientes a través de llamadas
telefónicas; la información que debía facilitarse a los destinatarios durante la llamada
telefónica, en este sentido, Enérgya-VM facilitaba a su encargado un modelo de
argumentario de venta, denominado “Script de venta VM”, al que se hará referencia
posteriormente, de obligado cumplimiento por parte de dicho encargado; y
determinaba los datos que debían ser recabados y tratados para la contratación.
En el Informe del Gabinete Jurídico de la AEPD de 20 de julio de 2006 se recoge que
“lo importante para delimitar los conceptos de responsable y encargado de
tratamiento no resulta ser la causa que motiva el tratamiento de estos, sino la
esfera de dirección, control u ordenación que el responsable pueda ejercer
sobre el tratamiento de los datos de carácter personal que obran en su poder
en virtud de aquella causa y que estaría enteramente vedado al encargado del
tratamiento”
En nuestro caso, el control, dirección y ordenación del tratamiento corresponde a
Enérgya-VM. El uso, que en su caso, haya podido realizar NIVALCO de su propia base
de datos, no supone que decaiga el control de Enérgya-VM respecto del concreto
tratamiento realizado en la acción publicitaria, en cuyo nombre y representación se
llamaba a los posibles clientes.
2. Cuando Nivalco se ponía en contacto con los potenciales clientes actuaba en
nombre de Enérgya-VM.
Nivalco se ponía en contacto con clientes potenciales (con el fin de captarlos como
nuevos clientes de Enérgya-VM) y trataba sus datos, actuando por cuenta de Enérgya-
VM y siguiendo sus instrucciones.
3. Enérgya-VM había elaborado un argumentario de venta (denominado Script de
Venta VM), que tenía que utilizar su encargado del tratamiento (Nivalco) y que
permitía recabar los datos de carácter personal necesarios para la celebración del
contrato entre el cliente potencial y Enérgya-VM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
129/227
Esta Agencia no discute que el argumentario de venta o Script de Venta VM pueda
tener una dimensión comercial o de marketing. Sin embargo, a pesar de que la parte
reclamada pretende dar a entender que dicho argumentario eran meras indicaciones
para la prestación de un servicio, desde la perspectiva relativa a la protección de datos
de carácter personal, dicho argumentario contiene instrucciones concretas dirigidas al
encargado del tratamiento (Nivalco) sobre cómo llevar a cabo dicho tratamiento.
En el mismo se detallan los datos de carácter personal que hay que tratar y se dan
pautas precisas sobre el momento y forma en que se solicitan determinados datos de
carácter personal al cliente potencial de Enérgya-VM (hecho probado quincuagésimo
segundo). El referido Script pretende ser una guía, que siga al pie de la letra el
comercial del encargado del tratamiento (en este caso, Nivalco) cuando se ponga en
contacto con el cliente potencial al que pretende captar para Enérgya-VM.
El contenido de dicho Script, reflejado en el hecho probado quincuagésimo segundo,
implicaba que Nivalco, como encargado del tratamiento de Enérgya-VM, tuviera que
obtener y tratar determinados datos de carácter personal del cliente potencial que se
especificaban en el mismo (Documento Nacional de Identidad (DNI), número de
cuenta bancaria, número de teléfono móvil). Dichos datos eran imprescindibles para
poder formalizar el contrato entre el nuevo cliente y Enérgya-VM.
Por tanto, no es cierto que Nivalco decidiera qué datos utilizar. Si no recababa los tres
datos anteriormente mencionados, no era posible celebrar el contrato de suministro
energético a favor de Enérgya-VM y sin dicho contrato, Nivalco no podía cobrar la
comisión como Promotor, que le abonaba Enérgya-VM.
A continuación, se reproducen extractos del Script de Venta VM relativos a la
necesidad de tratar estos tres datos y la forma y el momento de obtenerlos del cliente
potencial en nombre de Enérgya-VM:
El Documento Nacional de Identidad (DNI):
“(…) (…)”
El número de cuenta bancaria:
“(…) (…)”
El número de teléfono móvil:
“(…) (…)”
4. En el expediente figuran otros ejemplos de cómo Enérgya-VM daba instrucciones a
sus promotores (encargados del tratamiento) y, en concreto, a Nivalco sobre el
tratamiento de datos de carácter personal (hecho probado vigésimo), tanto de clientes
como de clientes potenciales, así como sobre la tramitación de las peticiones de
ejercicio de derechos en materia de protección de datos, en particular se recogen los
siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
130/227
4.1. Correo electrónico enviado por D. A.A.A., empleado de Enérgya-VM, a dos
empleados de Nivalco el 16 de octubre de 2019 a las 17:55 (Documento 7 aportado
por Enérgya-VM en fase de prueba).
“Estimadas (…) y (…),
En espera de que nos respondan formalmente al burofax que les remitimos
hace escasos días, les queremos transmitir nuevamente la importancia de no
usar datos personales para la captación distintos a los que:
(…).
(…).
(…).
Queremos trasmitirles nuestra preocupación porque tras nuestros avisos de
mediados de septiembre, pueden seguir estando usando de forma particular
los números de cuenta bancaria de los clientes, (…). Lo que resulta imperativo
es que CESEN INMEDIATAMENTE en el uso de dicho dato, cualquier que sea
el origen del mismo, y que nos den la información requerida en nuestro citado
burofax al efecto.
Esperamos igualmente que den respuesta al resto de las cuestiones del citado
burofax.
Sin otro particular”
Este correo electrónico es un claro ejemplo de cómo Enérgya-VM, responsable del
tratamiento, daba instrucciones a su encargado (Nivalco) sobre el tratamiento de datos
de carácter personal en su nombre durante la fase precontractual.
Asimismo, refleja que Enérgya-VM aportaba datos de carácter personal, en dos
momentos diferenciados:
(…).
(…).
4.2. Correo electrónico enviado por D. A.A.A. a dos empleados de Nivalco de fecha 13
de septiembre de 2019 a las 13:20 (Documento 4 aportado por Enérgya-VM junto con
su escrito de alegaciones el acuerdo de inicio).
“En este sentido tras consultarlo con nuestra Asesoría Jurídica, os reiteramos
la necesidad de:
(…)
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
131/227
Os abstengáis de utilizar datos que habéis podido obtener en anteriores
servicios para otras comercializadores como (...) para nuestras
contrataciones.
(…)”
Como se puede observar, el responsable del tratamiento (Enérgya-VM) una vez más
da instrucciones relativas al tratamiento a su encargado (Nivalco) sobre el tratamiento
de datos de carácter personal.
4.3. Burofax de fecha 23 de octubre de 2019 enviado por Enérgya-VM a (...)
(Documento 5, aportado por Enérgya-VM en fase de prueba):
En dicho burofax se indica:
“Nuestros (…)” (el subrayado es nuestro).
Dicho texto refleja que el (…), obligatorio para los encargados del tratamiento
(como Nivalco), contenía indicaciones sobre el tratamiento de datos de carácter
personal que los promotores de Enérgya-VM (encargados del tratamiento como
Nivalco) debían cumplir al tratar datos de carácter personal en su nombre.
4.4. Comunicado “Protección de Datos Personales y garantía de los derechos
digitales” de fecha 27 de enero de 2020 remitido por Enérgya-VM a sus
Promotores (encargados del tratamiento, entre los que se encontraba Nivalco)
(Doc 10, aportado por Enérgya-VM en su escrito de alegaciones al acuerdo de
inicio), cuyo contenido se reproduce en el hecho probado vigésimo primero.
“(…),
(…).
(…).
(…).
(…):
(…).
(…)
(…).
(…).
(…).
En este comunicado, cuyo contenido coincide con el comunicado del mismo título de
fecha 24 de julio de 2020 (aportado por la parte reclamada junto con su escrito de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
132/227
alegaciones como documento 11), Enérgya-VM vuelve a dar instrucciones a sus
promotores (encargados del tratamiento, entre los cuales está Nivalco) en materia de
protección de datos.
La parte reclamada ha creado una “(…)” en la que figuran las peticiones de clientes o
exclientes de Enérgya-VM de ejercicio de derechos en materia de protección de datos
de carácter personal y da instrucciones a sus encargados al respecto.
Asimismo, envía a sus encargados del tratamiento un recordatorio de la necesidad de
atender las peticiones realizadas por potenciales clientes de ejercicio de derechos en
materia de protección de datos en el plazo de un mes desde la solicitud.
A continuación, se reproduce un párrafo del escrito de alegaciones elaborado por
Enérgya-VM en contestación al acuerdo de inicio:
“52 En esta línea, cabe destacar que si Nivalco no fue diligente con las guías
remitidas por Enérgya, esto fue una decisión unilateral de Nivalco, que no se le
puede imputar Enérgya. Tal y como fue puesto en conocimiento de la AEPD en
el marco de las actuaciones previas de investigación llevadas a cabo en el
marco del presente Procedimiento. En particular, Enérgya llevó a cabo
campañas de información periódicas, remitiendo a todas las fuerzas de venta
con las que firma acuerdos de promoción de contratos a comisión, incluyendo
Nivalco, correos electrónicos con directrices específicas acerca de la forma en
la que deben tratar los datos personales de Enérgya, cuando Enérgya ya actúa
como responsable del tratamiento, para garantizar la protección de los
derechos de los interesados. Adjuntamos como documento número 9;
documento número 10; y documento número 11 los correos electrónicos
remitidos instando a los promotores a revisar la Lista Robinson y respetar la
LOPDGDD” (el subrayado es nuestro).
En dicho párrafo, relativo al Comunicado “Protección de Datos Personales y garantía
de los derechos digitales” de fecha 27 de enero de 2020 anteriormente reproducido,
Enérgya-VM destaca que dichos comunicados (en el expediente figuran 3, hecho
probado vigésimo primero) contienen directrices específicas elaboradas por Enérgya-
VM a sus promotores (encargados del tratamiento, como Nivalco) acerca de la forma
en la que tenían que tratar los datos personales. No son meras indicaciones sobre
cómo prestar un servicio de promoción, sino instrucciones precisas sobre el
tratamiento de datos de carácter personal en nombre de Enérgya-VM.
Enérgya-VM se afana en desvincularse de unos tratamientos de datos y se empeña en
trazar fronteras artificiales en un intento por tratar de difuminar su responsabilidad,
haciendo creer que no era la responsable del tratamiento, cuando sí lo era, y que no
daba instrucciones sobre el tratamiento de datos personales a su encargado Nivalco,
cuando sí lo hacía.
B. Enérgya-VM como responsable del tratamiento en la actividad publicitaria
Alega Enérgya-VM que resulta de aplicación al presente caso lo dispuesto en el
artículo 46 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
133/227
Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de
protección de datos de carácter personal.
El artículo 46 del RLOPD dispone lo siguiente:
“Artículo 46. Tratamiento de datos en campañas publicitarias
1. Para que una entidad pueda realizar por sí misma una actividad publicitaria
de sus productos o servicios entre sus clientes será preciso que el tratamiento
se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley
Orgánica 15/1999, de 13 de diciembre.
2. En caso de que una entidad contrate o encomiende a terceros la realización
de una determinada campaña publicitaria de sus productos o servicios,
encomendándole el tratamiento de determinados datos, se aplicarán las
siguientes normas:
a) Cuando los parámetros identificativos de los destinatarios de la campaña
sean fijados por la entidad que contrate la campaña, ésta será responsable del
tratamiento de los datos.
b) Cuando los parámetros fueran determinados únicamente por la entidad o
entidades contratadas, dichas entidades serán las responsables del
tratamiento.
c) Cuando en la determinación de los parámetros intervengan ambas
entidades, serán ambas responsables del tratamiento.
3. En el supuesto contemplado en el apartado anterior, la entidad que encargue
la realización de la campaña publicitaria deberá adoptar las medidas
necesarias para asegurarse de que la entidad contratada ha recabado los
datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de
13 de diciembre, y en el presente Reglamento.
4. A los efectos previstos en este artículo, se consideran parámetros
identificativos de los destinatarios las variables utilizadas para identificar el
público objetivo o destinatario de una campaña o promoción comercial de
productos o servicios que permitan acotar los destinatarios individuales de la
misma.”
Sobre este particular, hay que tener en cuenta que este artículo no añade nada nuevo
a la definición de responsable del tratamiento, sino que se limita a concretar la entidad
o entidades responsables del tratamiento de datos en campañas publicitarias, como
declaró el Tribunal Supremo en su sentencia de 15 de julio de 2010 (RCA 25/2008)
Así la referida STS recoge en su fundamento decimoquinto lo siguiente:
«(…) Sostiene la indicada parte que el artículo 46.2 impone una obligación
<<ex novo>> a las entidades que deseen contratar o encomendar a un tercero
la realización de una campaña publicitaria de sus productos o servicios, al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
134/227
considerarla responsable del tratamiento de los datos cuando los llamados
parámetros identificativos definidos en el apartado 4 son fijados
exclusivamente por la empresa que encarga la campaña publicitaria o
conjuntamente con la empresa de publicidad. Entiende que al no tener la
empresa que contrata la campaña acceso a los datos contenidos en la base de
datos de la empresa contratada no puede la primera ser responsable del
tratamiento.
La respuesta a la impugnación del artículo 46.2 debe ser desestimatoria.
Con independencia de que la norma de mención no impone ninguna obligación
<<ex novo>>, y ello por la sencilla razón de que no prevé obligación alguna,
limitándose a concretar la entidad o entidades responsables del tratamiento de
datos en campañas publicitarias, es de significar que la regulación que al
respecto contempla nada añade a la previsión del artículo 5.1.q) que, conforme
ya vimos (fundamento de derecho noveno ) define al responsable del fichero o
del tratamiento como la "persona física o jurídica, de naturaleza pública o
privada, u órgano administrativo, que solo o conjuntamente con otros decida
sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase
materialmente"
Si en el expresado fundamento llegábamos a la conclusión, frente a la
impugnación de la recurrente de dicho artículo 5.1.q), que la previsión que
contiene ninguna extralimitación supone en relación a la Ley, no otra solución
cabe adoptar respecto a la pretensión impugnatoria que ahora nos ocupa.
No mejor suerte que la de la impugnación del artículo 46.2 deben correr la de
los apartados 3 y 4.
Rechazada la nulidad pretendida del artículo 46.2, obviamente no puede tener
acogida la también demandada nulidad del artículo 46.4, cuando se
fundamenta exclusivamente en que la nulidad del artículo 46.2 deja vacío de
contenido el artículo 46.4.
Respecto al artículo 46.3 ha de reconocerse que en efecto establece una
obligación a la entidad que encarga a otra la realización de una campaña
publicitaria, cual es la adopción de las medidas necesarias que aseguren que
la entidad contratada ha recabado los datos cumpliendo las exigencias
establecidas no solo en la Ley Orgánica 15/1999 , sino también en el
Reglamento, pero por ser ello consecuencia de la intervención en la
determinación de los parámetros de la entidad que encarga la campaña
publicitaria y la contratada, supuesto previsto en la letra c) del apartado 2 del
artículo impugnado, único al que se refiere el apartado 3 con una redacción
mejorable, no hay razón para su impugnación por lo ya expresado al examinar
la del apartado 2.»
En definitiva, será responsable quien delimite, a través de cualesquiera criterios, el
público objetivo de la campaña mediante la determinación de los parámetros
identificativos, en definitiva, quien decida sobre las categorías de interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
135/227
Así las cosas, también en relación con la aplicación de este artículo, Enérgya-VM ha
de ser considerada responsable del tratamiento pues estableció las directrices a seguir
en el tratamiento de los datos personales, tomando decisiones en relación con la
fijación del público objetivo de la campaña.
Enérgya-VM determinaba el público objetivo al que iba dirigida la campaña publicitaria:
usuarios de energía eléctrica o de gas natural, o de ambos tipos de energía, que no
fueran clientes de Enérgya-VM.
Enérgya-VM no solo estableció los criterios para seleccionar al público objetivo, sino,
además, en este expediente hay evidencias de que Enérgya-VM intervenía a la hora
de identificar a los concretos destinatarios de dichas campañas (público objetivo).
En el Correo electrónico enviado por D. A.A.A., empleado de Enérgya-VM, a dos
empleados de Nivalco el 16 de octubre de 2019 a las 17:55 (Documento 7 aportado
por Enérgya-VM en fase de prueba).
“Estimadas (...) y (...),
En espera de que nos respondan formalmente al burofax que les remitimos
hace escasos días, les queremos transmitir nuevamente la importancia de no
usar datos personales para la captación distintos a los que:
(…)”
Tal y como refleja el hecho probado vigésimo segundo, en el que se reproduce el
contenido del correo electrónico al que acaba de hacerse referencia, Enérgya-VM
remitía a sus encargados del tratamiento (entre ellos, Nivalco) datos personales de
potenciales clientes (nombre y apellidos/razón social, y número de teléfono de
contacto) con carácter previo a las labores de captación por parte de dichos
encargados del tratamiento.
A mayor abundamiento, el hecho probado vigésimo segundo, reproduce el contenido
del (…):
“(…) (…).”
Por tanto, Enérgya-VM reconoce determinar el público objetivo de las campañas de
captación de clientes realizadas a través de sus promotores o encargados del
tratamiento (entre los que se encontraba Nivalco). Por tanto, desde la óptica del
artículo 46 del RLOPD también debe ser considerado responsable del tratamiento.
C. Sobre el alegado pacto de no exclusividad
Afirma la parte reclamada que el Acuerdo de Promoción entre Enérgya-VM y Nivalco
era en régimen de no exclusivo y que la Base de Datos de Nivalco fue utilizada por
dicha entidad para ofrecer servicios a otras empresas comercializadoras de la energía
(entre ellas, (...)).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
136/227
Sin embargo, en relación con esta cuestión, en el certificado de contratación
electrónica certificada de fecha 1 de julio, que acompaña al Acuerdo de promoción
firmado por Nivalco (documento aportado por Enérgya-VM durante las actuaciones
previas de investigación) se hace, en dos ocasiones, referencia a que el contrato con
Nivalco era un contrato de exclusividad 100%:
Por una parte, en el apartado titulado “Firmas” se indica que el mismo ha sido firmado
por Dña. H.H.H. el 1 de julio de 2019 a las 09:42:10, figurando el siguiente nombre de
documento
“Contrato EMPRESA EXCLUS EXCLUSIVIDAD 100% RNA 03518-
ESPECIAL_NIVALCO.pdf”
Por otra, dicho nombre del documento en pdf firmado también figura en el apartado
denominado “Verificación electrónica”.
Asimismo, en el apartado 4.2 de las condiciones particulares del Acuerdo de
promoción celebrado entre Enérgya-VM y Nivalco se prevé:
“4.2 (…):
3.16 (…).”
En consecuencia, únicamente en relación con un aspecto concreto ((…)) no había
pacto de exclusividad. Pero incluso en estos casos ha de concluirse que Enérgya-VM
era responsable del tratamiento de los datos realizados por Nivalco en su nombre,
pues no se está considerando a Enérgya-VM responsable de la base de datos de
Nivalco ni de todos los tratamientos que Nivalco realizó en otras acciones publicitarias,
sino de los tratamientos concretos que Nivalco realizó por decisión de Enérgya-VM, es
decir los derivados del contrato suscrito con Nivalco.
Por ello resulta irrelevante a efectos de determinar el rol de Enérgya-VM que existiera
o no pacto de exclusividad.
A la vista del Acuerdo de promoción firmado no cabe afirmar que el mismo no se
hubiera celebrado en exclusiva, como pretende dar a entender Enérgya-VM en su
escrito de alegaciones a la propuesta de resolución.
En conclusión, Enérgya-VM era responsable del tratamiento en todas sus fases,
incluida la fase precontractual, en la que Nivalco contactaba con los clientes
potenciales en su nombre con la intención de captarlos como clientes de Enérgya-VM.
En calidad de responsable del tratamiento determinaba los fines y los medios del
tratamiento, definía el público objetivo al que iban dirigidas las campañas publicitarias
daba instrucciones a su encargado del tratamiento (Nivalco).
D.Contestación a la supuesta mutación del rol de Nivalco de encargado a responsable
desde el momento en que se apartó de las instrucciones de Enérgya-VM y trató los
datos para fines propios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
137/227
Enérgya-VM alega, que aún en el supuesto de que se entendiera que Nivalco era
encargado del tratamiento respecto a todos los tratamientos que se llevaban a cabo en
el marco del Acuerdo de promoción, dicha condición de encargado habría mutado a la
de responsable del tratamiento, en el momento en el que Nivalco realizó tratamientos
de datos apartándose de las instrucciones de Enérgya-VM y para fines propios.
Esta Agencia no comparte dicha afirmación, Enérgya-VM es responsable del
tratamiento a pesar de que fuera su encargado (Nivalco) quien realizó materialmente
los tratamientos contrarios al RGPD, y resulta responsable en el presente
procedimiento sancionador.
Enérgya-VM impulsó una campaña con la finalidad de captar nuevos clientes en la que
determinaba el público objetivo a la que iba dirigida la campaña:
Usuarios de energía eléctrica o de gas natural, o de ambos tipos de energía, que no
fueran clientes de Enérgya-VM.
Enérgya-VM decidió que el contacto inicial con los clientes, al objeto de su captación,
fuera realizado por sus promotores, entre los que se encontraba Nivalco. Firmó con
dicho encargado un Acuerdo de promoción de contratos a comisión el 1 de julio de
2019 (hecho probado vigésimo cuarto).
La finalidad del tratamiento que realizaba Nivalco, por encargo de Enérgya-VM, era
tratar los datos de carácter personal del cliente potencial con el fin de poder celebrar
un contrato de suministro energético a favor de Enérgya-VM.
Dicha actuación, permitía a Enérgya-VM conseguir nuevos clientes, y a Nivalco, poder
cobrar las comisiones que Enérgya-VM le abonaba por captación de dichos clientes.
Los días 9 y 10 de septiembre de 2019 (hechos probados primero y segundo) (...)
alertó a Enérgya-VM sobre dichos procesos de captación, que se estaban produciendo
con argumentos confusos, inexactos y/o irreales. Las personas que contactan con
clientes de (...) se hacían pasar por personal de dicha empresa o hacían creer que
ofrecían descuentos de (...).
Enérgya-VM encomendó a (...) la realización de una auditoría sobre el Canal Nivalco.
En el informe de auditoría de (...) de 28 de noviembre de 2019 se hace referencia a
(…) casos con incidencias más notables (hecho probado trigésimo noveno) y se
concluye “(…) (…)”
. Enérgya-VM fue alertada por (...) del posible origen ilícito de los datos utilizados en la
campaña (burofax de 18 de octubre de 2019) y no hizo nada para comprobar que su
procedencia fuera lícita.
Además, Enérgya-VM conocía los resultados de la auditoría el 28 de noviembre de
2019 con antelación, ya que hizo referencia a estas (...) contrataciones en el burofax
que envió a (...) el 16 de octubre de 2019 (Documento 4, aportado por Enérgya-VM en
fase de prueba) y también hizo referencia a estos (...) casos en un escrito de 8 de
noviembre de 2019 enviado a la Policía (hecho probado vigésimo tercero).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
138/227
La campaña de captación, en la que participaba Nivalco en calidad de encargado del
tratamiento, permitió a Enérgya-VM captar nuevos clientes durante todo el periodo de
tiempo que duró la relación contractual entre ambos, tal y como reflejan los hechos
probados trigésimo primero y cuadragésimo sexto, que muestran los datos sobre
clientes activos de la auditoría realizada por (...), el primero, y los clientes calificados
como (…) correspondientes en el periodo comprendido entre septiembre de 2019 y
junio de 2020.
Por tanto, Enérgya-VM tuvo constancia de que su encargado Nivalco proporcionaba
información confusa, insuficiente o engañosa a sus nuevos clientes, a pesar de ello
permitió que dicho encargado continuara participando en una campaña que
beneficiaba a la parte reclamada, al permitirle continuar aumentando el número de sus
clientes.
En el fundamento de derecho XI se expondrán importantes deficiencias desde el punto
de vista del artículo 5.2 del RGPD (responsabilidad proactiva) por parte de Enérgya-
VM, que suponen claras deficiencias a la hora de controlar la actuación de su
encargado del tratamiento o de importantes omisiones de cara a proteger y garantizar
los derechos y libertades de los interesados.
En estas circunstancias, la parte reclamada afirma que ha mutado el papel de Nivalco
de encargado a responsable del tratamiento, tratando de exonerarse de cualquier tipo
de responsabilidad por las decisiones que ha adoptado y las omisiones desde el punto
de vista del artículo 5.2 del RGPD, esto no resulta aceptable.
Enérgya-VM cita en sus alegaciones el artículo 28 del RGPD. Dicho artículo, en su
primer apartado prevé:
“Artículo 28
Encargado del tratamiento
1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías
suficientes para aplicar medidas técnicas y organizativas apropiadas, de
manera que el tratamiento sea conforme con los requisitos del presente
Reglamento y garantice la protección de los derechos del interesado.”
Este expediente sancionador refleja que la elección del responsable no fue acertada.
Enérgya-VM a pesar de conocer que dicho encargado no actuaba conforme al RGPD
permitió que el mismo continuara tratando datos de clientes potenciales captados.
El artículo 33 de la LOPDGDD establece:
“Tendrá asimismo la consideración de responsable del tratamiento quien
figurando como encargado utilizase los datos para sus propias finalidades.”
En el caso examinado, Nivalco, como encargado, trataba los datos con la finalidad de
conseguir nuevos contratos de suministro energético para Enérgya-VM, finalidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
139/227
coincidente con la de Enérgya-VM, que pretendía aumentar con la campaña en la que
participaba Nivalco su cartera de clientes.
La Directrices 07/2020 sobre los conceptos de responsable y encargado del
tratamiento en el RGPD (versión 2.0) del Comité Europeo de Protección de Datos
destacan que “la asignación de la función de responsable o encargado debe derivar
normalmente de un análisis de los hechos o circunstancias del caso (…)” en este
expediente se ha realizado dicho análisis de las circunstancias que concurren en el
caso concreto y se concluye que Enérgya-VM era responsable del tratamiento.
En la resolución de terminación del procedimiento por pago voluntario del
PS/00214/2022, citada por la parte reclamada en su escrito de alegaciones a la
propuesta de resolución se indica:
“Por tanto, el responsable del tratamiento debe establecer modalidades claras
para dicha asistencia y dar instrucciones precisas al encargado del tratamiento
sobre cómo cumplirlas de forma adecuada y documentarlo previamente a
través de un contrato o bien en otro acuerdo (vinculante) y comprobar en todo
momento del desarrollo del contrato su cumplimiento en la forma establecida
en el mismo.
Solo el encargado del tratamiento será plenamente responsable cuando sea
enteramente responsable de los perjuicios ocasionados en cuanto a los
derechos y libertades de los interesados afectados.”(el subrayado es nuestro).
Tal y como refleja esta resolución, Enérgya-VM es responsable de perjuicios
ocasionados en cuanto a los derechos y libertades de los interesados afectados en
este procedimiento. Sirvan de ejemplo, los hechos probados sexagésimo, sexagésimo
segundo y sexagésimo tercero.
Enérgya-VM aporta supuestos que considera idénticos al tratado en este expediente
en los que la AEPD ha considerado que el promotor era responsable del tratamiento
(supuesta vulneración del principio de interdicción de la arbitrariedad:
En el escrito de alegaciones a la propuesta de resolución, Enérgya-VM destaca:
“(…) deseamos hacer referencia a dos precedentes en los que la Agencia ha
conocido de supuestos idénticos al que aquí nos ocupa (i.e. entidad realizando
actividades y tratamientos presuntamente ilícitos en el contexto de servicios de
promoción prestados a una compañía energética) y donde el criterio de la
AEPD a la hora de entender quién era la parte responsable del tratamiento, la
imputación de la infracción y la cuantía de la sanción difieren sobremanera (y
de forma inexplicable) del que ha seguido contra Enérgya a lo largo del
Procedimiento. A este respecto, debe destacarse que, tal y como explicamos a
continuación, en ninguno de estos casos se ha castigado a la empresa
energética que se encontraba en la misma posición que Enérgya, sino por el
contrario, al promotor, y que las sanciones impuestas han sido mínimas en
comparación con las propuestas ahora por la AEPD.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
140/227
Enérgya-VM concluye este apartado de sus alegaciones destacando considera que el
comportamiento de la AEPD es errático, impropio de un Estado de Derecho y, en su
opinión, supone una vulneración del principio de interdicción de la arbitrariedad
consagrado en el artículo 9.3 de la Constitución Española.
En primer lugar, cabe recordar que el artículo 83 del RGP (Condiciones generales para
la imposición de multas administrativas) prevé que la autoridad de control garantice
que la imposición de las multas administrativas sea en cada caso individual efectivas,
proporcionadas y disuasorias.
Volviendo a destacar en un segundo apartado que las multas se impondrán, en función
de las circunstancias de cada caso particular.
El primer supuesto supuestamente idéntico es el PS/00375/2021, que deriva de una
única reclamación en la que la entidad sancionada aporta el número de teléfono a
partir de la cual se ha efectuado la llamada.
La entidad reclamada, entidad comercializadora de (...), no pudo aportar
documentación que acreditara que contaba con el consentimiento de la reclamante
para utilizar sus datos personales y enviarle un precontrato y fue sancionada por una
infracción de artículo 6 del RGPD. Por tanto, no se trata de un supuesto similar al caso
presente.
El segundo supuesto considerado idéntico es el nº.: EXP202103411, que parte de una
única reclamación en la que la reclamante informa que recibió una llamada en la que
se hacían pasar por su comercializadora (...), tenían sus datos personales, dado que
únicamente le solicitaron la confirmación de los mismos. En dicho expediente, se
sanciono a un prestador de servicios de telemarketing por una infracción del artículo
6.1 del RGPD, en particular porque los datos personales de la reclamante fueron
incorporados a los sistemas de información de la empresa, sin que se acreditara que
dispusiera de base legal para la recogida y tratamiento de los mismos, lo que difiere
claramente del presente procedimiento
En el escrito de alegaciones al acuerdo de inicio Enérgya-VM aporta otro precedente
de la AEPD (el RR/00759/2017), en el que la AEPD sancionó al encargado del
tratamiento. En dicho expediente quedó acreditado que el encargado actuó como
responsable del tratamiento, pues incumplió las obligaciones contractuales, llegando a
subcontratar el tratamiento con un tercero, sin conocimiento del responsable.
Incumplió las obligaciones contractuales de adoptar las cautelas y medidas necesarias
para comercializar los productos del responsable, exclusivamente respecto de la
numeración contenida en las bases de datos de potenciales clientes facilitados por él y
la obligación de no utilizar bases de datos propias sin contar con autorización previa
del responsable. Sin embargo, se utilizaron en la campaña otras bases de datos no
autorizadas por el responsable, por lo que el encargado actuó como responsable
tomando decisiones sobre el público objetivo. En dicho procedimiento sancionador,
había un único reclamante, que había recibido 4 llamadas comerciales, a pesar de
estar inscrito en la Lista Robinson. En dicho expediente se consideró infringido del
artículo 6.1 de la LOPD, así como el artículo 49.4 del RLOPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
141/227
En el caso de este expediente sancionador, por el contrario, existen hechos que
manifiestamente difieren de los analizados en los procedimientos citados, que
afectaron a muchas personas y que inciden directamente en las obligaciones de
Enérgya-VM como responsable del tratamiento. En este caso Nivalco estaba
autorizado por Enérgya-VM a utilizar sus bases de datos y fue Enérgya-VM la que
determinó el público objetivo. Además, el hecho probado vigésimo segundo refleja que
Enérgya-VM también remitía a Nivalco datos personales de potenciales clientes
(nombre y apellidos/razón social, y número de teléfono de contacto) con carácter
previo a las labores de captación por parte de dichos encargados del tratamiento, lo
que supone una diferencia sustancial con los precedentes citados por Enérgya-VM.
En definitiva, en este caso se examina si la actuación del responsable del tratamiento
se ajustó a lo dispuesto en los artículos 5.1 a) y 5.2 del RGPD
En este expediente, la parte reclamada fue alertada por (...) sobre procesos de
captación de nuevos clientes de Enérgya-VM, en los que las personas que
contactaban con dichos clientes conocían que estos eran clientes de (...) y decían
hacerlo en nombre de ésta, utilizando argumentos confusos, inexactos y/o irreales.
Asimismo, Enérgya-VM tuvo constancia, gracias a una auditoría encargada a (...), de
que dichas afirmaciones eran ciertas. A pesar de la situación de alto riesgo existente,
permitió que su encargado siguiera tratando unos datos de origen dudoso y
efectuando las captaciones de nuevos clientes, aunque los datos procedentes (…) le
mostraban que los supuestos de confusión y engaño en nuevos clientes seguían
produciéndose. No se realizó un análisis de riesgos, no se estableció un control
continuado y exhaustivo de las grabaciones de llamadas que aportaba el encargado a
Enérgya-VM. Estas circunstancias no concurren en los casos citados por Enérgya-VM
en sus alegaciones.
En conclusión, no cabe admitir la identidad pretendida por Enérgya-VM, ni se
considera infringido el principio de interdicción de la arbitrariedad por parte de la
AEPD.
V
Sobre el principio de tipicidad
Enérgya-VM entiende que las infracciones supuestamente cometidas por ellos
podrían, en su caso, suponer un incumplimiento de los artículos 28, 32, 13 y 14 del
RGPD, pero en ningún caso de los principios rectores del RGPD.
En el escrito de alegaciones a la propuesta de resolución la parte reclamada insiste en
la vulneración de los principios de tipicidad y especialidad de las normas. Afirma que
los preceptos supuestamente infringidos serían los artículos 12, 13, 24, 28.3 y 32.1 del
RGPD y no los artículos 5.1 a) y 5.2 del RGPD.
Esta Agencia no comparte dicha valoración realizada por Enérgya-VM. En el
fundamento de derecho XI de la presente resolución se exponen los motivos por los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
142/227
que se considera que cabría entender vulnerados tanto el artículo 5.1 a) como el
artículo 5.2 del RGPD.
Enérgya-VM destaca la prescripción de las acciones en las que supuestamente
correspondería subsumir las supuestas conductas de Enérgya-VM a la fecha de
incoación del presente expediente sancionador.
Así, en el escrito de alegaciones al acuerdo de inicio y en el escrito de alegaciones a la
propuesta de resolución Enérgya-VM defiende que las acciones y omisiones
supuestamente cometidas por ellos estarían tipificadas en los artículos 73 f); 73 k) y 74
a) de la LOPDGDD.
Afirma Enérgya-VM que, una vez “desaparecido” el (...), la gravedad de los hechos
atribuidos a dicha empresa debería rebajarse. En opinión de la parte reclamada,
únicamente quedaría un supuesto incumplimiento del artículo 28.3 del RGPD (solo
podría achacarse a Enérgya-VM una supuesta falta de control de un encardado del
tratamiento), pero no un incumplimiento del artículo 5.1 a) del RGPD.
La parte reclamada llama la atención sobre el hecho de que la AEPD no haya aplicado
lo dispuesto en el párrafo 32 de las Directrices 04/2022, relativo al principio de
especialidad. Afirmando que la AEPD debería sancionar por los preceptos más
específicos y no por los más generales.
Considera Enérgya-VM que al aplicar los preceptos más específicos, en lugar de los
más generales, todas las supuestas conductas sancionables de dicha empresa
estarían ya prescritas.
En primer lugar, resulta necesario aclarar que las infracciones en materia de
protección de datos están tipificadas en los apartados 4, 5 y 6 del artículo 83 del
RGPD. Es una tipificación por remisión, admitida plenamente por nuestro Tribunal
Constitucional. En este sentido, también el artículo 71 de la LOPDGDD realiza una
referencia a las mismas al señalar que “Constituyen infracciones los actos y conductas
a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679, así como las que resulten contrarias a la presente ley orgánica”.
En este sentido, el Dictamen del Consejo de Estado de 26 de octubre de 2017, relativo
al Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal,
dispone que “El Reglamento Europeo sí tipifica, por más que lo haga en un sentido
genérico, las conductas constitutivas de infracción: en efecto, los apartados 4, 5 y 6 de
su artículo 83 arriba transcritos contienen un catálogo de infracciones por vulneración
de los preceptos de la norma europea que en tales apartados se indican. El artículo 72
del Anteproyecto asume, no en vano, la existencia de dicho catálogo, cuando dispone
que “constituyen infracciones los actos y conductas que supongan una vulneración del
contenido de los apartados 4, 5 y 6 del Reglamento Europeo y de la presente ley
orgánica”.”
Las infracciones fijadas en los artículos 72, 73 y 74 de la LOPDGDD lo son sólo a los
efectos de la prescripción, tal y como reza el inicio de todos y cada uno de estos
preceptos. Esta necesidad surgió en nuestro Estado al no existir en el RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
143/227
referencia alguna a la prescripción relativa a las infracciones, dado que este instituto
jurídico no es propio de todos los Estados miembros de la UE.
Una vez aclarado esto, en respuesta a la posible vulneración del principio de tipicidad,
de especialidad y de seguridad jurídica o a la prescripción de las acciones en las que
correspondería subsumir las supuestas conductas de la parte reclamada, invocadas
por Enérgya-VM en su escrito alegaciones al acuerdo de inicio, procede señalar lo
siguiente:
El fundamento de derecho XI de esta resolución se exponen, de forma detallada, los
motivos por los que cabe entender vulnerado tanto el contenido del artículo 5.1 a)
como el del artículo 5.2 del RGPD. Tal y como se pone de manifiesto en el mismo, en
este caso concurren circunstancias de extraordinaria gravedad. Tal y como prevé el
RGPD, a la hora de efectuar la calificación de los hechos, se ha atendido a las
circunstancias particulares que concurrían en el caso concreto examinado, que no son
totalmente coincidentes con las que han concurrido en otros expedientes
sancionadores anteriores y diferentes, que afectaban a empresas distintas.
Por su parte, el fundamento de derecho XII hace referencia a la tipificación de las
conductas sancionadas.
No se comparte la tipificación paralela que pretende aplicar la parte reclamada, con el
objetivo de resultar exonerada de cualquier tipo de responsabilidad, a pesar de la
gravedad de los hechos analizados en este expediente. Los hechos examinados
suponen una vulneración, por una parte, del artículo 5.1 a) del RGPD, en particular de
los principios de transparencia y lealtad. El principio de lealtad es un principio
independiente que no se encuentra recogido en ningún otro artículo específico del
RGPD, Por otra, del artículo 5.2 del RGPD, que tiene un significado distinto e
independiente de las normas que se citan por la parte investigada, pues en él se
impone el deber del responsable de demostrar el cumplimiento de sus obligaciones
conforme al RGPD, cuestión que tampoco se recoge en otra norma más específica.
Enérgya-VM hace referencia en sus alegaciones a la Sentencia de la Audiencia
Nacional de 23 de diciembre de 2022 (recurso 104/2021).
Por una parte, resulta necesario destacar que la mencionada sentencia ha sido
recurrida en casación. Por otra, en este expediente existe abundante el material
probatorio y se efectúa una valoración de dichas pruebas.
Por tanto, del contenido de esta resolución se desprende que la calificación de las
infracciones que realiza la AEPD no vulnera ni el principio de tipicidad, ni el de
especialidad o el de seguridad jurídica, tal y como afirma la parte reclamada en su
escrito de alegaciones al acuerdo de inicio. Tampoco cabe considerar que la
motivación de la posible vulneración de ambos preceptos sea ambigua o insuficiente.
En este caso se imputa a Enérgya-VM las infracciones de los artículos 5.1.a) y 5.2) del
RGPD. A efectos del plazo de prescripción, ambas infracciones prescriben a los tres
años, tal y como dispone el artículo 72 de la LOPDGDD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
144/227
Artículo 72. Infracciones consideradas muy graves.
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las
infracciones que supongan una vulneración sustancial de los artículos
mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”
En consecuencia, las acciones de las que sería responsable Enérgya-VM no habrían
prescrito, tal y como defiende la parte reclamada.
En cuanto al Script de venta VM, en el fundamento de derecho XI se exponen los
motivos por los que se considera que el contenido del mismo no se ajusta a lo
dispuesto en el artículo 5.1 a) del RGPD, sin que quepa entender que dicho script
“haya desaparecido” y sin que proceda reducir el importe de la multa relativa a la
infracción del artículo 5.1 a), como pretende la parte reclamada.
VI
Sobre el principio de proporcionalidad
El acuerdo de inicio de fecha 9 de mayo de 2023 estable en su parte dispositiva:
“CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, la sanción que pudiera corresponder sería:
- Por la supuesta infracción del artículo 5.2 del RGPD, tipificada en el
artículo 83.5 de dicha norma, multa administrativa de cuantía
2.500.000,00 € (dos millones quinientos mil euros).
- Por la supuesta infracción del artículo 5.1.a) del RGPD, tipificada en el
artículo 83.5 de dicha norma, multa administrativa de cuantía
2.500.000,00 € (dos millones quinientos mil euros).”
Enérgya-VM, en su escrito de alegaciones al acuerdo de inicio, alega una supuesta
vulneración del principio de proporcionalidad.
A estos efectos destaca la importancia del principio de proporcionalidad en el derecho
administrativo sancionador.
En materia de protección de datos, menciona el artículo 83 del RGPD (condiciones
generales de imposición de multas administrativas), el artículo 76 de la LOPDGDD y el
considerando 129 del RGPD.
A continuación, hace referencia a varios aspectos contemplados en el artículo 83.2 del
RGPD que, en su opinión, deberían haber sido tenidos en cuenta por la AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
145/227
1. Destaca que las supuestas conductas infractoras suponen un hecho aislado,
focalizado en un proveedor concreto, Nivalco, y en ningún caso están relacionadas
con los procesos o políticas de Enérgya-VM.
En 2019, Enérgya-VM trabajaba con más de (…) fuerzas de venta externas, afirmando
que no hubo problemas e irregularidades con ninguna de ellas.
2. La AEPD considera que la infracción del artículo 5.2 del RGPD se produce desde el
1 de julio de 2019 (fecha en la que se suscribió el contrato con Nivalco).
Enérgya-VM afirma que no actuaba como responsable del tratamiento desde el inicio
de la relación contractual, sino únicamente desde la suscripción del contrato de
suministro por los interesados. En consecuencia, los actos deberían enjuiciarse
únicamente desde ese momento.
Critica el análisis en 4 hitos temporales que ha realizado la AEPD y que figura en el
acuerdo de inicio.
Afirma que todas las actuaciones llevadas a cabo por Enérgya, desde la fecha en la
que recibió la comunicación por parte de (...) hasta la terminación del Contrato con
Nivalco, evidencian la preocupación de Enérgya por las conductas de Nivalco y su
elevado grado de diligencia.
3. Destaca que la AEPD no acude a las circunstancias de agosto, septiembre y
octubre de 2019 como base de la sanción, sino que se apoya en las 30 contrataciones
aportadas por la CNMC, que son posteriores.
De dichos 30 casos, solo en 5 los reclamantes alegan confusión con (...). Por tanto,
pretende que se le aplique circunstancia moduladora relativa al número de interesados
afectados y al nivel de daños y perjuicios que han sufrido, afirmando que no se ha
producido gravamen o perjuicio relevante a los interesados.
En relación con los 30 CUPS aportados por la CNMC, Enérgya-VM afirma el origen es
variado y no obedece a causas comunes para todos los consumidores, sino que
corresponde a los motivos habituales en el mercado y ajenos a la privacidad de los
interesados.
4. Destaca que el (…) en los meses de diciembre de 2019 a mayo de 2020 fue
efectivo.
5. En relación con los beneficios obtenidos, indica que tienen que ser los obtenidos por
Enérgya-VM, no las ganancias obtenidas por Nivalco en concepto de comisión.
Destaca que la parte reclamada ha sufrido pérdidas económicas como consecuencia
de su relación con Nivalco, cuantificando dichas pérdidas (penalizaciones por
resolución anticipada dejadas de percibir, energía excusada a clientes, coste del (…)
encomendado a (...), pérdida de beneficio, coste de la defensa jurídica).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
146/227
6. Al objeto de mostrar la desproporción que la parte reclamada considera que existe
en las multas, destaca que se debería tener en cuenta el EBITDA, que fue negativo en
el año 2022.
Elabora una tabla comparando la multa con la que sería sancionada con otras multas
a empresas de otros sectores.
7. Pone de manifiesto las peculiaridades del mercado de suministro de energía y gas.
Indica que las sanciones de la AEPD a empresas de dicho sector son
considerablemente más bajas a las impuestas en otros sectores (banca,
telecomunicaciones, etc).
Indica que, para una empresa sin generación, como Enérgya-VM el margen es
reducido (hace referencia a (…)) y destaca que debe hacer frente al pago de grandes
cantidades en concepto de servicios prestados.
Indica que una sanción de 5.000.000 de euros es superior al mayor EBITDA obtenido
por Enérgya-VM en los 4 años analizados.
La parte reclamada destaca que la imposición de la sanción propuesta podría producir
efectos irreparables, en la medida en que llevaría (…).
Resalta que los hechos expuestos sucedieron hace más de tres años, que no hay
hechos nuevos o una infracción que pueda considerarse continuada.
8. Indica que debería aplicarse como circunstancia moduladora de la sanción en este
expediente “la intencionalidad o negligencia en la infracción, cualquier medida tomada
por el responsable o el encargado del tratamiento para paliar los daños o perjuicios
sufridos por los interesados, el grado de responsabilidad del responsable o del
encargado del tratamiento.”
Afirmando no haber actuado en ningún momento de manera intencional o negligente,
sino todo lo contrario. Destaca que, al conocer lo que sucedía, emprendió medidas
para esclarecer los hechos y mitigar sus consecuencias. Afirma que la AEPD ignora
dichas actuaciones en su totalidad e incluso las emplea como circunstancia agravante.
Defiende que, en su caso, la negligencia debería ser considerada como una
circunstancia atenuante, y no agravante.
Esta Agencia no está de acuerdo con el contenido de las alegaciones formuladas por
la parte reclamada y no considera vulnerado el principio de proporcionalidad.
El artículo 83 del RGPD destaca que la imposición de multas administrativas debe
tener en cuenta las circunstancias del caso individual, al tiempo que dichas multas
deben ser efectivas, proporcionadas y disuasorias.
En este sentido, cabe recordar que el art. 83 del RGPD dispone que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
147/227
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del
presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso
individual efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual (…)”.
Los importes de las multas por la infracción del artículo 5.1 a) y 5.2 del RGPD se
ajustan a lo previsto en dicho artículo.
Frente a los análisis de multas impuestas en otros expedientes diferentes, a empresas
distintas, o un supuesto esquema sancionador por sectores, que no prevé el artículo
83 del RGPD, se vuelve a destacar la importancia de tener en cuenta las
circunstancias del caso individual, tal y como dispone el artículo 83 del RGPD.
A lo ya expuesto cabe añadir, que según disponen “las Directrices 04/2022 sobre el
cálculo de las multas bajo el RGPD” Versión 2.0 Adoptadas el 24 de mayo de 2023:
“139. Por lo tanto, la autoridad de control verificará que el importe de la multa
es proporcional tanto a la gravedad de la infracción como al tamaño de la
empresa a la que pertenece la entidad que cometió la infracción, y que la multa
impuesta no excederá de lo necesario para alcanzar los objetivos perseguidos
por el RGPD.” (el subrayado es nuestro).
Así, la multa será proporcional en atención a la gravedad de la infracción del caso
concreto, examinada en esta resolución, considerando todos los elementos de juicio
precisos en el supuesto concreto en relación con las previsiones del art. 83.2 del
RGPD.
Asimismo, la multa debe ser disuasoria, a los efectos de desincentivar la comisión de
una nueva infracción y alentar el cumplimento del RGPD.
Sobre este particular, las Directrices 04/2022 establecen que:
“143. Una multa es disuasoria cuando impide que una persona infrinja los
objetivos perseguidos y las normas establecidas por el Derecho de la Unión. Lo
decisivo a este respecto es no solo la naturaleza y el nivel de la multa, sino
también la probabilidad de que se imponga. Cualquier persona que cometa una
infracción debe temer que se le imponga la multa de hecho. Aquí existe una
superposición entre el criterio de disuasión y el de eficacia.” (el subrayado es
nuestro).
En este expediente sancionador se examinan, partiendo de la perspectiva de la
protección de datos de carácter personal, hechos de extraordinaria gravedad.
Se han analizado las actuaciones y omisiones de un responsable del tratamiento
(Enérgya-VM), en relación con los tratamientos de datos personales realizados por su
encargado (Nivalco).
En dichos tratamientos, realizados cuando Enérgya-VM era responsable del
tratamiento (también en la fase precontractual), por un encargado que actuaba por
cuenta de la parte reclamada, se utilizaron datos de carácter personal con la intención
de engañar y confundir a los interesados (clientes potenciales de Enérgya-VM),
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
148/227
haciendo que contrataran con una nueva compañía comercializadora de la energía, sin
ser conscientes de ello.
Asimismo, se han utilizado datos de carácter personal con el fin de ganarse la
confianza de dichos clientes potenciales, presionándoles para que facilitaran otros
datos personales necesarios para la celebración del nuevo contrato de suministro de
energía (número de cuenta bancaria, teléfono móvil, DNI), venciendo su lógica
resistencia a facilitar los referidos datos telefónicamente, lo que supone una
vulneración del artículo 5.1 a) del RGPD,
Tal y como se expone en los fundamentos de derecho de esta resolución, Enérgya-
VM, en calidad de responsable del tratamiento, recibió información por distintas vías
que le alertaron de la forma en la que su encargado estaba tratando, por cuenta de la
parte reclamada, los datos de carácter personal.
Enérgya-VM adoptó algunas medidas, parte de las cuales no fueron eficaces, otras,
como se analizará en el fundamento de derecho IX resultan cuestionables desde la
perspectiva de los principios de lealtad y transparencia (artículo 5.1 a) del RGPD).
Tal y como se expone en los fundamentos de derecho II y XI, la parte reclamada, en
lugar de actuar proactivamente, tal y como exige el artículo 5.2 del RGPD, actuó de
una forma reactiva, impulsada fundamentalmente por la defensa de los intereses de su
propia organización (proteger su reputación, evitar posibles perjuicios). Esta forma de
actuar supuso que quedaran relegadas a un segundo plano las dos cuestiones que
deberían haber sido prioritarias: la protección de los datos de carácter personal y la
garantía de los derechos y libertades de los interesados.
En definitiva, tal y como se expone en los fundamentos de derecho de esta resolución,
dichos hechos suponen una vulneración, del artículo 5.1 a) y del artículo 5.2 del
RGPD.
En relación con dichas supuestas infracciones, el RGPD en su artículo 83.5 dispone:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20 000 000 EUR como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4 %
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
A la vista de las circunstancias que concurren en el caso examinado y de la gravedad
de los hechos, no cabe considerar que ninguna de las dos sanciones (multa de
2.500.000 de euros, como consecuencia de la vulneración del artículo 5.1 a) del RGPD
y multa de 2.500.000 de euros, como consecuencia de la vulneración del artículo 5.2
del RGPD) resulten desproporcionadas.
Tal y como se ha indicado anteriormente, los hechos examinados en el presente
expediente sancionador revisten una extraordinaria gravedad y ambas sanciones se
ajustan a los límites previstos en el artículo 83. 5 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
149/227
A mayor abundamiento, a la hora de calcular el importe de la sanción, se han tenido en
cuenta tanto el tamaño de la parte reclamada como su volumen de negocio, tal y como
se refleja en el antecedente décimo de esta resolución.
Alega la parte reclamada que a la hora de hablar de supuestos beneficios se tiene que
hacer referencia a ella y no a las comisiones percibidas por Nivalco.
En este sentido, en el escrito de Enérgya-VM dirigido a la Dirección General de la
Policía (…), dando respuesta a una solicitud de información de 6 de noviembre de
2019 sobre la auditoría realizada por Enérgya-VM sobre las contrataciones de Nivalco
durante los meses de julio, agosto y septiembre de 2019, se indica:
“(…).”
Por otra parte, “Las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD”
Versión 2.0 Adoptadas el 24 de mayo de 2023 contienen una previsión relativa a la
posibilidad de que la Autoridad de control reduzca el importe de la multa en base al
principio de incapacidad de pago. Si bien destacan que dicha reducción requiere
circunstancias excepcionales.
Conforme a las mencionadas Directrices es necesario que existan pruebas objetivas
de que la imposición de la multa pondría irremediablemente en peligro la viabilidad
económica de la empresa afectada. Además, prevén que los riesgos deban analizarse
en un contexto social y económico específico.
En el escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023 Enérgya-VM al
analizar la supuesta vulneración del principio de proporcionalidad afirma lo siguiente:
“123.1 Las supuestas conductas infractoras son aisladas. Los hechos
enjuiciados devienen de conductas ilícitas de un proveedor de servicios
concreto y en ningún caso están relacionadas con los procesos o políticas de
Enérgya.”
Si bien es cierto que este expediente se centra en los tratamientos de datos
personales realizados por un encargado del tratamiento concreto de Enérgya-VM
(Nivalco), en el mismo también se reflejan aspectos que afectan a los procesos o
políticas de Enérgya-VM en materia de protección de datos. Sirva de ejemplo, el
argumentario de venta (también denominado Script de Venta VM), que será analizado
en el fundamento de derecho IX. Dicho script es elaborado por Enérgya-VM y debe ser
seguido por sus encargados del tratamiento, no sólo por Nivalco.
Por otra parte, este expediente ha puesto de manifiesto la ausencia de unos controles
adecuados y efectivos por parte de Enérgya-VM con respecto a sus encargados del
tratamiento. Las medidas adoptadas para garantizar que los datos personales
aportados por sus encargados tenían un origen lícito y que el tratamiento de datos que
realizaban cumplía con el RGPD fueron insuficientes. Incumbe al responsable del
tratamiento de datos personales establecer los procedimientos y políticas en relación
con sus encargados de forma proactiva, sin embargo, Enérgya-VM sólo adoptó
medidas reactivas según fueron sucediendo los hechos y exclusivamente respecto de
los clientes que habían contratado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
150/227
En este punto, se analizan los controles establecidos una vez que la parte reclamada
constató, a través de la auditoría realizada por (...), que los tratamientos efectuados
por Nivalco se habían llevado a cabo con información confusa, insuficiente o engañosa
(hecho probado trigésimo noveno). El sistema de control establecido ((…)) no fue
eficaz, se trataba de un control a posteriori que permitía que el encargado del
tratamiento (Nivalco) continuara utilizando datos personales y realizando captaciones
de potenciales clientes sin respetar lo dispuesto en el RGPD.También lo corroboran
así los 30 expedientes relativos a las contrataciones de los CUPS realizadas por el
Canal Nivalco aportados por la CNMC a esta Agencia (hecho probado sexagésimo),
que pasaron el filtro del sistema de verificación del consentimiento sin que se
detectara la información engañosa gracias a la cual los comerciales de Nivalco habían
captado a los clientes potenciales y habían conseguido que les facilitaran sus datos de
carácter personal.
Todo lo expuesto lleva a pensar, que no estamos ante un caso puntual, como pretende
dar a entender Enérgya-VM, sino ante la forma habitual en la que Enérgya-VM
controlaba la actuación de sus encargados del tratamiento. Enérgya-VM disponía de
las grabaciones sobre la contratación que aportaba Nivalco y no realizó ninguna
verificación o comprobación para asegurarse que su encargado estaba cumpliendo
con el RGPD, o al menos que estaba actuando conforme a sus instrucciones.
En relación con las críticas a las circunstancias agravantes que figuran en el acuerdo
de inicio y los argumentos defendiendo la posible aplicación de circunstancias
atenuantes, esta Agencia se remite a lo expuesto en el fundamento de derecho XIII. A
lo que cabe añadir, que, dado el elevado número de afectados en este procedimiento y
los perjuicios ocasionados a los mismos, de los que son reflejo los hechos probados
cuadragésimo sexto, cuadragésimo noveno, sexagésimo, sexagésimo primero y
sexagésimo segundo, no cabe considerar dicha circunstancia como atenuante, tal y
como pretende la parte reclamada.
En conclusión, por los motivos expuestos, se rechaza la alegación relativa a la
supuesta falta de proporcionalidad del importe de las multas contempladas en este
expediente.
VII
Sobre las circunstancias de graduación de la sanción
Sobre este particular, en su escrito de alegaciones al acuerdo de inicio de 7 de junio
de 2023, Enérgya-VM destaca:
“154 Teniendo en cuenta que la infracción del artículo 73, apartados f) y k) está
tipificada como grave y la del artículo 74.a) como leve, en este punto es
esencial exponer y desarrollar los límites económicos que deberían aplicarse a
las mencionadas conductas. En particular, el artículo 78 de la LOPDGDD
establece determinados tramos para graduar las sanciones en función de su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
151/227
gravedad que vienen a complementar los límites máximos establecidos en el
artículo 83 del RGPD. Dichos tramos son los que a continuación exponemos:
154.1 Las infracciones calificadas como leves por la LOPDGDD están sujetas a
un límite máximo de 40.000 euros.
154.2 Las infracciones calificadas como graves por la LOPDGDD deben
circunscribirse al tramo comprendido entre 40.001 y 300.000 euros.
154.3 Las infracciones calificadas como muy graves por la LOPDGDD podrán
superar los 300.000 euros.
155 Sentado lo anterior, en el supuesto de que la AEPD opte por sancionar a
Enérgya, la cuantía de la multa debería circunscribirse a los tramos enunciados
en el párrafo anterior teniendo en cuenta lo siguiente:
155.1 La supuesta infracción del principio de transparencia y lealtad, tal y como
se ha evidenciado, únicamente podría llegar a circunscribirse en el tipo
establecido en el artículo 74.a) de la LOPDGDD en cuanto que, como mucho,
Enérgya habría incumplido el principio de transparencia no proporcionando
toda la información exigida por el RGPD a los interesados. Por esta supuesta
infracción la multa debería ascender a un máximo de 40.000 euros.
155.2 Por su parte, la supuesta infracción del principio de responsabilidad
proactiva, atendiendo al principio de tipicidad, debería subsumirse en las
infracciones tipificadas en los artículos 73.f) y 73.k) de la LOPDGDD. Todo ello
atendiendo a la propia argumentación de la AEPD en la página 72 del Acuerdo
de Inicio. Así, por estas supuestas infracciones la multa debería ascender a un
máximo de 300.000 euros por cada una de ellas.
156 Por lo tanto, la sanción máxima a la que se debería exponer Enérgya es
de 640.000 euros, todo ello teniendo en cuenta el ya expuesto y desarrollado
principio de tipicidad. Cuantía muy alejada de los 5.000.000 euros propuestos
por la AEPD en el Acuerdo de Inicio”
No se comparte la graduación alternativa incluida por Enérgya-VM en su escrito de
alegaciones al acuerdo de inicio. El artículo 78 de la LOPDGDD sólo establece
determinadas cuantías a efectos de prescripción de las sanciones, como se desprende
del propio epígrafe del artículo 78 “prescripción de las sanciones”. El importe de las
sanciones se establece en el artículo 83 del RGPD y así se confirma en el propio art.
78 de la LOPDGDD cuyo apartado 1 determina que las sanciones se impondrán
aplicando el RGPD,
“1. Las sanciones impuestas en aplicación del Reglamento (UE) 2016/679 y de
esta ley orgánica prescriben en los siguientes plazos (,,,)”
La multa que se propone para cada una de dichas infracciones respeta los límites
previstos en el RGPD, tal y como se acaba de exponer en el fundamento de derecho
VI y se destaca en los fundamentos de derecho XII y XIII.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
152/227
En su escrito de alegaciones al acuerdo de inicio, Enérgya-VM menciona una relación
de circunstancias que, en su opinión, rebajarían el importe de las sanciones y que
considera aplicables a su caso:
1. El grado de cooperación con la AEPD (artículo 83.2 f del RGPD).
2. No haberse visto afectadas categorías de datos especialmente protegidos
(artículo 83.2 g) del RGPD).
3. Los hechos no han tenido carácter continuado en el tiempo, sino una
duración limitada (artículo 83.2 a) del RGPD y 76.2 a) de la LOPDGDD).
4.La parte reclamada ha adoptado medidas para paliar los daños y perjuicios
sufridos por los interesados (artículo 83.2 c) del RGPD).
5.Enérgya-VM no ha cometido ninguna infracción anterior de la misma
naturaleza (artículo 83.2 e) del RGPD).
6.No ha habido intencionalidad (artículo 83.2 b) del RGPD).
7.No se han visto afectados derechos de menores (artículo 76. 2 f) del RGPD).
1. En relación con el grado de cooperación con la AEPD (artículo 83.2 f del RGPD),
Enérgya-VM alega:
“(…):Enérgya, en todo momento y desde el inicio de su relación contractual
con Nivalco, ha cooperado, no sólo con la AEPD, sino con la Administración en
su conjunto. Prueba de ello son las nutridas respuestas proporcionadas por
Enérgya tanto a la CNMC como a la propia AEPD durante las actuaciones
previas de investigación. Pero es que, a mayor abundamiento, Enérgya ha
iniciado, de oficio, actuaciones que evidencian dicho elevado grado de
cooperación. Nos referimos a la denuncia de los hechos en sede penal en la
que la Fiscalia mantiene como perjudicado y denunciante a Energya.
Precisamente, la AEPD en el Expediente del presente Procedimiento incluye
senda información y documentación proporcionada por Enérgya, lo que
evidencia la intención de la Sociedad de cooperar y ayudar a la determinación
de los hechos.”
En relación con esta cuestión, “las Directrices 04/2022 sobre el cálculo de las multas
bajo el RGPD” Versión 2.0 Adoptadas el 24 de mayo de 2023, prevén que:
“96. Antes de seguir evaluando el nivel de cooperación que el responsable o el
encargado del tratamiento haya establecido con la autoridad de control, debe
reiterarse que la obligación general de cooperar incumbe al responsable y al
encargado con arreglo al artículo 31 del RGPD, y que la falta de cooperación
puede dar lugar a la aplicación de la multa prevista en el artículo 83, apartado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
153/227
4, letra a), del RGPD. Por lo tanto, debe considerarse que el deber ordinario de
cooperación es obligatorio y, por lo tanto, debe considerarse neutral (y no un
factor atenuante).”
En consecuencia, no cabría considerar el factor atenuante alegado por la parte
reclamada.
2. En cuanto a no haberse visto afectadas categorías de datos especialmente
protegidos (artículo 83.2 g) del RGPD), alega Enérgya-VM:
“157.2 No se han visto afectadas categorías de datos especialmente
protegidas [artículo 83.2.g) del RGPD]: La normativa de protección de datos en
general y el RGPD en particular llevan a cabo una clara diferenciación entre los
requisitos, formalismos y consecuencias que conlleva el tratamiento de
categorías especiales de datos personales. Existiendo esta clara
diferenciación, la AEPD no puede obviar el hecho de que los datos personales
afectados por las supuestas infracciones son datos identificativos, de contacto
y de facturación. En ningún supuesto se han producido tratamientos de datos
sobre información personal que pudiese suponer un riesgo sobre los derechos
fundamentales de los interesados en los términos establecidos en el artículo 9
del RGPD.
”
“Las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD” Versión 2.0
Adoptadas el 24 de mayo de 2023, disponen:
“4.2.3 — Categorías de datos personales afectados 57. En cuanto al requisito
de tener en cuenta las categorías de datos personales afectadas (artículo 83,
apartado 2, letra g) del RGPD), el RGPD destaca claramente los tipos de datos
que merecen una protección especial y, por lo tanto, una respuesta más
estricta en términos de multas. (…)” (el subrayado es nuestro).
En consecuencia, se trata de una posible circunstancia agravante, pero no implica ni
permite, como pretende la parte reclamada, su aplicación como factor atenuante.
3. En relación con la alegación relativa a que los hechos no han tenido carácter
continuado en el tiempo, sino una duración limitada (artículo 83.2 a) del RGPD y 76.2
a) de la LOPDGDD), la parte reclamada afirma:
“157.3 Los hechos que dan lugar al presente procedimiento no han tenido un
carácter continuado en el tiempo, sino que han tenido una duración limitada en
el tiempo [artículos 83.2.a) del RGPD y 76.2.a) de la LOPDGDD]: a este
respecto, cabe destacar que los hechos acontecidos transcurrieron entre el 1
de julio del año 2019 y el 28 de mayo de 2019, fecha en la que Enérgya remitió
la carta de resolución contractual a Nivalco. La AEPD propone interponer una
de las sanciones más altas de la trayectoria sancionadora de la propia Agencia
por un tratamiento de datos localizado en un periodo de tiempo
extremadamente limitado y que, adicionalmente, cesó hace prácticamente tres
años. Más aún, las sanciones de cuantías similares interpuestas por la AEPD a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
154/227
otras compañías se referían a hechos más extendidos en el tiempo, lo que
supone otra clara muestra de la desproporción de la sanción y de la necesidad
observar la presente atenuante.”
Se exponen en el fundamento de derecho XIII los motivos por los que cabe entender
que concurre apreciar un carácter continuado en la infracción.
Por otra parte, el importe de las multas deriva de la extraordinaria gravedad de los
hechos que se están siendo examinandos en este expediente sancionador.
4. Enérgya- VM alega que ha adoptado medidas para paliar los daños y perjuicios
sufridos por los interesados (artículo 83.2 c) del RGPD), indicando:
“(…) esto incluye, tal y como se ha puesto de manifiesto en reiteradas
ocasiones, entre otras: la contratación de un auditor externo, la implementación
de medidas adicionales de control con (…) por un entidad externa neutral, y la
interposición de una denuncia en sede penal.”
Enérgya-VM fue alertada por (...) los días 9 y 10 de septiembre de 2019 de los
problemas existentes en las captaciones de nuevos clientes por parte de su encargado
del tratamiento Nivalco.
(...) amenazó a la parte reclamada con actuaciones en vía judicial y ante las
autoridades competentes en materia de la defensa de la competencia y de la
protección de datos (hechos probados segundo, quinto y noveno). En dicha situación,
Enérgya-VM inició una investigación interna y asumió el compromiso de denunciar a
las personas implicadas.
Enérgya-VM optó por mantener el contrato con Nivalco, permitir que su encargado del
tratamiento continuara contactando con sus clientes potenciales, a pesar de todas las
señales de alarma que le iban llegando por distintas vías en cuanto al modo en que
dicho encargado realizaba el tratamiento de los datos de carácter personal.
En lugar de ir a la raíz del problema y ejercer un control exhaustivo sobre la
procedencia de los datos utilizados en la campaña telefónica y en las contrataciones
realizadas por Nivalco, y no sólo respecto del dato de la cuenta bancaria, o sobre el
contenido de las grabaciones de voz del proceso de contratación que le facilitaba su
encargado del tratamiento, decidió, tal y como se analizará en el fundamento de
derecho XI, establecer un control a posteriori y limitado a las contrataciones,
externalizado en (...), dudosamente eficaz y que adolecía importantes carencias desde
el punto de vista de los principios de lealtad y transparencia del artículo 5.1 a) del
RGPD.
A la vista de estas circunstancias, no cabe rebajar el importe de la sanción tal y como
la parte reclamada solicita.
5.Enérgya-VM alega no haber cometido ninguna infracción anterior de la misma
naturaleza (artículo 83.2 e) del RGPD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
155/227
La parte reclamante, en su escrito de alegaciones a la propuesta de resolución,
destaca:
“(…) En particular, la AEPD ha ignorado (de manera injusta) como factor
atenuante que Enérgya jamás ha sido sancionada por la AEPD ni ha sido
denunciada por los clientes supuestamente afectados. No es de recibo que una
empresa con una reputación intachable fruto del esfuerzo en el cumplimiento
del RGPD (y jamás sancionada) sea, de primeras, objeto de una multa tan
elevada a causa del engaño efectuado por un tercero. Si no se aplica en este
caso como factor atenuante el art. 83.2.e) RGPD, ejemplo paradigmático de
primera eventual sanción, ¿cuándo se puede aplicar? Como ya se puso de
manifiesto en las Alegaciones al Acuerdo de Inicio, la compañía (...) ha sido
objeto de sanciones progresivas por motivos similares. Así, con anterioridad a
la imposición de dos sanciones de 1.500.000 de euros cada una (Resolución
en los procedimientos sancionadores Nº PS/00236/202016 y Nº:
PS/00037/202017), (...) recibió diversas notificaciones y sanciones previas,
como puede acreditarse de la sanción impuesta por importe de 75.000 euros
mediante la Resolución en el procedimiento Nº PS/00025/2019 18 o la sanción
de 40.001€ impuesta mediante la Resolución en el procedimiento Nº
PS/00363/201819. ¿Qué tiene (...) que no tenga Enérgya? Es incomprensible
esta violación de la seguridad jurídica y el principio de igualdad. Esta atenuante
debe ser aplicada, en caso de que esta Agencia considere que ha existido
alguna actuación ilícita (quod non) por parte de Enérgya.”
Enérgya-VM, en su escrito de alegaciones al acuerdo de inicio, solicitaba que fuera
aplicado como atenuante lo previsto en el 83.2 e) del RGPD. Dicha alegación fue
rechazada en la propuesta de resolución y vuelve a serlo, por los motivos que se
exponen a continuación:
En relación con la ausencia de antecedentes de infracciones cometidas con
anterioridad, la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec.
1437/2020, nos suministra la contestación:
“Considera, por otro lado, que debe apreciarse como atenuante la no comisión
de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que
debe tenerse en cuenta para la imposición de la multa administrativa, entre
otras, la circunstancia “e) toda infracción anterior cometida por el responsable o
el encargado del tratamiento". Se trata de una circunstancia agravante, el
hecho de que no concurra el presupuesto para su aplicación conlleva que no
pueda ser tomada en consideración, pero no implica ni permite, como pretende
la actora, su aplicación como atenuante”. (el subrayado es nuestro).
A mayor abundamiento, “las Directrices 04/2022 sobre el cálculo de las multas bajo el
RGPD” Versión 2.0 Adoptadas el 24 de mayo de 2023, disponen que:
“94. La existencia de infracciones anteriores puede considerarse un factor
agravante en el cálculo de la multa. El peso dado a este factor debe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
156/227
determinarse teniendo en cuenta la naturaleza y la frecuencia de las
infracciones anteriores. Sin embargo, la ausencia de infracciones anteriores no
puede considerarse un factor atenuante, ya que el cumplimiento del RGPD es
la norma. Si no hay infracciones anteriores, este factor puede considerarse
neutral.” (el subrayado es nuestro).
Tal y como destacan las Directrices 04/2022, el cumplimiento de lo dispuesto en el
RGPD implica respetar el marco normativo establecido, circunstancia que no cabe
considerar como atenuante.
En relación con las referencias a las sanciones impuesta por la AEPD a otra empresa
del mercado eléctrico, el artículo 83 del RGPD dispone:
“Artículo 83
Condiciones generales para la imposición de multas administrativas
1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del
presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso
individual efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas
contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se
tendrá debidamente en cuenta:”
Tal y como se ha expuesto en esta resolución, a la hora de fijar el importe de las
sanciones a imponer por la vulneración de los artículos 5.1 a) y 5.2 del RGPD se ha
tenido en cuenta la extraordinaria gravedad de las circunstancias que concurrían en
este expediente concreto, no estando vinculada la Agencia por lo que haya acordado
en otros expedientes sancionadores distintos, que afectan a empresas diferentes y
que fueron dictados atendiendo a los casos particulares concretos, distintos del
examinado en este procedimiento sancionador.
El artículo 83 del RGPD no establece la obligación de que las autoridades de control
tengan que seguir un esquema de sanciones progresivas, como pretende dar a
entender la parte reclamada, sino que la imposición de las multas administrativas se
realice atendiendo al caso individual considerado, resultando efectivas,
proporcionadas y disuasorias.
A lo expuesto hasta el momento, cabe añadir que en los expedientes relativos a (...),
mencionados en las alegaciones formuladas por la parte reclamada, las sanciones
difieren debido a las circunstancias de los casos concretos analizados. En unos casos,
se produce una única reclamación y se considera que se ha infringido un único artículo
de la normativa de protección de datos, mientras que, en el último expediente
mencionado, son varias las reclamaciones recibidas y también son varios los artículos
del RGPD que se entienden infringidos. No cabe, por tanto, entender que la AEPD
haya aplicado en relación con dicha empresa un criterio gradual a la hora de
determinar el importe de las sanciones, como pretende dar a entender Enérgya-VM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
157/227
Por los motivos expuestos, no cabe apreciar el supuesto factor atenuante invocado por
la parte reclamada.
6. En relación con la ausencia de intencionalidad (artículo 83.2 b) del RGPD),
Enérgya-VM alega:
“157.6 No ha habido intencionalidad [artículo 83.2.b) del RGPD]: de
conformidad con lo expuesto en el párrafo 146 y siguientes, no se puede
apreciar intencionalidad en la conducta de Enérgya en la medida en que: (i) ha
quedado evidenciada su actuación más que diligente; y (ii) en ningún caso
puede considerarse que Enérgya haya actuado de forma negligente. Todo ello,
teniendo en cuenta que durante toda su relación con Nivalco implementó
diversas medidas con la finalidad de atajar las incidencias detectadas y mejorar
los procesos de contratación. Es necesario destacar que la ausencia de
intencionalidad por parte de Enérgya se viene evidenciando desde el inicio de
la relación contractual (momento en el que Enérgya requirió el Certificado de
Licitud), así como a lo largo de la misma, hasta el momento de la resolución.”
No cabe apreciar el factor atenuante invocado, ya que se considera que Enérgya-VM
ha incurrido en una actuación que cabe calificar como negligencia grave, tal y como se
expone en el fundamento de derecho XIII.
7. Enérgya-VM alega un último factor atenuante:
“157.7 No se han visto afectados los derechos de los menores [artículo 76.2.f)
de la LOPDGD].”
Una vez más, se trata de una posible circunstancia agravante, el hecho el presupuesto
para su aplicación conlleva que no puede ser tomada en consideración, pero no
implica ni permite, como pretende Enérgya-VM, su aplicación como factor atenuante.
En conclusión, no procede la aplicación de ninguna de las supuestas circunstancias
atenuantes alegadas por Enérgya-VM.
VIII
Supuesta vulneración del principio de contradicción y generación de indefensión a la
parte reclamada en fase de prueba
En el escrito de 31 de octubre de 2023, por el que Enérgya-VM da respuesta a la
práctica de prueba I, formula una serie de alegaciones relativas a la práctica de la
prueba, al considerar que se habría vulnerado el principio de contradicción y que se
habría generado indefensión a la parte reclamada.
En síntesis, Enérgya-VM destaca que ha tenido conocimiento de determinadas
actuaciones de investigación llevadas a cabo por parte de la AEPD sin que se le hayan
notificado en calidad de investigado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
158/227
Menciona el requerimiento remitido por la AEPD a la empresa (...), solicitando
aclaraciones sobre la relación comercial existente entre estas dos mercantiles.
Requerimiento al que Enérgya no habría tenido acceso, pero de cuya existencia sí que
había tenido conocimiento.
Considera Enérgya-VM que se habría producido una infracción del principio de
contradicción. Asimismo, destaca:
“(…) el hecho de que la AEPD no haya incluido la información recabada por
estos medios en el Expediente de forma oficial, supone una indefensión clara
de los derechos de Enérgya en cuanto que merma su posibilidad de
defenderse.”
En opinión de Enérgya-VM, las indagaciones respecto a la auditoría de (...) deberían
haberse realizado durante las actuaciones previas de investigación y no en fase de
prueba.
Posteriormente, en el escrito de alegaciones a la propuesta de resolución, Enérgya-
VM insiste en la supuesta infracción del principio de contradicción.
“151. En este punto, interesa a Enérgya destacar otro claro defecto del que
adolece el procedimiento y cuya concurrencia ha sido valorada erróneamente
por la AEPD. Como ya puso de manifiesto Enérgya en la respuesta al
requerimiento de información que da inicio al periodo de práctica de prueba, el
hecho de que la AEPD se haya dirigido a la empresa (...) para recabar
supuestas pruebas acerca de la actividad de Enérgya en el marco del
Procedimiento, todo ello sin que Enérgya en calidad de investigada haya sido
notificada, supone de manera clara una infracción de este principio de
contradicción.
152. Expone la AEPD en la Propuesta de Resolución que “No se entiende
vulnerado el principio de contradicción cuando la parte reclamada puede tener,
a través del trámite de audiencia acceso al expediente y mediante la presente
propuesta conocimiento de las posibles infracciones que se le imputan, así
como la posibilidad de formular las alegaciones que estime oportunas”. Parece,
por tanto, que la Agencia invita al investigado a estar de forma constante
haciéndose valer del trámite de audiencia para conocer su situación en relación
con el estado de un procedimiento en el que es parte. Esto, no sólo es poco
operativo desde una perspectiva práctica, sino que supone un traslado de
responsabilidad de forma arbitraria al investigado, el cual genera gran
inseguridad jurídica en la forma de tramitar los procedimientos sancionadores
por parte de la AEPD, lo que en última instancia revierte en una vulneración del
derecho a la tutela judicial efectiva de Enérgya ex artículo 24 de la Constitución
Española.”
Asimismo, la parte reclamada afirma:
“(…) el recurso por la AEPD a la hora de argumentar la supuesta (quod non)
incorrección del (…), a evidencias reca evidencias recabadas en vulneración
del principio de contradicción al haberse obtenido supuestas pruebas de (...)
sin haber notificado a Enérgya como investigado ni haberle dado oportunidad
de alegar lo que a su derecho conviniera en dicho momento, o haberle
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
159/227
permitido ser consciente siquiera de la existencia de dichas pruebas
supuestamente incriminatorias, en infracción del art. 24 de la CE, y por tanto
darse una causa de nulidad de pleno derecho del acto administrativo de
acuerdo con el art. 47.1.a) de la LPACAP.”
No se comparte la opinión de Enérgya-VM.
El artículo 77 de la LPACAP, ampara que el instructor del procedimiento pueda
practicar cuantas pruebas juzgue pertinentes, en caso de no tener por ciertos los
hechos alegados por los interesados o si la naturaleza del procedimiento lo exigiera, al
prever:
“2. Cuando la Administración no tenga por ciertos los hechos alegados por los
interesados o la naturaleza del procedimiento lo exija, el instructor del mismo
acordará la apertura de un período de prueba por un plazo no superior a treinta
días ni inferior a diez, a fin de que puedan practicarse cuantas juzgue
pertinentes.”
Enérgya-VM aportó, junto con su escrito de alegaciones al acuerdo de inicio, un
certificado de (...) de fecha 23 de mayo de 2023. Tras analizar dicho elemento
probatorio, aportado por la parte reclamada, se consideró necesario recabar nueva
información de (...), empresa que había expedido dicho certificado, y que podía facilitar
la información que se consideraba necesario obtener.
Durante el trámite de audiencia al acuerdo de inicio, la parte reclamada tuvo acceso al
expediente y formuló las alegaciones que estimó oportunas. Posteriormente, le ha sido
remitida la propuesta de resolución, pudiendo conocer, tras la realización de la fase de
prueba, las posibles infracciones que se le imputaban y teniendo una nueva
oportunidad de formular las alegaciones que estimase oportunas.
Para que se produjera indefensión, sería necesario acreditar que se ha producido una
indefensión de carácter material y no meramente formal.
Hay que traer a colación la Sentencia de la Audiencia Nacional de su Sala de lo
Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la
cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006,
Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional,
para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso
que no se trate de meras irregularidades procedimentales, sino de defectos que
causen una situación de indefensión de carácter material, no meramente formal, esto
es, que las mismas hayan originado al recurrente un menoscabo real de su derecho
de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio,
212/1994, de 13 de julio y 78/1999, de 26 de abril)”.
Es decir, es necesario que el interesado se vea, en efecto, en una situación de
indefensión, siendo preciso que la indefensión sea material y no meramente formal
(Sentencias del Tribunal Constitucional 90/1988, 181/1994, 314/1994, 15/1995,
126/1996, 86/1997 y 118/1997, entre otras), lo que implica que el citado defecto haya
causado un perjuicio real y efectivo para el demandado en sus posibilidades de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
160/227
defensa (Sentencias del Tribunal Constitucional 43/1989, 101/1990, 6/1992 y
105/1995, entre otras).
En las distintas fases del procedimiento, incluida la fase de prueba, Enérgya-VM ha
formulado las alegaciones en defensa de sus intereses, por lo que, en modo alguno,
se ha visto menoscabado el ejercicio de su derecho de defensa.
Por los motivos expuestos, tampoco cabe admitir que concurra una causa de nulidad
de pleno derecho, como pretende la parte reclamada.
IX
Supuesta existencia de un concurso medial
Alega la parte reclamada que debería aplicarse la regla del concurso de infracciones.
En su opinión, unos hechos, que activan una primera infracción, son paso previo de
una segunda infracción.
Energya-VM afirma que el RGPD no contiene ninguna previsión referida al concurso
de infracciones medial, existiendo una laguna legal. En opinión de la parte reclamada,
el artículo 83.3 del RGPD tampoco regula esta cuestión.
La parte reclamada considera que, para cubrir dicha laguna, las Directrices 04/2022
del CEPD sobre el cálculo de multas administrativas bajo el RGPD acuden a las
“tradiciones de los Estados miembros en materia de concursos según la jurisprudencia
del TJUE” En este sentido, reproduce varios párrafos de las Directrices 04/2022 del
CEPD relativos a la aplicación al derecho nacional de los Estados miembros.
La parte reclamada afirma que la AEPD ha admitido en el pasado que el
incumplimiento derivado de la falta de responsabilidad proactiva debía subsumirse en
el mismo (Resolución Nº R/02125/2015). Según Enérgya-VM, únicamente se le podría
sancionar, en su caso, por un incumplimiento de la infracción inicial o paso previo de la
otra, pero no por la segunda infracción, consecuencia de la primera.
Considera que la argumentación de la AEPD relativa a que el sistema del RGPD es
cerrado y completo no se sostiene.
Enérgya-VM afirma que el RGPD tiene vacíos, incluso en el ámbito sancionador,
considerando que los Estados miembros pueden y deben cubrirlos. Cita como ejemplo
la previsión contemplada en la LOPDGDD relativa a los periodos de prescripción de
las infracciones.
Con ello, afirma demostrar que el sistema del RGPD no es cerrado y considera que
para lo no previsto en el mismo se debe acudir al derecho nacional (artículo 29.5
LRJSP).
Cita una sentencia de la Audiencia Nacional y hace referencia al PS/00240/2019.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
161/227
Según Enérgya-VM, los incumplimientos del artículo 5.1 a) y 5.2 del RGPD no serían
autónomos, considerando que existe una relación de causalidad entre ambos.
Destaca que, a pesar de no reconocer haber cometido ninguna infracción, si la parte
reclamada hubiese adoptado medidas de responsabilidad proactiva suficientes, no se
habría vulnerado el artículo 5.1 a) del RGPD.
A continuación, hace referencia a distintos párrafos de la propuesta de resolución e
incluye una tabla para analizar la supuesta vinculación existente en el expediente entre
los artículos 5.1 a) y 5.2 del RGPD.
Afirma la parte reclamada, que el escrito de alegaciones destaca que el principio de
responsabilidad proactiva es un principio que nutre y se desarrolla en el conjunto de
obligaciones y principios previstos en el RGPD (su cumplimiento consiste en cumplir
con el resto de principios y ser capaz de probarlo).
Según la parte reclamada, dicho principio actuaría como una suerte de “vacuna”
pautada por el RGPD, cuyo objeto sería implementar mecanismos y crear condiciones
tales que se evitasen la infracción, especialmente de los principios del artículo 5.1 del
RGPD.
Finalmente, Enérgya-VM afirma que, aun negando la existencia de ninguna infracción,
la primera (principio de responsabilidad proactiva) sería un paso previo y necesario de
la otra (artículo 5.1 a) del RGPD), existiendo un concurso medial de infracciones.
Entiende la parte reclamada que, en su caso, solo podría ser sancionada por la
infracción del artículo 5.2 del RGPD.
En respuesta a dicha alegación, cabe destacar lo siguiente:
El artículo 29 de la LRJSP no resulta de aplicación al régimen sancionador impuesto
por el RGPD.
1.El RGPD es un sistema completo.
El RGPD es una norma europea directamente aplicable en los Estados miembros, que
contiene un sistema nuevo, completo y global destinado a garantizar la protección de
datos de carácter personal de manera uniforme en toda la Unión Europea.
En relación, específicamente y también, con el régimen sancionador dispuesto en el
mismo, resultan de aplicación sus disposiciones de manera inmediata, directa e
íntegra previendo un sistema completo y sin lagunas que ha de entenderse,
interpretarse e integrarse de forma absoluta, completa, íntegra, dejando así indemne
su finalidad última que es la garantía efectiva y real del derecho fundamental a la
Protección de Datos de Carácter Personal. Lo contrario determina la merma de las
garantías de los derechos y libertades de los ciudadanos.
De hecho, una muestra específica de la inexistencia de lagunas en el sistema del
RGPD es el artículo 83 del RGPD que determina las circunstancias que pueden operar
como agravantes o atenuantes respecto de una infracción (art. 83.2 del RGDP) o que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
162/227
especifica la regla existente relativa a un posible concurso medial (art. 83.3 del
RGPD).
A lo anterior hemos de sumar que el RGPD no permite el desarrollo o la concreción de
sus previsiones por los legisladores de los Estados miembros, a salvo de aquello que
el propio legislador europeo ha previsto específicamente, delimitándolo de forma muy
concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La LOPDGDD sólo
desarrolla o concreta algunos aspectos del RGPD en lo que este le permite y con el
alcance que éste le permite.
Ello es así porque la finalidad pretendida por el legislador europeo es implantar un
sistema uniforme en toda la Unión Europea que garantice los derechos y libertades de
las personas físicas, que corrija comportamientos contrarios al RGPD, que fomente el
cumplimiento, que posibilite la libre circulación de estos datos.
En este sentido, el considerando 2 del RGPD determina que,
“(2) Los principios y normas relativos a la protección de las personas físicas en
lo que respecta al tratamiento de sus datos de carácter personal deben,
cualquiera que sea su nacionalidad o residencia, respetar sus libertades y
derechos fundamentales, en particular el derecho a la protección de los datos
de carácter personal. El presente Reglamento pretende contribuir a la plena
realización de un espacio de libertad, seguridad y justicia y de una unión
económica, al progreso económico y social, al refuerzo y la convergencia de
las economías dentro del mercado interior, así como al bienestar de las
personas físicas”. (el subrayado es nuestro)
Sigue indicando el considerando 13 del RGPD que,
“(13) Para garantizar un nivel coherente de protección de las personas físicas
en toda la Unión y evitar divergencias que dificulten la libre circulación de datos
personales dentro del mercado interior, es necesario un reglamento que
proporcione seguridad jurídica y transparencia a los operadores económicos,
incluidas las microempresas y las pequeñas y medianas empresas, y ofrezca a
las personas físicas de todos los Estados miembros el mismo nivel de
derechos y obligaciones exigibles y de responsabilidades para los
responsables y encargados del tratamiento, con el fin de garantizar una
supervisión coherente del tratamiento de datos personales y sanciones
equivalentes en todos los Estados miembros, así como la cooperación efectiva
entre las autoridades de control de los diferentes Estados miembros. El buen
funcionamiento del mercado interior exige que la libre circulación de los datos
personales en la Unión no sea restringida ni prohibida por motivos relacionados
con la protección de las personas físicas en lo que respecta al tratamiento de
datos personales”. (el subrayado es nuestro)
En este sistema, lo determinante del RGPD no son las multas. Los poderes correctivos
de las autoridades de control previstos en el art. 58.2 del RGPD conjugado con las
disposiciones del art. 83 del RGPD muestran la prevalencia de medidas correctivas
frente a las multas.
Así, el art. 83.2 del RGPD dice que “Las multas administrativas se impondrán, en
función de las circunstancias de cada caso individual, a título adicional o sustitutivo de
las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j).”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
163/227
De esta forma las medidas correctivas, previstas en el art. 58, apartado 2, letras a) a h)
y j) de RGPD, tienen prevalencia en este sistema, quedando relegada la multa
económica a supuestos en los que las circunstancias del caso concreto determinen
que se imponga una multa junto con las medidas correctivas o en sustitución de las
mismas,
Y todo ello con la finalidad de forzar el cumplimiento del RGPD, evitar el
incumplimiento, fomentar el cumplimiento y que la infracción no resulte más rentable
que el incumplimiento.
Por ello, el art. 83.1 del RGPD previene que “Cada autoridad de control garantizará
que la imposición de las multas administrativas con arreglo al presente artículo por las
infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en
cada caso individual efectivas, proporcionadas y disuasoria”.
Las multas han de ser efectivas, proporcionadas y disuasorias para la consecución de
la finalidad pretendida por el RGPD.
Para que dicho sistema funcione con todas sus garantías es necesario que varios
elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas
al RGPD respecto de la determinación de las multas en cada uno de los Estados
miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o
atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español-, ya sea
por la aplicación de un concurso medial distinto del dispuesto en el RGPD, restaría
efectividad al sistema que perdería su sentido, su finalidad teleológica, resultando que
las multas impuestas por distintas infracciones dejarían de ser efectivas,
proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados
de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme
del RGPD. Se disminuirían los mecanismos de protección de los derechos y las
libertades de los ciudadanos y sería contrario con el espíritu del RGPD.
El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.
2.No hay laguna legal, no hay aplicación supletoria del art. 29 de la LRJSP.
Amén de lo expuesto, significar que no hay laguna legal respecto de la aplicación del
concurso medial previsto en el artículo 29 de la LRJSP. Ni el RGPD permite ni la
LOPDGDD dispone la aplicación supletoria de las previsiones del art. 29 de la LRJSP.
En el Título VIII de la LOPDGDD relativo a “Procedimientos en caso de posible
vulneración de la normativa de protección de datos”, el artículo 63 que abre el Título se
dispone que "Los procedimientos tramitados por la Agencia Española de Protección de
Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley
orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto
no las contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos.". Si bien existe una remisión clara a la LPACAP, no se
establece en absoluto una aplicación subsidiaria respecto de la LRJSP que no
contiene en su articulado disposición alguna relativa a procedimiento administrativo
alguno.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
164/227
De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos
en el art. 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por ende,
no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la aplicación de
apartado relativo al concurso medial y por idénticas razones.
El escrito de alegaciones a la propuesta de resolución elaborado por Enérgya-VM
insiste en la existencia de un claro caso de concurso medial.
La AEPD no ha indicado en ningún momento:
Que la aplicación del RGPD y de la LOPDGDD excluya en los procedimientos
sancionadores tramitados por la AEPD la consideración de la Jurisprudencia
existente.
Que no pueda existir en alguna ocasión, atendiendo siempre a las
circunstancias del caso concreto, concurso medial (aunque no sea el caso del
procedimiento ahora examinado).
Que a la AEPD no le resulte de aplicación la LRJSP.
Lo que la AEPD, afirma es que, dado que el RGPD tiene una regulación completa y
propia del principio de proporcionalidad, resultando que no existe laguna legal alguna,
no resulta de aplicación el artículo 29 de la LRJSP.
En consecuencia, cabe concluir la no aplicación del artículo 29 de la LRJSP, sino del
artículo 83 del RGPD en relación con el principio de proporcionalidad.
En relación con la cita de las Directrices 04/2022 del CEPD sobre el cálculo de multas
administrativas conforme al RGPD, en su versión 2.1, adoptadas el 24 de mayo de
2023, en su apartado 22 se hace referencia a tres tipos de concurrencias, a saber, de
infracción, unidad de acción y pluralidad de acciones: “Al examinar el análisis de las
tradiciones de los Estados miembros en materia de normas de concurrencia, tal como
se indica en la jurisprudencia del TJUE5 , y teniendo en cuenta los diferentes ámbitos
de aplicación y las consecuencias jurídicas, estos principios pueden agruparse
aproximadamente en las tres categorías siguientes: - Concurrencia de infracciones
(capítulo 3.1.1), - Unidad de acción (capítulo 3.1.2), - Pluralidad de acciones (capítulo
3.2).
En los supuestos de concurrencia de infracciones la previsión establecida al respecto
es la contenida en el artículo 83.3 del RGPD que establece un límite cuantitativo en
estos supuestos de concurrencia: “Si un responsable o un encargado del tratamiento
incumpliera de forma intencionada o negligente, para las mismas operaciones de
tratamiento u operaciones vinculadas, diversas disposiciones del presente
Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía
prevista para las infracciones más graves.” (el subrayado es nuestro).
Si admitiéramos el argumento esgrimido por Enérgya-VM, podría extraerse que la
aplicabilidad del concurso medial, referido a la aplicación preferente del artículo 29 de
la LRJSP, en su única pretensión de pagar una única multa en lugar de las dos
impuestas, desplazan o anulan la vigencia del art 83.3 RGPD, lo que resulta a todo
punto contrario por el ordenamiento jurídico.
Asimismo, en este momento hemos de recordar que la gravedad de las infracciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
165/227
del RGPD se determina en atención a las reglas establecidas en este y no en la
LOPDGDD. La tipificación de las infracciones se encuentra regulada en el artículo 83,
apartados 4, 5 y 6 del RGPD, mientras que la calificación de las infracciones como
muy graves, graves o leves a los solos efectos de la prescripción se dispone en los
artículos 72, 73 y 74 de la LOPDGDD.
Por último y no menos importante, la AEPD no sanciona por una misma ofensa, sino
que se han constatado a través de hechos probados, no rebatidos por Enérgya-VM, la
comisión de dos infracciones diferenciadas, tipificadas de forma diferenciada, no
existiendo, además, en el caso concreto, concurso medial.
Por todo lo expuesto, se desestima la presente alegación.
Por otra parte, esta Agencia, afirma que no cabe apreciar en este expediente concurso
medial. El incumplimiento del principio de lealtad y transparencia no excluye la
evaluación sobre el cumplimiento del principio de responsabilidad proactiva, que exige
que los responsables del tratamiento de datos apliquen medidas adecuadas y eficaces
para poner en práctica los principios y obligaciones derivados del RGPD y demostrar
que cumplen con el RGPD. En el caso examinado en el mismo se ha producido una
doble infracción del RGPD, al haberse vulnerado tanto del artículo 5.1 a) como del
artículo 5.2.
En el fundamento de derecho XI se exponen, de forma detallada, los motivos por los
que cabe entender vulnerado el artículo 5.1 a) del RGPD (principio de licitud, lealtad y
transparencia).
Siendo Enérgya-VM responsable del tratamiento, su encargado Nivalco, por cuenta de
Enérgya-VM, trató datos de nuevos clientes de Enérgya-VM con confusión y engaño.
Enérgya-VM era conocedora de esta circunstancia.
Asimismo, se ha examinado el (…) de Enérgya-VM, destacando aspectos del mismo
que no se ajustan a lo previsto en el artículo 5.1 a) del RGPD.
Posteriormente, se analiza el incumplimiento de otro artículo del RGPD, el artículo 5.2
(responsabilidad proactiva).
Con las medidas adoptadas, Enérgya-VM no acredita el cumplimiento del RGPD. A
ella le corresponde la carga de probar que los datos personales son tratados de
conformidad con el RGPD.
En el Dictamen 3/2010 sobre el principio de responsabilidad, adoptado el 13 de julio de
2010, el GT29 declaró lo siguiente:
15. En línea con lo anterior, la «arquitectura jurídica» de los mecanismos de
responsabilidad plantearía dos niveles: el primer nivel consistiría en un
requisito reglamentario básico vinculante para todos los responsables del
tratamiento de datos. El contenido del requisito incluiría dos elementos: la
aplicación de medidas/procedimientos y el mantenimiento de pruebas de dicho
extremo. Este primer nivel podría complementarse con requisitos particulares.
Un segundo nivel incluiría sistemas discrecionales de responsabilidad que
superaran los requisitos jurídicos mínimos de los principios subyacentes de
protección de datos (proporcionando garantías más estrictas que las exigidas
por la normativa aplicable) y las modalidades de aplicación o de garantía de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
166/227
eficacia de las medidas (requisitos de aplicación que sobrepasen el nivel
mínimo) (…)
En este caso, se observan graves deficiencias en la implantación de medidas y
procedimientos para garantizar que los interesados estuvieran protegidos contra el
abuso y engaño. Enérgya-VM debió adoptar garantías adicionales adecuadas y
eficaces para garantizar que su encargado del tratamiento trataba, por cuenta de
Enérgya-VM, los datos personales conforme al RGPD, dada la gravedad de los
hechos.
Sin embargo, Enérgya-VM, a pesar de haber sido alertada por (...) acerca de cómo
Nivalco, trataba, por cuenta de Enérgya-VM, los datos de carácter personal de nuevos
clientes:
No realizo ningún análisis de riesgos relativo a dicho encargado.
Tampoco llevó a cabo un control adecuado de la procedencia de los datos de
carácter personal que utilizaba dicho encargado.
No estableció un control continuado y exhaustivo de las grabaciones de voz del
proceso de contratación que le aportaba dicho encargado.
A pesar de tener evidencias de que su encargado podía no seguir sus
instrucciones, no articuló un mecanismo de control eficaz sobre la conducta de
dicho encargado.
En lugar de tener una actitud proactiva (tal y como exige el artículo 5.2 del
RGPD), implantado estrategias y procedimientos adecuadas y eficaces para
dar cumplimiento al RGPD, tuvo una actitud fundamentalmente reactiva.
Los hechos analizados en este expediente reflejan un claro incumplimiento del artículo
5.2 del RGPD. Sin embargo, Enérgya-VM realiza una interpretación extensiva del
alcance de dicho precepto con la pretensión de ser exonerada de toda responsabilidad
por el claro incumplimiento del artículo 5.1 a) del RGPD. Dicha pretensión no resulta
ajustada al RGPD, cuyo considerando segundo prevé:
“(2) Los principios y normas relativos a la protección de las personas físicas en
lo que respecta al tratamiento de sus datos de carácter personal deben,
cualquiera que sea su nacionalidad o residencia, respetar sus libertades y
derechos fundamentales, en particular el derecho a la protección de los datos
de carácter personal. (el subrayado es nuestro).
Efectivamente, las numerosas personas físicas afectadas por este expediente han
visto doblemente vulnerado su derecho a la protección de datos de carácter personal.
Por una parte, sus datos fueron tratados con confusión y engaño, el responsable del
tratamiento, por cuya cuenta se llevó a cabo dicho tratamiento, era conocedor de esta
circunstancia.
Por otra parte, de forma paralela, y no como causa efecto, se produjo una segunda
vulneración de su derecho a la protección de datos de carácter personal, ya que el
responsable del tratamiento no fue proactivo tras conocer la forma de actuar de su
encargado, tal y como exige el RGPD. En muchos aspectos clave, puestos de
manifiesto en esta resolución, no actuó cuando debería haberlo hecho. Cuando sí lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
167/227
hizo, actuó movido por una preocupación basada en su propio interés, en las posibles
consecuencias para su organización o su reputación. No le impulsaba, tal y como
pretende y exige el RGPD, la voluntad de garantizar plenamente los derechos y
libertades de los interesados (sus nuevos clientes captados a través su encargado del
tratamiento Nivalco).
Los testimonios de varias de las personas afectadas quedan reflejados en el hecho
probado sexagésimo primero. El modo en el que dichas personas fueron engañadas,
se refleja en los hechos probados undécimo, sexagésimo y sexagésimo primero. La
continuidad de los engaños hasta el fin de la relación contractual entre Enérgya-VM y
Nivalco, se ha puesto de manifiesto en el hecho probado cuadragésimo sexto, lo que
refleja una falta de previsión y de garantías complementarias adecuadas y eficaces
para asegurar el cumplimiento del RGPD.
En conclusión, por los motivos expuestos, no se estiman las alegaciones formuladas
por Enérgya-VM relativas a la existencia de un concurso medial.
X
Supuesta inconstitucionalidad del régimen sancionador de la LOPDGDD
Enérgya-VM, en su escrito de alegaciones a la propuesta de resolución, cuestiona la
constitucionalidad del régimen sancionador recogido en la LOPDGDD en conjunción
con el RGPD. La parte reclamada considera que el mismo adolece de la falta de
concreción sancionadora exigida por nuestro sistema jurídico, por lo que, en su
opinión, atentaría contra el principio de tipicidad, que es concreción del principio de
legalidad en su vertiente material (artículo 25.1 de la Constitución Española) y
profundamente relacionado con la seguridad jurídica (artículo 9.3 CE).
A continuación, expone dos motivos por los que entiende que dicho régimen
sancionador vulneraría dichos principios.
1.La normativa no puede amparar que la sanción que pueda imponerse por una misma
infracción no sea previsible.
2.Falta de previsibilidad de las infracciones con respecto a conductas ilícitas.
En relación con el primer motivo (La normativa no puede amparar que la sanción que
pueda imponerse por una misma infracción no sea previsible), Enérgya-VM argumenta
que la amplitud de las horquillas establecidas por el artículo 83 del RGPD deja un
margen de discrecionalidad, en su opinión, excesivo a la AEPD para que valore la
cantidad con la que se debe sancionar en cada caso.
Afirma que no es constitucional que un ciudadano o empresa no sepa si una misma
infracción va a suponer una sanción de 10 euros, 10.000 euros o 10.000.000 de euros.
Hace referencia a una sentencia del Tribunal Constitucional.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
168/227
Posteriormente, afirma que la AEPD puede imponer, por hechos similares, cantidades
muy dispares, lo que, en su opinión, supondría una flagrante vulneración de la
previsibilidad que es preceptiva, así como del derecho a la igualdad (artículo 14 de la
Constitución Española).
La parte reclamada considera que la LOPDGDD pudo y debió establecer horquillas de
multas, al igual que previó un régimen de prescripción que no estaba previsto en el
RGPD. Enérgya-VM considera que, al no hacerlo, dicha norma se convirtió en algo
incompatible con la Constitución y, en su opinión, en una norma inválida en el
ordenamiento jurídico español.
En relación con el segundo motivo (falta de previsibilidad de las infracciones con
respecto a conductas ilícitas)
Según defiende la parte reclamada, el régimen sancionador del RGPD tampoco
respeta el principio de tipicidad (vertiente material del principio de legalidad) ni el de
seguridad jurídica. Enérgya-VM considera que dicho régimen adolece de una falta
clara de previsibilidad en cuanto a qué infracción del RGPD corresponde a cada
conducta ilícita.
Afirma Enéryga-VM que, un mismo comportamiento, puede ser ubicado por la AEPD
en más de un precepto de manera discrecional puesto que el RGPD así lo permite y la
LOPDGDD no lo especifica tampoco. Cita como ejemplo una infracción del artículo 5.1
a) del RGPD con respecto a una infracción del artículo 13 del RGPD, destacando que
la primera conlleva una prescripción mayor y peores connotaciones.
Destaca que el encaje de las conductas ilícitas en infracciones se haya desarrollado
en la LOPDGDD únicamente a efectos de la prescripción de las mismas. Dicha norma
ha dejado sin regular la concreción en la tipificación de las infracciones.
En su opinión, la LOPDGDD debería haber incluido criterios que delimitasen qué
conductas se corresponden con cada infracción del RGPD.
Al no prever nada la LOPDGDD, queda en manos de la AEPD decidir qué sanción
aplica, con un nivel de discrecionalidad, que, en su opinión, no está permitido a un
órgano administrativo.
Esta circunstancia provoca que la AEPD pueda defender que, en este caso, una
conducta que la parte reclamada considera claramente encuadrable en el artículo 13
del RGPD (utilización de un script que no informa adecuadamente), se encuadre
dentro de un principio más general como el artículo 5.1 a) RGPD para “escapar” de la
prescripción.
Enérgya-VM afirma que la AEPD no tiene margen para dejar de aplicar una norma,
que dicha empresa considera inconstitucional. Sin embargo, plantean su alegación
para permitir a la AEPD intentar encajar el régimen sancionador del RGPD y la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
169/227
LOPDGDD en los principios de seguridad jurídica, tipicidad y taxatividad de la
Constitución.
Concluyen afirmando que han efectuada esta alegación relativa a la
inconstitucionalidad a efectos de poder hacer uso de la misma a la hora de interponer
recursos.
Sin embargo, estas manifestaciones no pueden ser acogidas. El régimen sancionador
previsto en el RGPD y la LOPDGDD no es inconstitucional.
El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de
2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE (Reglamento general de protección de datos o RGPD) es un acto
jurídico de la Unión Europea, que tiene alcance general, es obligatorio en todos sus
elementos y directamente aplicable en los Estados miembros de la Unión Europea
(artículo 288 del Tratado de Funcionamiento de la Unión Europea o TFUE).
Forma parte de la legislación segundaria de la Unión Europea, ha sido aprobado por
las Instituciones de la Unión Europea de conformidad con los Tratados y tiene como
objetivo garantizar una aplicación uniforme del derecho de la Unión Europea en toda la
UE.
Se trata un acto legislativo, al haber sido aprobado siguiendo el procedimiento
legislativo ordinario.
Dicho Reglamento pretende garantizar el derecho fundamental a la Protección de los
Datos de Carácter Personal (artículo 8.1 de la Carta de los Derechos Fundamentales
de la Unión Europea), tal y como destaca el considerando 1.
El RGPD destaca que en la situación previa (Directiva 95/46/CE) existían distintos
niveles de protección e importantes diferencias en la ejecución y aplicación de la
referida directiva comunitaria en los distintos países de la Unión Europea. Al objeto de
corregir dicha situación, la Unión Europea aprobó el RGPD con el objetivo de
garantizar, de forma real y efectiva, el derecho fundamental a la Protección de Datos
de Carácter Personal en la Unión Europea, mediante un nivel uniforme y elevado de
protección de las personas físicas.
Por tanto, a través del RGPD, el legislador europeo pretende implantar un sistema
uniforme en toda la Unión Europea, que garantice los derechos y libertades de las
personas físicas, que corrija comportamientos contrarios a dicho Reglamento, fomente
el cumplimiento y posibilite la libre circulación de estos datos dentro de la Unión
Europea.
Así se refleja en varios de los considerandos del RGPD:
Considerando 2:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
170/227
“Los principios y normas relativos a la protección de las personas físicas en lo
que respecta al tratamiento de sus datos de carácter personal deben,
cualquiera que sea su nacionalidad o residencia, respetar sus libertades y
derechos fundamentales, en particular el derecho a la protección de los datos
de carácter personal.” (el subrayado es nuestro).
Considerando 7 (tras haber hecho referencia en el considerando 6 al incremento en el
volumen de datos tratados, como consecuencia de la rápida evolución tecnológica y la
globalización):
“(7) Estos avances requieren un marco más sólido y coherente para la
protección de datos en la Unión Europea, respaldado por una ejecución
estricta, dada la importancia de generar la confianza que permita a la
economía digital desarrollarse en todo el mercado interior. Las personas físicas
deben tener el control de sus propios datos personales. Hay que reforzar la
seguridad jurídica y práctica para las personas físicas, los operadores
económicos y las autoridades públicas.” (el subrayado es nuestro).
Considerando 9:
“(9) Aunque los objetivos y principios de la Directiva 95/46/CE siguen siendo
válidos, ello no ha impedido que la protección de los datos en el territorio de la
Unión se aplique de manera fragmentada, ni la inseguridad jurídica ni una
percepción generalizada entre la opinión pública de que existen riesgos
importantes para la protección de las personas físicas, en particular en relación
con las actividades en línea. Las diferencias en el nivel de protección de los
derechos y libertades de las personas físicas, en particular del derecho a la
protección de los datos de carácter personal, en lo que respecta al tratamiento
de dichos datos en los Estados miembros pueden impedir la libre circulación de
los datos de carácter personal en la Unión. Estas diferencias pueden constituir,
por lo tanto, un obstáculo al ejercicio de las actividades económicas a nivel de
la Unión, falsear la competencia e impedir que las autoridades cumplan las
funciones que les incumben en virtud del Derecho de la Unión. Esta diferencia
en los niveles de protección se debe a la existencia de divergencias en la
ejecución y aplicación de la Directiva 95/46/CE.” (el subrayado es nuestro).
Considerando 11:
“(11) La protección efectiva de los datos personales en la Unión exige que se
refuercen y especifiquen los derechos de los interesados y las obligaciones de
quienes tratan y determinan el tratamiento de los datos de carácter personal, y
que en los Estados miembros se reconozcan poderes equivalentes para
supervisar y garantizar el cumplimiento de las normas relativas a la protección
de los datos de carácter personal y las infracciones se castiguen con sanciones
equivalentes.” (el subrayado es nuestro).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
171/227
Considerando 14:
“(14) La protección otorgada por el presente Reglamento debe aplicarse a las
personas físicas, independientemente de su nacionalidad o de su lugar de
residencia, en relación con el tratamiento de sus datos personales. (…)” (el
subrayado es nuestro).
El artículo 83 del RGPD regula las condiciones generales para la imposición de multas
administrativas. El apartado 1 de dicho artículo destaca la importancia de que dichas
multas sean en cada caso individual efectivas, proporcionadas y disuasorias (objetivo
fundamental perseguido por el Reglamento):
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del
presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso
individual efectivas, proporcionadas y disuasorias.”
El apartado segundo del artículo 83 del RGPD destaca, una vez más, la importancia
de que las multas se impongan, en función de las circunstancias de cada caso
individual:
“2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas
contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se
tendrá debidamente en cuenta: (…)”
Los apartados 4 y 5, establecen un sistema de multas administrativas, conforme al
cual, se determina el límite máximo de las mismas, sin establecer límites mínimos u
horquillas, como pretende Enérgya-VM.
En este sentido, el apartado 4 del artículo 83, prevé:
“4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 10 000 000 EUR como
máximo o, tratándose de una empresa, de una cuantía equivalente al 2 %
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43;
b) las obligaciones de los organismos de certificación a tenor de los artículos
42 y 43;
c) las obligaciones del organismo de supervisión a tenor del artículo 41,
apartado 4.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
172/227
Por su parte, el apartado 5 del artículo 83, establece:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20 000 000 EUR como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4 %
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
c) las transferencias de datos personales a un destinatario en un tercer país o
una organización internacional a tenor de los artículos 44 a 49;
d) toda obligación en virtud del Derecho de los Estados miembros que se
adopte con arreglo al capítulo IX;
e) el incumplimiento de una resolución o de una limitación temporal o definitiva
del tratamiento o la suspensión de los flujos de datos por parte de la autoridad
de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en
incumplimiento del artículo 58, apartado 1.”
El apartado 6 del artículo 83 del RGPD regula las consecuencias del incumplimiento
de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2 del
RGPD. Una vez más se prevé un límite máximo de las mismas, sin establecer límites
mínimos u horquillas:
“6. El incumplimiento de las resoluciones de la autoridad de control a tenor del
artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del
presente artículo con multas administrativas de 20 000 000 EUR como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4 % como
máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía.”
Con el objetivo de armonizar la metodología que utilizan las autoridades de control al
calcular el importe de las multas, recientemente se han aprobado las Directrices
04/2022 sobre el cálculo de las multas bajo el RGPD Versión 2.0, adoptadas el 24 de
mayo de 2023.
En el resumen ejecutivo de las mismas, se indica:
“El cálculo del importe de la multa queda a discreción de la autoridad de
control, con sujeción a las normas previstas en el RGPD. En este contexto, el
RGPD exige que el importe de la multa sea en cada caso efectivo,
proporcionado y disuasorio (artículo 83, apartado 1, del RGPD). Además, al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
173/227
fijar el importe de la multa, las autoridades de control tendrán debidamente en
cuenta una lista de circunstancias que se refieran a las características de la
infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del
RGPD). Por último, el importe de la multa no excederá de los importes
máximos previstos en el artículo 83, apartado 4, apartados 5 y 6, del RGPD.
Por lo tanto, la cuantificación del importe de la multa se basa en una
evaluación específica realizada en cada caso, dentro de los parámetros
previstos por el RGPD.”
Por tanto, se pretende establecer un sistema uniforme en toda la Unión Europea, en el
que el importe de la multa sea determinado por la autoridad de control, de acuerdo con
las normas previstas en el RGPD, tras haber realizado una evaluación específica del
caso concreto.
Se diseña un sistema europeo ajustado a las circunstancias del caso concreto que se
examina. Dicho sistema va a implicar dinamismo -ya que el tratamiento de datos
personales es una realidad sometida a un continuo proceso de cambio.
Las pretensiones de Enérgya-VM de tipificar cada una de las infracciones del RGPD a
través de la LOPDGDD o de establecer, a nivel nacional en dicha Ley Orgánica, unas
horquillas, no previstas por el legislador europeo, van en contra de lo previsto en el
RGPD.
Por otra parte, dichas medidas pretenden reducir el dinamismo y el rango de posibles
importes de la sanción, en contra de lo previsto por el legislador comunitario, al
tratarse de elementos que favorecen que el importe de la multa administrativa pueda
ajustarse, en la mayor medida posible, a las circunstancias del caso concreto. De esta
forma, se garantiza una adecuada protección del derecho fundamental a la Protección
de Datos de Carácter Personal de la persona física afectada por el tratamiento de sus
datos contrario al RGPD, que es lo que a fin de cuentas persigue dicho Reglamento.
Asimismo, resulta necesario recordar que el RGPD no permite el desarrollo o la
concreción de sus previsiones por los legisladores de los Estados miembros, a salvo
de aquello que el propio legislador europeo ha previsto específicamente, delimitándolo
de forma muy concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La
LOPDGDD sólo desarrolla o concreta algunos aspectos del RGPD en lo que este le
permite y con el alcance que éste le permite.
En sus alegaciones, la parte reclamada manifiesta su malestar por el hecho de que la
utilización por parte de Enérgya-VM de un script que no informa adecuadamente sea
considerado por la AEPD una infracción del artículo 5.1 a) del RGPD y no una
infracción del artículo 13 del RGPD, que ya estaría prescrita. Olvida la parte reclamada
que la LOPDGDD considera, en su artículo 72.1.h), muy grave a efectos de
prescripción “la omisión del deber de informar al afectado acerca del tratamiento de
sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento
(UE) 2016/679 y 12 de esta ley orgánica” y que el principio de lealtad es un principio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
174/227
independiente del principio de transparencia que implica requisitos separados de los
relacionados específicamente con la transparencia, y que no tiene ninguna otra norma
equivalente en el RGPD. Una vez más se pone de manifiesto cómo la parte reclamada
pretende quedar exonerada de toda responsabilidad, a pesar de la gravedad de los
hechos examinados en este expediente sancionador, tal y como reflejan los hechos
probados y fundamentos de derecho de esta resolución.
En conclusión, la parte reclamada pretende que la LOPDGDD establezca horquillas de
multas (que dentro de la Unión Europea, únicamente resultarían aplicables en España)
y regule los criterios que delimiten qué conductas se corresponden con cada una de
las infracciones del RGPD (que también serían únicamente aplicables en España).
Dicha pretensión es contraria a lo dispuesto en el RGPD, resta al sistema dinamismo y
flexibilidad, en contra de lo pretendido por el legislador comunitario a la hora de
crearlo, se opone a la finalidad de garantía uniforme a nivel europeo del derecho
fundamental a la Protección de Datos de Carácter Personal de las personas físicas y
supondría una merma de las garantías de los derechos y libertades de las personas
físicas a las que resultara aplicable la LOPDGDD frente al resto de personas físicas de
la Unión Europea, lo que no resulta en modo alguno aceptable.
XI
Obligaciones incumplidas
Enérgya-VM en su escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023
afirma haber actuado en todo momento con los más altos estándares de diligencia,
contratando a auditores externos, imponiendo medidas de control adicionales e incluso
presentando una denuncia por la vía penal a efectos de esclarecer los hechos.
A lo largo de este fundamento de derecho, se analizará la conducta de Enérgya-VM
desde la perspectiva de la protección de datos de carácter personal, con el fin de
determinar si efectivamente cabe considerar que su conducta se adecuó a los más
altos estándares de diligencia o, por el contrario, infringió lo dispuesto en el RGPD.
A. Infracción del artículo 5.1 a) del RGPD
El artículo 5.1 a) del RGPD dispone que:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);”
El considerando 39 del RGPD sobre la lealtad y transparencia determina que: (el
subrayado es nuestro)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
175/227
“Todo tratamiento de datos personales debe ser lícito y leal. Para las personas
físicas debe quedar totalmente claro que se están recogiendo, utilizando,
consultando o tratando de otra manera datos personales que les conciernen,
así como la medida en que dichos datos son o serán tratados. El principio de
transparencia exige que toda información y comunicación relativa al
tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que
se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a
la información de los interesados sobre la identidad del responsable del
tratamiento y los fines del mismo y a la información añadida para garantizar un
tratamiento leal y transparente con respecto a las personas físicas afectadas y
a su derecho a obtener confirmación y comunicación de los datos personales
que les conciernan que sean objeto de tratamiento. (…). En particular, los fines
específicos del tratamiento de los datos personales deben ser explícitos y
legítimos, y deben determinarse en el momento de su recogida. (…) Los datos
personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el
acceso o uso no autorizados de dichos datos y del equipo utilizado en el
tratamiento.”
Asimismo, el considerando 60 del RGPD señala que.
“Los principios de tratamiento leal y transparente exigen que se informe al
interesado de la existencia de la operación de tratamiento y sus fines. El
responsable del tratamiento debe facilitar al interesado cuanta información
complementaria sea necesaria para garantizar un tratamiento leal y
transparente, habida cuenta de las circunstancias y del contexto específicos en
que se traten los datos personales (…)”
En cuanto al principio de transparencia, el artículo 12 del RGPD establece cómo se
articula la transparencia de la información y la comunicación al interesado. Y los
artículos 13 y 14 del RGPD especifican la información concreta que ha de
suministrarse al interesado para garantizar la lealtad y la transparencia.
El principio de transparencia no se agota en la concreción material de suministrar la
información de los artículos 13 y 14 del RGPD, en los términos del artículo 12 del
RGPD y 11 de la LOPDGDD. El principio de transparencia fijado en el artículo 5.1.a)
del RGPD es mucho más y tiene entidad en sí mismo.
Aunque independiente, ligado al principio de lealtad, implica el conocimiento efectivo
de la información precisa por parte de los interesados que redunde en el poder de
disposición y control que los interesados tienen respecto del tratamiento de sus datos
personales, en los términos dispuestos en la Sentencia del Tribunal Constitucional
292/2000, de 30 de noviembre de 2000: “De suerte que, sin la garantía que supone el
derecho a una información apropiada mediante el cumplimiento de determinados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
176/227
requisitos legales (art. 5 L.O.P.D.) quedaría sin duda frustrado el derecho del
interesado a controlar y disponer de sus datos personales, pues es claro que le
impedirían ejercer otras facultades que se integran en el contenido del derecho
fundamental al que estamos haciendo referencia”.
En este sentido, las Directrices del Grupo de Trabajo del Artículo 29 sobre la
transparencia en virtud del Reglamento (UE) 2016/679, adoptadas el 29 de noviembre
de 2017 y revisadas por última vez y adoptadas el 11 de abril de 2018 (WP 260)
previenen que: (el subrayado es nuestro)
“10. Una consideración fundamental del principio de transparencia esbozado
en estas disposiciones es que el interesado debe poder determinar de
antemano el alcance y las consecuencias derivadas del tratamiento, y que no
debe verse sorprendido en un momento posterior por el uso que se ha dado a
sus datos personales. Se trata, asimismo, de un aspecto importante del
principio de lealtad en virtud del artículo 5, apartado 1, del RGPD y,
efectivamente, guarda relación con el considerando 39 …”.
En cuanto a la lealtad, las Directrices 4/2019 del CEPD relativas al artículo 25
Protección de datos desde el diseño y por defecto, adoptadas el 20 de octubre de
2020 disponen los siguiente: (el subrayado es nuestro):
“69. La lealtad es un principio general que exige que los datos personales no
se traten de manera injustificadamente perjudicial, ilícitamente discriminatoria,
inesperada o engañosa para el interesado”. Siguen estableciendo
manifestación de la lealtad será que “Los interesados deben tener el máximo
grado de autonomía posible para determinar el uso que se haga de sus datos
personales, así como el ámbito y las condiciones de dicho uso o tratamiento
(…) El tratamiento debe corresponderse con las expectativas razonables de los
interesados (…) El responsable del tratamiento no abusará de las necesidades
o vulnerabilidades de los interesados. (…) El responsable no debe «forzar» la
elección de sus usuarios de manera desleal (…) Los responsables del
tratamiento no deben transferir los riesgos de la empresa a los interesados.
(…) La información y las opciones del tratamiento de datos personales deben
proporcionarse de manera objetiva y neutral, evitando todo tipo de lenguaje o
diseño engañoso o manipulador (…) El responsable debe apreciar los efectos
generales que tenga el tratamiento sobre los derechos y la dignidad de las
personas. (…) El responsable debe poner a disposición del interesado la
información relativa a la forma en que se tratan los datos personales, debe
actuar tal como haya declarado que lo va a hacer, y no inducir al interesado a
engaño”.
Las evidencias obtenidas en este expediente sancionador muestran que los
tratamientos de datos efectuados no se han producido ni de forma leal ni transparente,
tal y como se analizará a continuación:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
177/227
1. Análisis del contenido del denominado “Script de venta VM”
2. Evidencias relativas al tratamiento de datos con confusión y engaño
realizado por Nivalco en su labor de captación de nuevos clientes para
Enérgya-VM
3. Documentos que reflejan que Enérgya-VM era consciente de la información
confusa o engañosa proporcionada a sus nuevos clientes por Nivalco:
3.1. Conclusiones del informe de auditoría de (...)
3.2. Información obtenida a través del (…).
3.3. Otros escritos que reflejan que Enérgya-VM era consciente de la
información confusa o engañosa facilitada por parte de Nivalco a sus
nuevos clientes.
4. Análisis del (…) desde la perspectiva de los principios de lealtad y
transparencia.
A lo analizado en dichos apartados, debe añadirse lo reflejado en los hechos probados
sexagésimo (documentación relativa a 30 contrataciones de puntos de suministro
procedentes del Canal Nivalco aportada por la CNMC), sexagésimo segundo (análisis
de la tramitación de las (…) reclamaciones relacionadas con el Canal Nivalco aportada
por Enérgya-VM, tras un requerimiento del Inspector, reflejado en el informe de
actuaciones previas de investigación) y sexagésimo primero (muestra del contenido de
varias de dichas reclamaciones)
1. Análisis del contenido del denominado “Script de venta VM”:
Del análisis del contenido del denominado “Script de venta VM” (hecho probado
quincuagésimo segundo), se constata que la conversación se inicia del siguiente
modo:
“(…)
(…).
(…).
(…).
(…).”
Esta forma de proceder podría vulnerar los principios de lealtad y transparencia del
RGPD, toda vez que las Directrices 4/2019 relativas al artículo 25 Protección de datos
desde el diseño y por defecto Versión 2.0, en su apartado 3.3 establecen que:
“La lealtad es un principio general que exige que los datos personales no se
traten de manera injustificadamente perjudicial, ilícitamente discriminatoria,
inesperada o engañosa para el interesado”.
En este caso, no se presenta al interesado una información clara sobre la naturaleza
publicitaria de la llamada ni sobre su finalidad, que no es otra que la contratación con
Enérgya-VM y el cambio de empresa comercializadora.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
178/227
El operador que realiza la llamada obtiene los datos de los interesados sin informarles
previamente sobre el tratamiento de sus datos de carácter personal. Dicha información
no se facilita hasta el punto 5 de la última parte del script, denominada (...), en la que
se indica:
“ (…).”
Asimismo, cabe apreciar que el contenido del cuarto párrafo resulta confuso, habida
cuenta de lo normal es que los clientes del mercado energético no sean conscientes
de la diferencia existente entre empresa Distribuidora y empresa Comercializadora de
la energía.
El mencionado párrafo da al cliente potencial una falsa sensación de continuidad (…),
cuando realmente está contratando a una nueva empresa comercializadora de la
energía eléctrica, aspecto que sí se revela en la segunda parte del párrafo.
2. Evidencias relativas al tratamiento de datos con confusión y engaño realizado por
Nivalco en su labor de captación de nuevos clientes para Enérgya-VM, que actúa
como responsable del tratamiento:
2.1. Documentación relativa a 30 puntos de suministro contratados con Enérgya-VM
aportada por la CNMC (hecho probado sexagésimo):
Asimismo, en relación con la documentación y grabaciones aportadas por la CNMC,
relativas a la contratación de 30 puntos de suministro con Enérgya-VM procede
señalar tal y como se refleja en el informe de actuaciones previas de investigación,
que la CNMC ha facilitado a la AEPD la documentación relativa a los treinta puntos de
suministro cuya contratación se refiere en los hechos probados de la Resolución de
dicha Comisión de fecha 28 de julio de 2022.
Para cada una de estas contrataciones la CNMC ha aportado los siguientes
documentos:
1. La grabación desde el primer contacto con el consumidor.
2. La grabación para formalizar la contratación.
3. En caso de existir, la grabación de la llamada de verificación de la
contratación efectuada por la empresa (...) (…).
4. Copia del certificado de envío, recepción y confirmación del SMS con la
oferta comercial.
5. Copia del contrato formalizado.
Según destaca el informe de actuaciones previas de investigación realizado por el
Inspector de la AEPD, de fecha 5 de mayo de 2023, en 28 de dichas contrataciones se
habrían obtenido con engaño el NIF y/o el número de cuenta bancaria del nuevo
cliente de Enérgya-VM. En algunos casos, también el número del teléfono móvil.
Del análisis de las grabaciones se desprende que:
Los comerciales al realizar el primer contacto con los usuarios ya conocen
algunos de sus datos de carácter personal, lo que genera confianza en estas
personas (no desconfían de una persona que se dirige a ellos por su nombre y
que conoce datos relativos al suministro eléctrico o de gas que tienen
contratado).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
179/227
Facilitan a los usuarios información engañosa sobre el cambio de responsable:
en los procesos de contratación indican a los usuarios que la comercializadora
cambia cada año o la necesidad de cambio de comercializadora para poder
continuar disfrutando de descuentos.
De esta manera, obtienen datos de carácter personal de los usuarios,
necesarios para la celebración del nuevo contrato con Enérgya-VM
(Documento Nacional de Identidad (DNI) y/o el número de la cuenta bancaria,
en ocasiones el número de teléfono móvil) tras informarles de que han
finalizado sus bonificaciones y que necesitan conocer estos datos para
“verificarlos” o incluso “por el tema de la protección de datos” (expediente 5,
(…)), haciéndoles creer que tienen que renovar los descuentos.
Todo ello, sin informarles claramente, en la mayoría de los casos, de que se va
a producir un cambio de responsable del tratamiento, que van a realizar una
contratación que supone un cambio de comercializadora y que para ello tienen
que consentir dicho cambio.
2.2. Reclamaciones aportadas por Enérgya-VM en respuesta al requerimiento del
Inspector:
En cuanto a las reclamaciones aportadas por Enérgya-VM a la AEPD en respuesta al
requerimiento del inspector, de fecha 3 de abril de 2023, ha de señalarse que en el
requerimiento de información de fecha 03/04/2023 dirigido por el Inspector a Enérgya-
VM se solicitaba, entre otros aspectos:
“5. Copia de los expedientes vinculados a las reclamaciones recibidas por
ENERGYA VM GESTION DE ENERGÍA, SL. en relación con clientes captados
a través de NIVALCO SOLUCIONES COMERCIALES, S.L. Incluir las
evidencias de que disponga tanto del proceso de contratación como de oferta
(precontratación) en relación con cada reclamante.”
Enérgya-VM en su escrito de 19 de abril de 2023 destaca:
“(…) Enérgya únicamente ha recibido veinticuatro (24) reclamaciones de
clientes (alguna inclusiva de varios CUPS-puntos de suministro-), todas las
cuales se han tramitado correctamente, accediendo a lo solicitado en cada
caso por cada persona.”
En el hecho probado sexagésimo primero de esta resolución se refleja el contenido de
una muestra de dichas reclamaciones.
Al examinar el contenido de las mismas, cabe apreciar claras similitudes:
Los reclamantes se sienten engañados, creían que la llamada telefónica en la
que se les ofrecían descuentos la realizaba su compañía comercializadora. En
algún caso resaltan que se les ha hecho creer que los descuentos de los que
disfrutaban con su compañía comercializadora habían caducado, cuando no
era así.
Muchos de ellos indican que el comercial que se puso en contacto con ellos
disponía de sus datos de carácter personal, ignorando cómo los había
obtenido.
En ocasiones, reconocen haber facilitado algún dato de carácter personal, bajo
engaño o sintiéndose presionados por la insistencia del comercial. En uno de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
180/227
los casos afirman, que, a pesar de no haber facilitado su número de cuenta
bancaria, están recibiendo cargos en una cuenta bancaria de la que es titular
un familiar.
Todos ellos reflejan sorpresa al descubrir posteriormente que habían celebrado
un nuevo contrato de suministro eléctrico con Enérgya-VM, cuando realmente
no deseaban cambiar de compañía.
Si detectan pronto que la nueva contratación se ha producido con Enérgya-VM,
reaccionan haciendo uso de la figura del desistimiento. En otros casos, el
período de desistimiento ya ha concluido y, cuando expresan su deseo de
concluir el contrato son amenazados con penalizaciones o con su inclusión en
la lista de morosos (en un caso, dicha inclusión llega a producirse).
Acuden a asociaciones de consumidores, a administraciones públicas
competentes en materia de consumo o bien a la propia Enérgya-VM, tratando
de anular los contratos no deseados, conseguir que les devuelvan el importe
de las facturas ya abonadas, evitar que se les apliquen penalizaciones por
rescisión anticipada del contrato y solicitan que se elimine de la base de datos
de dicha compañía cualquier dato personal relativo a los mismos.
3. Documentos que reflejan que Enérgya-VM era consciente de la información confusa
o engañosa proporcionada a sus nuevos clientes por Nivalco:
3.1. Conclusiones del informe de auditoría de (...):
En las conclusiones del informe de auditoría de fecha 28 de noviembre de 2019,
elaborado por (...) a petición de Enérgya-VM (hecho probado trigésimo noveno), se
indica:
“(…):
(…)
(…)
(…)
(…)
(…).
(…).”
Como puede apreciarse en el informe de auditoría de (...), elaborado a petición de
Enérgya-VM, se pone de manifiesto que la captación de nuevos clientes realizada por
Nivalco, que implicaba el tratamiento de datos de carácter personal de dichos clientes,
se había realizado facilitando a los mismos información confusa, insuficiente o
engañosa.
3.2. (...):
(...), empresa externa que realizó el (…) por encargo de Enérgya-VM, ha elaborado
tres certificados. El primero de fecha 23 de mayo de 2023 (Documento 12, aportado
por Enérgya-VM junto con su escrito de alegaciones al acuerdo de inicio), los otros dos
certificados de 25 de octubre y 8 de noviembre de 2023 se han aportado en fase de
prueba, a petición de la AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
181/227
3.2.1. Certificado de (...) de fecha 23 de mayo de 2023 (hecho probado cuadragésimo
tercero):
En dicho certificado se indica:
“(…)1. Que con fecha 23 de septiembre de 2019 la mercantil ENERGYA VM
GESTION DE ENERGIA SLU encargó a (...) que (…), subscribiendo el
correspondiente contrato de servicios al efecto.
(…)
3. Que con objeto del (…) y por tanto sus datos se integrasen en los sistemas
de ésta y se activase el suministro.
(…)
5. En el periodo objeto de servicio fueron realizadas (…) llamadas de las
cuales (…) fueron calificadas como (…). (…)” (el subrayado es nuestro)
3.2.2. Certificado elaborado por (...) el 25 de octubre de 2023 (hecho probado
cuadragésimo quinto):
Del contenido de dicho certificado, se destaca lo siguiente:
“(…)1. Que (...). prestó un (…) a la mercantil ENERGYA VM GESTION DE
ENERGIA SLU con CIF 883393066 (…).
2. En el requerimiento de la AEPD se mencionan (…).”
A continuación, el certificado incluye una tabla que refleja los datos
mensuales obtenidos (hecho probado cuadragésimo sexto):
(…)
(…) (…) (…)
(…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
182/227
(…) (…) (…) (…) (…) (…)
(…) (…) (…)
Como puede observarse, (…):
(…)
(…)
(…).
(…).
3.2.3. Certificado elaborado por (...) el 8 de noviembre de 2023:
En dicho certificado, se aporta una explicación de las subclasificaciones empleadas al
(…):
“Las subclasificaciones empleadas (hecho probado cuadragésimo octavo), que
reflejaban el motivo por el que no se daba por válida la contratación son:
(…).
(…).
(…).
(…).
(…).
En la tabla que figura a continuación, se reproducen los datos relativos a la
subclasificación denominada “(…)” que figuran en el certificado de (...):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
183/227
(…)
(…) (…) (…) (…) (…) (…) (…) (…) (…) (…)
(…) (…) (…) (…) (…) (…) (…) (…) (…)
(…)
En esos (…) casos queda acreditado que el nuevo cliente de Enérgya-VM captado por
Nivalco (…).
En conclusión, se partía de (…).
En primer lugar, se han descartado las llamadas en las que la (…), ya que en estos
casos (…).
En segundo lugar, se ha centrado la atención en la subclasificación de llamadas
denominada “(…)” al considerar su clara vinculación con una posible vulneración del
artículo 5.1 a) del RGPD (…).
3.3. Otros escritos que reflejan que Enérgya-VM era consciente de la información
confusa o engañosa facilitada por parte de Nivalco a sus nuevos clientes.
3.3.1. Denuncia (…), presentada por Enérgya-VM ante el Juzgado de (...) el 9 de
octubre de 2019 :
En la denuncia por (…) contra (…), presentada por Enérgya-VM ante el Juzgado de
(...) el 10 de octubre de 2019 se pone de manifiesto que Enérgya-VM era consciente
de la información confusa o engañosa facilitada por parte de Nivalco a sus nuevos
clientes (hecho probado séptimo):
“(…).
(…):
(…);
(…);
(…).
(…)”
3.3.2. Burofax de fecha 16 de octubre de 2019 enviado por Enérgya-VM a (...)
(Documento 4, aportado en fase de prueba por Enérgya-VM):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
184/227
“(…)Enérgya-VM sigue avanzando en la inspección realizada sobre las
contrataciones del canal externo NIVALCO SOLUCIONES COMERCIALES,
SL.
Dicha inspección ha sido contratada a una empresa externa de reconocido
prestigio, denominada (...), que mediante un sistema de contra-llamada a modo
de (…) ha contactado directamente a más de (…) clientes para verificar si en la
contratación hubo alguna irregularidad o ausencia de información.
Como resultado actual de dicha inspección, se ha comprobado que (...)
contrataciones podrían tener alguna de las siguientes incidencias:
Los operadores se presentarían como representantes de su actual
comercializadora (distinta a Enérgya-VM).
Los operadores indicarían a los clientes que llamaban desde la
distribuidora eléctrica, no de la comercializadora.
Los operadores no informarían a los clientes de que contratar con
Enérgya-VM implica un cambio de suministradora. (…)”
3.3.3. Correo electrónico enviado el 10 de septiembre de 2019 a las 19:00 por D.
A.A.A. a dos trabajadores de Nivalco (Documento 8, aportado en fase de prueba por
Enérgya-VM):
“Buenas tardes (…),
Comentarte que en las últimas horas hemos recibido nuevas reclamaciones de
clientes haciendo referencia a ventas con el mismo argumentario indicando que el
comercial se hacía pasar por comercial de (...) u ofreciendo descuentos de (...).
Adicionalmente hemos realizado algunas auditorías a clientes que se han dado de
baja en los primeros días de contrato y en un % elevado nos indican que la
operativa de venta ha sido exactamente la misma.
Como sabéis, desde Enérgya-VM estamos totalmente en contra de cualquier
operativa de venta que pueda dar lugar a confusión por parte del cliente e
instamos a Nivalco a cesar de inmediato ventas con este tipo de argumentarios.
Os pedimos que analicéis todas las llamadas realizadas que se hayan llegado a
activar con Enérgya-VM y procedáis a identificar los operadores que han podido
incurrir en esta praxis y a comunicárnoslos para que podamos tomar las acciones
legales que correspondan. Sino en nuestra auditoría nosotros mismos
identificaremos a los operadores involucrados. (…)”
3.3.4. Correo electrónico enviado el 13 de septiembre de 2019 a las 13:20 por D.
A.A.A. a tres trabajadores de Nivalco (Documento 4, aportado por Enérgya-VM junto a
su escrito de alegaciones al acuerdo de inicio):
Buenos días (…),
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
185/227
Como te comenté por teléfono, hemos recibido un burofax por parte de (...)
indicándonos que han detectado irregularidades en la contratación de clientes
desde (...) hacia Enérgya-VM. Dentro de la información que nos han dado, se
ha identificado el teléfono de vuestra oficina (…) como relacionado en las
irregularidades indicadas al coincidir con el reflejado como numero de
realización de varias llamadas.
Las irregularidades hacen referencia al modo de presentarse, ya que lo hacen
como operadores de (...) u ofreciendo descuentos de (...). Adicionalmente en
los datos con los que se contaban en la contratación se disponía ya de la
cuenta bancaria, sin que nosotros os hayamos proporcionado dicho dato como
sabes perfectamente ya que nosotros solo os aportamos razón
social/nombre/teléfono de contacto. (…)”
Enérgya-VM alega una supuesta falta de concurrencia de requisitos para sancionarla
por la infracción de artículo 5.1 a) del RGDP:
La parte reclamada afirma que ha quedado acreditado que Nivalco no utilizaba el
Script de Venta VM. Destaca que intentó que Nivalco hiciese uso de dicho Script, sin
éxito.
Resalta que a lo largo del procedimiento no se aprecia la existencia de ningún caso
donde el Script de Venta VM fuera utilizado para realizar los tratamientos
supuestamente infractores.
Alega que el artículo 5.1 a) del RGPD establece una obligación relativa al tratamiento
efectivo de los datos personales. En consecuencia, la infracción de dicho precepto
requiere que los datos sean efectivamente tratados, no nace de un plano teórico o
potencial, sino que requiere que determinados datos sean tratados de forma
incorrecta.
Concluyendo:
“55. En definitiva, en la Propuesta de Resolución la AEPD confunde las
circunstancias que pueden dar lugar a la infracción del art. 5.1.a) RGPD y
olvida que tal infracción requiere siempre de un tratamiento real cuya
existencia no se ha acreditado en el Procedimiento (y, de hecho, sí lo
contrario), de lo que resulta la imputación incorrecta a esta parte de la mentada
infracción.
56. Al margen de lo expuesto, procede señalar que sancionar a Enérgya por
contar con un script que, en opinión de la AEPD (quod non) infringe en
abstracto el RGPD y sin probar que hubiese sido utilizado en ningún caso
concreto, supondría vulnerar el principio de tipicidad del art. 25.1 de la
Constitución Española (“CE”) así como el principio de valoración de la prueba.
A este respecto, en la recentísima SAN 6460/2022, de 23 de diciembre de
20226 se reprocha que la AEPD adopte ese tipo de criterios en los siguientes
términos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
186/227
“No se puede considerar, como hace la AEPD, que se ha producido una
vulneración del principio de trasparencia y del consentimiento por la propia
existencia y contenido de la política de protección de datos. Sería en todo
caso, una infracción potencial que no está castigada por las normas de
protección de datos. Si se hubiera probado la existencia de las infracciones
individuales podría considerarse que la propia "Política" favorece su comisión.
Al no ser así, no se puede afirmar la existencia de infracción” (el subrayado es
de la parte reclamada).
En este expediente, ha quedado acreditado que Enérgya-VM, como responsable del
tratamiento, ha elaborado el argumentario de venta denominado Script de Venta VM
(hecho probado quincuagésimo segundo), y también ha quedado acreditado que dicho
script de venta tiene carácter obligatorio para los encargados del tratamiento de
Enérgya-VM (hecho probado quincuagésimo tercero).
Asimismo, se han analizado determinados elementos del contenido del Script de Venta
VM que no se consideran ajustados a lo dispuesto en el artículo 5.1 a) del RGPD y
que deberían ser revisados, pues en virtud de los principios de lealtad y transparencia
los interesados no deben sorprenderse en un momento posterior sobre la forma en
que se han utilizado sus datos personales y el Script de Venta VM no aporta claridad o
más especificidades sobre este punto. Por tanto, el hecho de que se utilizará o no por
Nivalco no disminuye ni exonera de responsabilidad a Enérgya-VM, que no evitó ni a
través de su Script de Venta ni de los procedimientos utilizados por Nivalco, el engaño,
por lo que resulta responsable de la obtención de datos de forma engañosa y confusa
realizada por su encargado, dadas las graves deficiencias de transparencia
observadas que no permiten que un ciudadano medio pueda comprender el
tratamiento que se realizará de sus datos.
Contrariamente a lo manifestado por Enérgya-VM sí consta el tratamiento de datos
personales con vulneración del art. 5.1.a) del RGPD, como se constata en las
grabaciones aportadas por la CNMC (hecho probado sexagésimo).
Destaca Enérgya-VM en sus alegaciones a la propuesta de resolución que advierte
una incongruencia en la argumentación desplegada por la AEPD para sostener la
supuesta infracción del artículo 5.1 a) del RGPD por parte de la parte reclamada, ya
que se la sanciona tanto por el uso como por la falta de uso del Script de Venta VM.
No existe tal incongruencia, el script utilizado por Nivalco, encargado del tratamiento,
que trataba datos de carácter personal por cuenta de Energya-VM, estaba inspirado
en el Script de Venta VM y era contrario a lo previsto en el artículo 5.1 a) del RGPD.
Por otra parte, el Script de venta, elaborado por Enérgya- VM, cuyo contenido se ha
reproducido en el hecho probado quincuagésimo segundo, contiene elementos,
anteriormente destacados, que no se consideran ajustados a lo previsto en el artículo
5.1 a) del RGPD (principio de lealtad y transparencia), considerándose precisa su
revisión a fin de ajustar su contenido a lo dispuesto en el RGPD.
Afirma Enérgya-VM:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
187/227
“65. Se puede observar que, una vez descartado el Script de Venta VM, los
elementos probatorios relacionados con el art. 5.1.a) RGPD restantes son
protagonizados únicamente y exclusivamente por Nivalco (como responsable
independiente), por lo que falta un elemento probatorio esencial para que
pueda concurrir en el presente Procedimiento una vulneración por parte de
Enérgya del principio de licitud, lealtad y transparencia, ex. art. 5.1.a) RGPD.
66. En su caso y a efectos meramente dialécticos (quod non), quizás podría
achacarse a Enérgya una eventual falta de diligencia en la supervisión del uso
del script por Nivalco. Sin embargo, en todo caso, ello podría tener cabida en el
art. 5.2 del RGPD, pero no en el 5.1.a) RGPD. Además, se hace evidente que,
en caso de existir una infracción del art. 5.1.a) RGPD (quod non), esta
únicamente sucedería como consecuencia de una eventual (quod non)
infracción del art. 5.2 RGPD. Sucede que la AEPD también propone sancionar
a esta Sociedad por esa supuesta infracción del art. 5.2 RGPD que causa la
del art. 5.1.a) RGPD, dando ello lugar a la irremediable aplicación de las reglas
correspondientes al concurso de infracciones, tal y como desarrollaremos en la
Alegación C siguiente de este escrito. En cualquier caso negamos que se haya
producido una falta de diligencia por parte de Enérgya.”
Asimismo, alega Enérgya-VM que la propuesta de resolución imputa a Enérgya-VM
conductas que, en su opinión, en ningún caso corresponden a la parte reclamada
(evidencias relativas al tratamiento de datos con confusión y engaño realizado por
Nivalco en su labor de captación de nuevos clientes para Enérgya-VM).
La parte reclamada destaca que resulta claro que no se puede utilizar una conducta de
otra entidad para justificar la tipificación de una sanción supuestamente cometida por
Enérgya-VM. En su opinión, lo contrario sería vulnerar el principio de responsabilidad
personal plenamente aplicable al derecho administrativo sancionador.
En primer lugar, el Script de Venta VM, tal y como se acaba de exponer, no ha
quedado en modo alguno descartado.
En segundo lugar, resulta primordial destacar que la captación de nuevos clientes de
Enérgya-VM con confusión y engaño (30 contrataciones con confusión y engaño
aportadas por la CNMC (hecho probado sexagésimo) y de las (…) reclamaciones
relacionadas con el Canal Nivalco, remitidas a la AEPD tras un requerimiento del
Inspector (hechos probados sexagésimo primero y segundo) se produjeron cuando
Enérgya-VM era responsable del tratamiento.
Tanto la propuesta de resolución como esta resolución reflejan que Enérgya-VM,
responsable del tratamiento, era plenamente consciente de que su encargado Nivalco
estaba tratando los datos de los nuevos clientes de Enérgya-VM con confusión y
engaño, le facilitó un script de ventas que no permitía entender a los interesados el
contexto y el alcance del tratamiento y permitió que dicho comportamiento, contrario a
lo dispuesto en el RGPD y en la LOPDGDD, se prolongara en el tiempo (hasta la
finalización de la relación contractual con Nivalco el 1 de julio de 2020).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
188/227
El concepto de responsable implica ser responsable no solo de los tratamientos de
datos que efectúe uno mismo, sino también de los tratamientos de datos realizados
por su cuenta. En este sentido
la sentencia del TJUE de 5 de diciembre de 2023, dictada en el asunto C 683/21,
indica:
“83 Por lo que respecta, en segundo lugar, a la cuestión de si puede
imponerse una multa administrativa con arreglo al artículo 83 del RGPD a
un responsable del tratamiento en relación con las operaciones de
tratamiento efectuadas por un encargado, es preciso recordar que, según
la definición que figura en el artículo 4, punto 8, del RGPD, se entiende por
encargado del tratamiento «la persona física o jurídica, autoridad pública,
servicio u otro organismo que trate datos personales por cuenta del
responsable del tratamiento».
84 Dado que, como se ha indicado en el apartado 36 de la presente
sentencia, un responsable del tratamiento es responsable no solo por todo
tratamiento de datos personales que efectúe él mismo, sino también por
los tratamientos realizados por su cuenta, puede imponerse a ese
responsable una multa administrativa con arreglo al artículo 83 del RGPD
en una situación en la que los datos personales son objeto de un
tratamiento ilícito y en la que no es él, sino un encargado al que ha
recurrido, quien ha efectuado el tratamiento por cuenta suya.
85 No obstante, la responsabilidad del responsable del tratamiento por el
comportamiento de un encargado no puede extenderse a las situaciones
en las que el encargado haya tratado datos personales para fines que le
sean propios o en las que haya tratado dichos datos de manera
incompatible con el marco o las modalidades del tratamiento tal como
hayan sido determinados por el responsable del tratamiento o de manera
que no pueda considerarse razonablemente que dicho responsable hubiera
dado su consentimiento. En efecto, de conformidad con el artículo 28,
apartado 10, del RGPD, el encargado del tratamiento debe, en ese
supuesto, ser considerado responsable del tratamiento con respecto a
dicho tratamiento.” (el subrayado es nuestro).
Y según la dictada en el asunto C 807/21
24 En efecto, según el mencionado órgano jurisdiccional, esta
jurisprudencia, al igual que la mayoría de la doctrina nacional, concede
especial importancia al concepto de «empresa», en el sentido de los artículos
101 TFUE y 102 TFUE, y, por tanto, a la idea de que la responsabilidad se
imputa a la entidad económica en la que se ha adoptado el comportamiento
indeseable, por ejemplo, un comportamiento contrario a la competencia. A su
entender, conforme a esta concepción «funcional», todos los actos de todos los
empleados autorizados a actuar en nombre de una empresa son imputables a
la empresa, también en el marco de un procedimiento administrativo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
189/227
44 Por lo que respecta a las personas jurídicas, esto implica, por una parte,
como ha señalado, en esencia, el Abogado General en los puntos 57 a 59 de
sus conclusiones, que estas son responsables no solo de las infracciones
cometidas por sus representantes, directores o gestores, sino también por
cualquier otra persona que actúe en el ámbito de la actividad empresarial de
esas personas jurídicas y en su nombre. Por otra parte, las multas
administrativas previstas en el artículo 83 del RGPD en caso de que se
produzcan tales infracciones deben poder imponerse directamente a personas
jurídicas cuando estas puedan ser calificadas de responsables del tratamiento
en cuestión.
En consecuencia, teniendo en cuenta la citada doctrina jurisprudencial, esta AEPD
considera que Enérgya-VM es también responsable de las irregularidades cometidas
por su encargado Nivalco.
De la abundante documentación que obra en el procedimiento se desprende que
Enérgya-VM tenía poder de decisión sobre los fines y medios del tratamiento que
realizaba Nivalco, sin que pueda apreciarse ninguna de las circunstancias que el TJUE
considera indispensable para eximir al responsable del tratamiento de responsabilidad
por los actos de su encargado. En este sentido, Enérgya-VM determinó los fines y
medios del tratamiento que realizaba Nivalco. Los datos se trataron para perseguir los
fines fijados por Enérgya-VM en sus instrucciones, esto es obtener la contratación de
sus servicios a través de la acción publicitaria. El tratamiento que realizó Nivalco no
fue incompatible con estos fines, sino todo lo contrario, pues se dirigía a obtener el
mayor número de clientes para Enérgya-VM. Tampoco se realizó un tratamiento
incompatible con los medios determinados por el responsable. Como se ha indicado
de forma reiterada, tampoco puede afirmarse que Enérgya-VM, ni de forma previa ni
tras tener conocimiento de los posibles engaños, impidiera que tal tratamiento se
produjera en la forma en que Nivalco lo estaba llevando a cabo.
El artículo 28, apartado 10, del RGPD, establece una excepción y como tal excepción
debe ser interpretada restrictivamente.
4. Análisis del (…) desde la perspectiva de los principios de lealtad y transparencia.
El análisis que se va a efectuar se realiza en relación con el caso particular que está
siendo examinado en este expediente sancionador, a la vista de las circunstancias que
han concurrido en el mismo y de la información de la que disponía Enérgya-VM a
fecha 23 de septiembre de 2019 ( (...) la ejecución del mismo).
Enérgya-VM, en su escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023,
hace referencia a la implantación de un (…) encomendado a (...):
“59 Pero es más, precisamente, en el marco de dichas labores de valoración,
además de la auditoría encargada a (...) y a causa de los resultados de la
misma, Enérgya adoptó una medida esencial de refuerzo en el procedimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
190/227
de contratación de Nivalco, solicitando a (...). Medida que la AEPD ignora
totalmente en su Propuesta.
60 Esta medida consistía en que (...).
61 (…). Esta actuación por parte de Enérgya sirve, de nuevo, para demostrar
su diligencia en el procedimiento de contratación y alta de nuevos clientes.
62 Tal y como se desprende del certificado de prestación de servicios emitido
por (...) en fecha 22 de mayo de 2023 y que se adjunta como documento
número 12, (…), momento en el que Enérgya, tras la desconfianza que le
transmitía Nivalco y la notificación el 22 de abril de 2020 de un nuevo
requerimiento por parte de la CNMC, decidió resolver la relación contractual
que les unía, la cual en ningún momento se ha vuelto a retomar.”
También hace referencia a dicho (…) el certificado de (...) de 23 de mayo de 2023
(Documento 12, aportado por Enérgya-VM junto a su escrito de alegaciones al
acuerdo de inicio), hecho probado cuadragésimo tercero, en el que se indica:
“(…)1. Que con fecha 23 de septiembre de 2019 la mercantil ENERGYA VM
GESTION DE ENERGIA SLU encargó a (...) que (…), subscribiendo el
correspondiente contrato de servicios al efecto.
2. Que dicho servicio se circunscribió única y exclusivamente a las
contrataciones de dicho canal de ventas externo que promocionaba contratos
de suministro de electricidad y gas de ENERGYA VM GESTION DE ENERGIA
SLU. (…). Nótese que este servicio es independiente a la gestión concreta
realizada en octubre de 2019 para la auditoría interna de las contrataciones de
julio, agosto y septiembre por dicho canal.
3. Que con objeto del (…) y por tanto sus datos se integrasen en los sistemas
de ésta y se activase el suministro.
4. Que la citada prestación de servicios no incluía incentivo alguno por cliente
final, de suerte que (…)”
Asimismo, se facilita información sobre el contrato entre Enérgya-VM y (...). relativo a
este sistema en el escrito de la parte reclamada de fecha 31 de octubre de 2023, en el
que daba respuesta a la solicitud de práctica de prueba I, en el que se indica:
“SÉPTIMO. APARTADO 3.F DEL REQUERIMIENTO: CONTRATO DE
SERVICIOS CELEBRADO ENTRE ENÉRGYA-VM Y (...) AL OBJETO DE QUE
ESTA ÚLTIMA REALIZASE UNA (…) REALIZADAS POR EL CANAL DE
VENTA EXTERNA NIVALCO SOLUCIONES COMERCIALES S.L.
47. Enérgya tenía (…) se aportan, respectivamente, como documento número
11 y documento número 12 al presente escrito y es en el contexto de los
mismos en el que, con fecha 23 de septiembre se inicia (...), la cual fue
encargada de forma verbal por parte de Enérgya, si bien totalmente acreditada
mediante las facturas de los servicios que diligentemente aportamos junto al
presente escrito.
48. Puesto que en la página 2 del contrato de 3 de mayo de 2017 se especifica
lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
191/227
“(…).
(…).
[…]
“(…)”.
De la información que acaba de ser reproducida se desprende que:
1. (...).
2. (...).
3. (...).
4. Enérgya-VM indica que el objetivo de la llamada era (…). En relación con esta
cuestión, (...).
5. Enérgya-VM indica que la (…).
6. Enérgya-VM aclara que (…). En este mismo sentido, (...) explica que (…).
Si bien en sus certificados de fechas 25 de octubre y 8 de noviembre de 2023 figura un
primer párrafo, con el mismo contenido (hecho probado cuadragésimo quinto), en el
que se indica:
“(…)1. Que (...). prestó un (…) a la mercantil ENERGYA VM GESTION DE
ENERGIA SLU con CIF 883393066 (…).
Por tanto, en el momento en el que se realizaba (…) por parte de (...) ya figuraban
datos de los clientes captados a través del canal Nivalco en la base de datos de
Enérgya-VM.
A continuación, se va a efectuar un análisis del (…) desde la perspectiva del artículo
5.1 a) del RGPD:
1. (…).
2. (…).
Sin embargo, el tratamiento de datos personales por parte de Nivalco ya se ha
realizado, dado que los datos ya han sido obtenidos sin las garantías de un
tratamiento leal y transparente. Además, los datos del cliente figuran en la base de
datos de Enérgya-VM y (...).
La finalidad para la que se realizaron dichos tratamientos de datos personales ha
decaído, han perdido su razón de ser, ya que no se va a celebrar un contrato de
suministro de energía.
3. Desde el punto de vista del cliente de Enérgya-VM cuya contratación de suministro
de energía se decide “abortar”, el sistema no es leal ni transparente.
Dicha persona recibió la llamada de un comercial de Nivalco (encargado del
tratamiento de Enérgya-VM) ofreciéndole unos descuentos que se le iban a aplicar en
la próxima factura de la luz. Durante dicha llamada, facilitó datos de carácter personal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
192/227
al comercial y consintió en que le fueran aplicados los descuentos que se le ofrecían.
Por tanto, se ha realizado un tratamiento de datos personales, generándose unas
expectativas en dicho cliente.
4. Una vez que “se aborta” la contratación, no hay constancia de que nadie se ponga
en contacto con el cliente afectado para aclarar la situación e indicarle, que la
contratación para la que consintió y facilitó sus datos de carácter personal, no se va a
llevar finalmente a cabo.
5. Como puede observarse, se ha producido una pérdida de control por parte del
cliente de sus datos de carácter personal.
En el escrito de alegaciones a la propuesta de resolución, Enérgya-VM manifiesta su
sorpresa por el hecho de que “la AEPD ignore el exhaustivo seguimiento realizado por
Enérgya, lo cual supondría una evidencia del escrupuloso cumplimiento de la
normativa de protección de datos por esta parte más que una infracción.”
Añadiendo a continuación “(…) no logramos comprender cuál es el motivo por el que
la Agencia reprocha la contratación de un (…) y el posterior análisis de los resultados
obtenidos que, en última instancia, condujo a la resolución de la relación comercial
con Nivalco.”
Asimismo, destaca: “(…) la errada postura de la Agencia deja sin valor la implantación
de este valioso (…) que permitió detectar más de (…) contrataciones incorrectas
según los datos aportados por (...) en los meses siguientes al inicio de su adopción
voluntaria por Enérgya.”
Posteriormente, hace referencia a la Guía de Protección de Datos por Defecto de la
AEPD, a la importancia de realizar auditorías documentadas para garantizar el estricto
cumplimiento del RGPD y evidenciar el respeto a dicho principio.
Asimismo, resalta que la CNMC en el año 2020 publicó un informe de supervisión de
los servicios telefónicos de atención al cliente en el que calificó como muy positiva la
implatación de controles de revisión del consentimiento.
La parte reclamada alega que la supuesta falta de vigilancia o toma de medidas por
parte de Enérgya-VM en ningún caso estaría relacionada con una infracción del
artículo 5.1 a) del RGDP. De existir tal infracción, sería una infracción del artículo 5.2
del RGPD.
Asimismo, añade:
“77. Prueba de ello es que al final de la explicación de la Agencia sobre este
punto, se dice que: “En conclusión, se han expuesto los motivos por los que
cabría entender que el tratamiento llevado a cabo por Nivalco, como encargado
del tratamiento de Enérgya-VM, se realizó con confusión y engaño, que dichas
circunstancias eran conocidas por el Enérgya-VM (responsable del
tratamiento), que está última diseño y puso en marcha un (…) que adolecía de
deficiencias desde la perspectiva de los principios de lealtad y transparencia”.
78. En esta argumentación la AEPD tiene que recurrir a una explicación
intrincada, mezclando diversas conductas (por una parte, los hechos
perpetrados por Nivalco y, por otra, el supuesto conocimiento por parte de
Enérgya de los mismos) para intentar justificar la infracción del art. 5.1.a)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
193/227
RGPD. Esto tergiversa los verdaderos hechos, provocando así que cualquier
conducta realizada por un encargado del tratamiento pueda ser imputada al
responsable cuando supuestamente este tenga conocimiento de la misma y
vaciando por completo de contenido el principio de responsabilidad personal
como ya hemos indicado anteriormente que es un principio básico del sistema
punitivo, según el cual cada uno responde de sus propios actos, sin que quepa,
con el fin de una más eficaz tutela de los intereses públicos, establecer
responsabilidad alguna sancionable solidariamente por actos ajenos (STS de
24 de junio 1998).”
En primer lugar, la AEPD no ha ignorado el control del (…). De hecho, ha examinado
su contenido partiendo de dos perspectivas, lo dispuesto en el artículo 5.1 a) del
RGPD y lo previsto en el artículo 5.2 del RGPD. Una cuestión distinta, es que no
coincida con la valoración que efectúa la parte reclamada del mismo.
Afirma Enérgya-VM que los resultados obtenidos del control del (…) condujeron, en
última instancia, a la resolución de la relación comercial con Nivalco.
En relación con dicha afirmación, cabe recordar que, tal y como refleja el hecho
probado vigésimo quinto, el 28 de mayo de 2020 Enérgya-VM dirigió un escrito a su
encargado del tratamiento Nivalco titulado “(…)”, en el que indicaba que dicha
resolución se debía (…).
El hecho probado vigésimo sexto, refleja como Enérgya-VM reconoce, en el escrito de
alegaciones al acuerdo de inicio de 7 de junio de 2023, que la recepción del segundo
bloque de requerimientos de la CNMC fue determinante para concluir su relación
contractual con Nivalco.
Sin embargo, en el escrito de alegaciones a la propuesta de resolución, la parte
reclamada afirma que la resolución de su relación contractual con Nivalco realmente
se debió a los resultados obtenidos por (…).
El análisis de la información que figura en el expediente y de las fechas reflejadas en
el fundamento II de esta resolución llevan a la conclusión de que la resolución de la
relación con Nivalco se produjo tras recibir el 22 de abril de 2020 un nuevo
requerimiento por parte de la CNMC, ante el temor a ser sancionada por la misma.
Sanción que, de hecho se produjo, el 22 de julio de 2020, tal y como refleja el
fundamento de derecho II.
Enérgya-VM hace referencia a la Guía de Protección de datos por Defecto de la AEPD
y a una valoración efectuada por la CNMC en materia de consumidores en el sector de
la energía.
La valoración que se efectúan en este apartado del fundamento de derecho, no
expone la posición con carácter general de la AEPD sobre sistemas de confirmación
de la contratación, sino que analiza la falta de claridad y transparencia en el (…) de
Enérgya-VM, partiendo de una perspectiva también concreta (el cumplimiento del
principio de lealtad y transparencia), al objeto de comprobar si su contenido se ajusta a
lo dispuesto en el artículo 5.1 a) del RGPD y llegando a la conclusión de que no se
ajusta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
194/227
Finalmente, como se ha destacado anteriormente la sentencia del TJUE de 5 de
diciembre de 2023, dictada en el asunto C 683/21 indica que el concepto de
responsable implica ser responsable no solo de los tratamientos de datos que efectúe
uno mismo, sino también de los tratamientos de datos realizados por su cuenta.
En conclusión, se han expuesto los motivos por los que cabría entender que el
tratamiento llevado a cabo por Nivalco, encargado del tratamiento, realizado por
cuenta de de Enérgya-VM, se llevó a cabo con confusión y engaño. Se ha puesto de
manifiesto que dichas circunstancias eran conocidas por el Enérgya-VM (responsable
del tratamiento). Asimismo, se ha analizado el control sobre el (…), poniéndose de
manifiesto en el mismo deficiencias desde la perspectiva de los principios de lealtad y
transparencia.
Por tanto, Enérgya-VM ha infringido el contenido del artículo 5.1 a) del RGPD.
B. Infracción del artículo 5.2 del RGPD:
El artículo 5.2 del RGPD, que regula la responsabilidad proactiva, dispone:
“2. El responsable del tratamiento será responsable del cumplimiento de lo
dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad
proactiva»).”
Por su parte, el artículo 24 del RGPD, que regula la responsabilidad del responsable
del tratamiento, prevé:
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del
tratamiento así como los riesgos de diversa probabilidad y gravedad para los
derechos y libertades de las personas físicas, el responsable del tratamiento
aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y
poder demostrar que el tratamiento es conforme con el presente Reglamento.
Dichas medidas se revisarán y actualizarán cuando sea necesario.
2. Cuando sean proporcionadas en relación con las actividades de tratamiento,
entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por
parte del responsable del tratamiento, de las oportunas políticas de protección
de datos.
3. La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrán ser
utilizados como elementos para demostrar el cumplimiento de las obligaciones
por parte del responsable del tratamiento.”
Los artículos 5.2 y 24 del RGPD, anteriormente reproducidos, permiten examinar si
Enérgya-VM (responsable del tratamiento) adoptó diligentemente las medidas técnicas
y organizativas necesarias para garantizar el cumplimiento del RGPD y poder
demostrarlo.
El principio de responsabilidad proactiva requiere que el responsable del tratamiento
garantice el cumplimiento de los principios del RGPD y que sea capaz de demostrar tal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
195/227
cumplimiento. El RGPD incorpora una serie de obligaciones en cumplimiento del
principio de responsabilidad proactiva, sin perjuicio de otras que pudieran ser
necesarias para el objetivo de garantizar y proteger los derechos y libertades de las
personas físicas cuyos datos son tratados
Examinado la documentación del expediente, se aprecian una serie de cuestiones que
no se compadecen con lo dispuesto en el artículo 5.2 del RGPD:
1.Enérgya-VM no realizó un análisis de riesgos relativo a Nivalco:
Según se explica en la guía “Gestión del riesgo y evaluación de impacto en
tratamientos de datos personales” de la AEPD, “El RGPD establece la obligación de
gestionar el riesgo que para los derechos y libertades de las personas supone un
tratamiento. Este riesgo surge tanto por la propia existencia del tratamiento, como por
las dimensiones técnicas y organizativas del mismo. El riesgo surge tanto por el
tratamiento automatizado de datos como por su procesamiento manual, por los
elementos humanos y por los recursos implicados. El riesgo surge por los fines del
tratamiento y su naturaleza, y también por su alcance y el contexto en el que se
desenvuelve”.
El responsable del tratamiento debe aplicar medidas técnicas y organizativas
apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el
RGPD y estas medidas deben ser adoptadas teniendo en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa
probabilidad y gravedad para los derechos y libertades de las personas físicas.
Resulta llamativo que Enérgya-VM no realizara un análisis de riesgos previo que
tuviera en cuenta el riesgo generado por la externalización de los servicios y que ni
siquiera realizara un análisis de riesgos relacionado con el tratamiento de datos
realizado por su encargado del tratamiento Nivalco, especialmente tras ser alertado
por (...) y conocer los resultados de la auditoría realizada por (...) sobre el Canal
Nivalco reflejados en el hecho probado trigésimo noveno.
Tras el referido informe de auditoría, Enérgya-VM tenía constancia de que a través de
uno de sus encargados del tratamiento (Nivalco) se habían producido tratamientos de
datos de carácter personal en base a información engañosa y confusa.
Tampoco realizó un análisis de riesgos relativo a Nivalco tras haber presentado el 10
de octubre de 2019 una denuncia contra (...) de dicha empresa, a pesar de no tener
seguridad de que la mala praxis se limitara al grupo de (...) denunciados (hecho
probado séptimo). Tal y como se refleja en el texto de la denuncia presentada ante el
Juzgado de (...):
“(…)”.
Existía la posibilidad de que se tratara de un problema que afectara a toda la
organización y de que los casos de mala praxis se continuaran produciendo en el
futuro.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
196/227
En el escrito de alegaciones al acuerdo de inicio, Enérgya-VM reconoce no haber
realizado dicho análisis de riesgos (hecho probado quincuagésimo cuarto):
“63.2 En segundo lugar, la AEPD indica que no consta un análisis de riesgos
tras los resultados obtenidos en la auditoría interna. Esta afirmación es
incongruente con las múltiples acciones implementadas por Enérgya y puestas
a disposición de la AEPD por parte de Enérgya. A este respecto, la AEPD
menciona en su Guía de Gestión del riesgo y evaluación de impacto en
tratamientos de datos personales lo siguiente: “La gestión del riesgo implica
actividades como contextualizar, identificar, analizar, evaluar, actuar y revisar.”
63.3 En este sentido, Enérgya dedicó sendos esfuerzos a contextualizar,
identificar, analizar y evaluar las conductas de Nivalco. El motivo por el que
Enérgya, tras la fase de identificación y análisis no llevó a cabo una evaluación
de riesgos más exhaustiva es simple: optó por la resolución del Contrato con
Nivalco.” (el subrayado es nuestro).
En el escrito de Enérgya-VM de 31 de octubre de 2023 en contestación a la práctica
de prueba I se indica (hecho probado quincuagésimo cuarto):
“DÉCIMO. APARTADO 3.J DEL REQUERIMIENTO: ANÁLISIS DE RIESGOS
PARA LOS DERECHOS Y LIBERTADES DE LOS INTERESADOS, FECHADO
Y FIRMADO, QUE, EN SU CASO, HUBIERE REALIZADO ENÉRGYA-VM EN
RELACIÓN CON LA PARTICIPACIÓN DE ENCARGADOS DEL
TRATAMIENTO EN EL PROCESO DE CONTRATACIÓN.
68. En primer lugar, la elaboración de un análisis de riesgos para evaluar el
impacto de la contratación de encargados del tratamiento no constituye una
obligación de conformidad con lo establecido en el RGPD y la LOPDGDD.
69. Por otro lado, como ya se indicó en el escrito de Alegaciones, en el
momento en que fueron identificadas las presuntas irregularidades, era Nivalco
y no Enérgya el responsable del tratamiento de la Base de Datos. Por lo tanto,
incluso si Enérgya hubiese realizado dicho análisis de riesgos, Nivalco no
habría sido evaluado respecto a los tratamientos efectuados en el proceso de
captación.” (el subrayado es nuestro).
No se comparte la opinión de Enérgya-VM. En una situación como la existente (tras
haber recibido el burofax de (...) de 10 de septiembre de 2019, la información
procedente de la primera auditoría de (...), haber presentado una denuncia contra (...)
de Nivalco ante el Juzgado de (...) y tener conocimiento de que (…), cuando menos,
resultaba necesario haber realizado un análisis de riesgos con respecto a dicho
encargado y los tratamientos de datos personales que llevaba a cabo con motivo de la
captación de nuevos clientes para Enérgya-VM a fin de poder adoptar las medidas
adecuadas para garantizar el cumplimiento del RGPD.
Otros elementos, de los que se desprende que era conocedor Enérgya-VM y que
apuntaban al mayor riesgo existente en relación con dicho encargado del tratamiento
(inexperiencia en el sector de la venta telefónica y falta de mecanismos de control
interno adecuados), reconocidos expresamente por Nivalco en su escrito de fecha 21
de octubre de 2019 (hecho probado quincuagésimo quinto):
“(…) Dicho esto, hemos de reconocer que en el inicio de la colaboración y
debido básicamente a nuestra inexperiencia en el sector de la venta telefónica
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
197/227
y la coincidencia del arranque de la campaña con la época estival en la que no
estábamos bien dimensionados a nivel administrativo, los mecanismos de
control que instauramos no fueron adecuados tal y como hemos visto con
posterioridad.”
No se comprende, como a la vista de todas estas circunstancias, Enérgya-VM, no
realizara un análisis de riesgos.
2. Enérgya-VM no realizó un control adecuado de la procedencia de los datos de
carácter personal que utilizaba su encargado del tratamiento Nivalco:
Nivalco entregó a Enérgya-VM una declaración responsable, de fecha 28 de junio de
2019, en la que afirmaba que los datos de contacto de personas físicas y jurídicas
procedentes de su base de datos habían sido obtenidos de manera lícita y legítima
conforme al RGPD. (...) advirtió a Enérgya-VM que sus encargados contactaban con
clientes de (...) haciéndose pasar por ella.
Sin embargo, a la vista de lo dispuesto en el artículo 7 del Real Decreto 1435/2002, de
27 de diciembre, por el que se regulan las condiciones básicas de los contratos de
adquisición de energía y de acceso a las redes en baja tensión, Enérgya-VM tenía la
seguridad de que Nivalco no podía haber obtenido dichos datos de carácter personal
del Sistema de Información de Puntos de Suministro (SIPS).
De este modo, el artículo 7.2 del Real Decreto 1435/2002 dispone “En todo caso, ni
las empresas comercializadoras ni la Comisión Nacional de los Mercados y la
Competencia podrán acceder a cualquier información que directamente identifique al
titular del punto de suministro, y en particular, a los datos recogidos en los apartados
c), z) y aa) del apartado 1 Adicionalmente, las empresas comercializadoras no podrán
acceder a la información del apartado ac), quedando accesible para la Comisión
Nacional de los Mercados y la Competencia, en el ejercicio de sus funciones”. Es
decir, las empresas comercializadoras no podrán acceder a la siguiente información
del SIPS:
c) Ubicación del punto de suministro, que incluye dirección completa (tipo de
vía, nombre de la vía, número, piso y puerta). Esta información debe referirse
en todo momento al punto de suministro y no a la ubicación, población y
provincia del titular de dicho punto de suministro que se exige en la letra aa) de
este mismo artículo
z) Nombre y apellidos, o en su caso denominación social y forma societaria, del
titular del punto de suministro.
aa) Dirección completa del titular del punto de suministro. Esta información
debe
referirse en todo momento al titular del punto de suministro y no a la ubicación,
población y provincia de dicho punto de suministro que se exige en la letra c)
de
este mismo artículo.
ac) Empresa comercializadora que realiza actualmente el suministro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
198/227
Por tanto, se desconoce cómo Nivalco pudo obtener dichos datos de contacto (nombre
y apellidos/razón social y teléfono de contacto del potencial cliente). Nivalco incluso
conocía quien era la comercializadora que realizaba el suministro, es decir conocía
que la comercializadora de las personas con las que contactaba era (...).
Este aspecto, debería haber sido relevante para Enérgya-VM (responsable del
tratamiento) y haber adoptado medidas proactivas para comprobar el origen lícito de
dicha información. Esta falta de proactividad resulta especialmente grave a la vista de
las circunstancias concurrentes en este expediente (burofax enviado por (...) el 10 de
septiembre de 2019, denuncia a los (...) de Nivalco, conocimiento por parte de
Enérgya-VM de que (...).
Llama la atención que, en un caso como este, no se adoptara ninguna medida
adicional en relación con el control relativo a la procedencia de dichos datos de
contacto (necesarios para poder aplicar el argumentario elaborado por Enérgya-VM o
(...)) y se limitara a la medida primigenia consistente en una mera declaración
responsable de Nivalco, sin realizar ningún tipo de indagación sobre el origen de
dichos datos de contacto por parte de Enérgya-VM. Teniendo en cuenta los hechos
que constan en este procedimiento, cabe concluir que la medida adoptada
(declaración responsable de Nivalco) resulta a todas luces insuficiente.
3. Ausencia de un control continuado y exhaustivo de las grabaciones de voz del
proceso de contratación aportadas por Nivalco a Enérgya-VM:
El Acuerdo de promoción de contratos a comisión de fecha 1 de julio de 2019 firmado
por Enérgya-VM con Nivalco contiene varias previsiones relativas a la obligación del
promotor (Nivalco) de efectuar una grabación de voz del proceso de contratación, tal y
como se refleja en el hecho probado quincuagésimo sexto.
“(…):
(…)
(…)
(…)”
(…):
“(…).”
(…):
“(…).”
(El subrayado es de la AEPD en los tres casos).
En consecuencia, Nivalco, en calidad de encargado del tratamiento, estaba obligado a
realizar una grabación del proceso de venta y a aportarla a Enérgya-VM (hecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
199/227
probado quincuagésimo séptimo), tal y como ha confirmado la parte reclamada
durante la práctica de prueba I:
“G. En relación con las grabaciones de voz de los procesos de contratación
realizadas por el canal de venta externa NIVALCO SOLUCIONES
COMERCIALES S.L, indicar si dicho promotor enviaba a Enérgya-VM las
mencionadas grabaciones de voz. En caso afirmativo, aclarar si remitía todas
las grabaciones y especificar la frecuencia con la que dichas grabaciones eran
enviadas a Enérgya-VM.”
49. En relación con las grabaciones de voz de las llamadas realizadas por
Nivalco, dicha empresa facilitaba a Enérgya exclusivamente aquellas relativas
a los interesados que iniciaban el proceso de contratación, nunca las llamadas
de contactos previos comerciales fallidos. En particular, Nivalco, cuando un
cliente sí iniciaba el proceso de contratación, (…) de Enérgya.
50. Téngase en cuenta, una vez más, que esta forma de operar es
absolutamente coherente con el flujo de datos y los roles de Enérgya y Nivalco
respecto a la información personal de los interesados. Tal y como se puso de
manifiesto en las Alegaciones, Nivalco era el único responsable del tratamiento
durante la fase de captación, en la medida determinaba de manera autónoma
los medios y finalidades del tratamiento de aquellos datos incluidos en la Base
de Datos.
51. La operativa respecto a las grabaciones no hace más que confirmar lo
mencionado en el párrafo anterior y desarrollado en las Alegaciones. Como no
puede ser de otra forma, Nivalco actuaba como responsable del tratamiento de
la Base de Datos durante la fase de captación y, por ello, (…) las grabaciones
relativas a aquellos consumidores que no confirmaban su intención de
contratar a Enérgya.
52. En suma, Enérgya únicamente ha tratado los datos de aquellos clientes
que, en algún momento, decidieron formalizar el contrato de suministro y, por lo
tanto, no ha accedido a grabaciones ajenas a este proceso de contratación.”
(…).
Enérgya-VM, (...), accedió en un primer momento a las grabaciones aportadas por
Nivalco. Así lo reflejan:
El correo electrónico enviado por Dña. D.D.D. a dos empleados de Nivalco el día 10 de
septiembre de 2019 a las 13:20 horas titulado IMPORTANTE. Grabaciones Venta a
Nivalco, parte de cuyo contenido se refleja en el hecho probado quincuagésimo
noveno, en el que se dice:
“(…) Puesto que en las llamadas de captación que Uds. (…), que estamos
revisando, no se observan cuestiones que revelen esta conducta,
agradeceríamos nos confirmen si existen o no llamadas previas de contacto
con los clientes, que no nos remiten. Les rogamos que nos confirmen o nos
remitan todo el expediente de contratación de por ejemplo la cliente E.E.E..”
El correo electrónico enviado por D. B.B.B. a un empleado de (...) el 10 de septiembre
de 2019 a las 18:29 (Documento 2 aportado por Enérgya-VM en contestación a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
200/227
práctica de prueba I), parte de cuyo contenido se refleja en el hecho probado
quincuagésimo noveno, en el que se indica:
“(…) y pudiera ser que el canal NIVALCO desde un call center que tienen en
(…) estuviera incurriendo en una contratación que presenta la misma como
descuentos de (...) o como canal asociado a (...). Tenemos que recabar
pruebas concluyentes ya que las llamadas de contratación que nos aportan,
parecen conformes. Hay no obstante 3 desistimientos que han llegado ayer,
que tienen indicios similares a los comentados.
Seguimos investigando, ya que no hace mucho que trabajamos con ese canal,
y vamos a revisar las llamadas que tengamos, ya que ello perjudica nuestra
imagen, contraviene nuestros procedimientos y lo previsto en el contrato con
dicho canal”
Enérgya-VM optó por encomendar a (...) el control de la actuación de su encargado del
tratamiento, Nivalco. (...).
Mientras tanto, las grabaciones de voz del proceso de contratación realizado por
Nivalco se fueron acumulando en el (…), sin un control efectivo y continuado de las
mismas.
La falta de adecuación de la actuación de Nivalco con el RGPD pudo ser detectada
con la comprobación de las grabaciones de voz del proceso de contratación.
En este sentido, resultan llamativas las evidencias de engaño y confusión detectadas
por la CNMC en relación con la mayoría de las 30 contrataciones, cuya documentación
ha sido aportada por la CNMC a esta Agencia. Tales evidencias no fueron detectadas
por la parte reclamada, a pesar de tener las grabaciones en sus sistemas.
Asimismo, resulta llamativo que el escrito de alegaciones al acuerdo de inicio de 7 de
junio de 2023 no haga referencia a dichas grabaciones de voz, cuando eran un
instrumento que permitía comprobar cómo estaba interactuando Nivalco con los
clientes potenciales.
Por otra parte, en los escritos de Enérgya-VM a los que ha tenido acceso esta
Agencia, aparte de los dos correos electrónicos de 10 de septiembre de 2019 ya
mencionados, figura una referencia a las mismas en el burofax de fecha 23 de octubre
de 2019 enviado por Enérgya-VM a (...) (Documento 5, aportado por Enérgya-VM en
respuesta a la práctica de prueba I).
En dicho escrito, se refleja que el control de las llamadas por parte de Enérgya-VM se
había limitado a verificar que los comerciales de Nivalco no contaban con el número
de cuenta corriente del cliente potencial sin establecer ningún control sobre la
obtención de otros datos necesarios para la contratación, hecho probado
quincuagésimo noveno, indicándose:
“ Sin perjuicio de lo indicado por vosotros sobre comunicaciones a vuestros
clientes y lo que eventualmente pudiera derivarse de las reclamaciones, lo
cierto es que las llamadas proporcionadas en origen por NIVALCO
SOLUCIONES COMERCIALES, SL no permiten concluir que los operadores
contaran con los datos bancarios de los clientes contactados. Por ello, y para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
201/227
poder actuar con mayor rapidez y eficacia, en caso de que proceda, te
solicitamos de nuevo que sí disponéis de grabaciones o de otros testimonios
fidedignos que constaten hechos irregulares, nos las remitáis, indicándonos
igualmente cómo han sido obtenidas.”
Por otra parte, en el correo electrónico enviado por D. A.A.A. a dos empleados de
Nivalco de fecha 13 de septiembre de 2019 a las 13:20 (Documento 4 aportado por
Enérgya-VM junto con su escrito de alegaciones el acuerdo de inicio), se destaca:
“En este sentido tras consultarlo con nuestra Asesoría Jurídica, os reiteramos
la necesidad de:
(…)
(…).”
Enérgya-VM podía dar instrucciones a su encargado del tratamiento, pero en cualquier
caso debería haber revisado las grabaciones que le había entregado Nivalco para
constatar que efectivamente respetaban el argumentario elaborado por la reclamada
(Script de venta VM).
En conclusión, resulta llamativa la falta de control de las grabaciones de voz por parte
de Enérgya-VM. Se prevé su carácter obligatorio en el contrato con Nivalco, pero
luego no se efectúa un control exhaustivo y continúo de las mismas, a pesar de que
Enérgya-VM va recibiendo información por distintas vías que le alertan de que algo no
funciona correctamente en el canal Nivalco.
El control del contenido de dichas llamadas hubiera permitido a Enérgya-VM
comprobar de primera mano si Nivalco utilizaba argumentos engañosos o confusos en
el proceso de captación de los clientes potenciales, así como si dicho encargado del
tratamiento aplicaba correctamente el argumentario elaborado por Enérgya-VM (…).
Las 30 contrataciones aportadas a la Agencia por la CNMC se produjeron en el
periodo en el que estaba implantado el (…) encomendado a (...) (en la mayoría de
dichos expedientes figura la llamada de verificación realizada por personal de (...)) y, a
pesar de los argumentos claramente engañosos utilizados por los comerciales de
Nivalco, las 30 contrataciones pasaron dicho filtro y se formalizaron los contratos de
suministro eléctrico. Esta circunstancia, lleva a cuestionar la eficacia del sistema
implantado por Enérgya-VM.
4. Enérgya-VM no articuló un mecanismo de control eficaz sobre la conducta de
Nivalco, que trataba datos de clientes potenciales en nombre y por cuenta de Enérgya-
VM.
En el escrito de alegaciones al acuerdo de inicio, se indica:
“57 Del informe elaborado por (...) en el marco de la auditoría encargada por
Enérgya es necesario destacar determinados resultados que parecen haber
sido malinterpretados por la AEPD:
57.1 (…) tiene en cuenta parámetros que sólo permiten valorar la mala praxis
comercial de Nivalco y que no puede relacionarse con la forma de tratar datos
personales por parte de Enérgya. Reproducimos a continuación tales
parámetros (expuestos en la página 6 del informe de (...)):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
202/227
“1) (…)
2) (…)
3) (…)
4) (…)
5) (…)
57.2 Como podemos observar, (...). Es sencillo verificar como la información
contenida en el (…) difiere en su totalidad con la empleada por Nivalco para,
en calidad de responsable del tratamiento, engañar a los interesados.” (el
subrayado es nuestro).
Partiendo de una perspectiva basada en el artículo 5.2 del RGPD, el establecimiento,
en una situación como esta, de un (…) no resultaba eficaz, al tratarse de una medida a
posteriori que no impedía a Nivalco seguir captando clientes potenciales de acuerdo
con su argumentario “desviado” con respecto al (...)
Tal y como se ha reflejado en el hecho probado quincuagésimo primero la llamada de
(…) realizada por (...) era una llamada de calidad, destinada a verificar la calidad de la
atención recibida por parte del comercial de Nivalco y a verificar el consentimiento del
nuevo cliente de Enérgya-VM.
En el hecho probado quincuagésimo primero, se refleja, de forma sintética, el
contenido de las llamadas de verificación que realizaba (...).
En dichas llamadas no se hacía ninguna referencia expresa al tratamiento de datos de
carácter personal, ni se preguntaba sobre la valoración del tratamiento de los datos de
carácter personal realizada por el personal de Nivalco, ni se verificaba que el cliente
era consciente de que el nuevo responsable del tratamiento de sus datos personales
era Enérgya-VM.
5 Actitud más reactiva que proactiva:
Al examinar la documentación que obra en el expediente se aprecia que Enérgya-VM
ha tenido una actitud fundamentalmente reactiva.
Se aprecia una honda preocupación por proteger intereses de la propia organización
(su reputación, evitar posibles perjuicios). Es decir, los intereses de la empresa son lo
fundamental, lo primordial, estando claramente por encima del interés por la protección
de los datos de carácter personal o de los derechos y libertades de los interesados (los
clientes potenciales de Enérgya-VM captados a través del canal Nivalco).
Así lo demuestra el hecho de que, en lugar de ir a la raíz del problema, impidiendo de
forma efectiva que Nivalco continuara captando clientes para Enérgya-VM utilizando
argumentos engañosos o confusos, se optara por un sistema en el que se dejaba que
dichas captaciones continuaran, estableciendo un filtro externo, que actuaba a
posteriori, y que no resultó ser eficaz.
Enérgya-VM pudo establecer la obligación de dar cumplimiento a las disposiciones
contenidas en el Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se
aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
203/227
Usuarios y otras leyes complementarias, sobre comunicaciones comerciales a
distancia.
El artículo 96 de la citada norma, bajo el epígrafe comunicaciones comerciales a
distancia, dispone en sus apartados 1 y 2, lo siguiente:
“1. En todas las comunicaciones comerciales a distancia deberá constar
inequívocamente su carácter comercial.
2. En el caso de comunicaciones telefónicas, deberá precisarse explícita y
claramente, al inicio de cualquier conversación con el consumidor y usuario, la
identidad del empresario, o si procede, la identidad de la persona por cuenta
de la cual efectúa la llamada, así como indicar la finalidad comercial de la
misma. En ningún caso, las llamadas telefónicas se efectuarán antes de las 9
horas ni más tarde de las 21 horas ni festivos o fines de semana.”
Por tanto, una medida que pudo evitar confundir a los destinatarios de la oferta
comercial sobre el carácter comercial de la llamada y sobre la identidad del
responsable, podría haber sido dar instrucciones a su encargado sobre la necesidad
de advertir a los destinatarios, al inicio de la conversación y de forma inequívoca, de
su carácter comercial y de la identidad de la empresa por cuenta de la cual realizaba la
llamada. Sin embargo, no adoptó medidas previas que pusieran fin a contrataciones
en las que podía concurrir el engaño, optando por realizar un control ex post y parcial.
También lo refleja la causa que determinó la conclusión del contrato con Nivalco.
Tal y como se expone en el antecedente cuarto, en el escrito de fecha 28 de mayo de
2020, por el que Enérgya-VM comunicó a Nivalco la resolución del Acuerdo de
promoción de contratos a comisión, hecho probado vigésimo quinto, en el que se
indicaba:
“(…):
• (…).
• (…).
(…).”
Por tanto, se indicaba que la causa de conclusión del contrato era la crisis sanitaria del
COVID-19.
Sin embargo, en el escrito de alegaciones al acuerdo de inicio elaborado por Enérgya-
VM se aclaraba la auténtica razón por la que rescindió dicho contrato:
“43. Así pues, sin caer en un sesgo retrospectivo y evitando analizar los hechos
pasados bajo la información de la que disponemos a día de hoy – y que
Enérgya desconocía entonces –, es esencial tener en cuenta todo lo
mencionado: (i) que Enérgya nunca dejó de auditar y vigilar las conductas de
Nivalco; (ii) que Enérgya mantuvo la relación contractual como consecuencia
de una mejora de los procesos de supervision internos en toda la contratación
de Nivalco – y no a causa de una conducta omisiva en materia de protección
de datos –; y, (iii) que en el preciso instante en el que Enérgya tuvo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
204/227
conocimiento de que las incidencias de Nivalco continuaban, en menor medida
no obstante, remitió la carta de resolución contractual de fecha 28 de mayo de
2019.
44. A dicho respecto, debemos transmitir que para Enérgya supuso un hecho
definitorio la notificación en fecha 22 de abril de 2020 de un nuevo
requerimiento de información por parte de la CNMC. Decimos esto porque la
CNMC tuvo un primer bloque de requerimientos entre octubre y noviembre de
2019, tras el cual los requerimientos se pararon durante meses. A partir de
finales de abril y mayo se inició otro nuevo bloque de requerimientos que
supuso un punto de inflexión entre la relación de Enérgya y Nivalco, y que llevó
a Enérgya a tomar la decisión inmediata de resolver el Contrato con Nivalco.”
(el subrayado es nuestro).
“64 Finalmente, la AEPD, de manera completamente arbitraria, afirma que
Enérgya rescindió el contrato con Nivalco, pero lo hizo como consecuencia del
impacto que tuvo la crisis provocada por la COVID-19, por lo que esta decisión
no puede ser tenida en cuenta como media adoptada por el responsable a
consecuencia de la pérdida de confianza. Sorprende a Enérgya que sea la
AEPD la que decida sobre un hecho subjetivo como la intención o causa que
motivó la resolución del Contrato con Nivalco. De nuevo, la AEPD interpreta la
carta de resolución contractual remitida por Enérgya a Nivalco como una
comunicación aislada sin tener en cuenta que, a pesar de que en dicha carta
se mencione la crisis sanitaria (ya que eran meses de inactividad generalizada
por todos conocida), Enérgya adoptó la decisión de rescisión del contrato de
forma prudente al recibir el segundo bloque de requerimientos de la CNMC a
partir del 22 de abril de 2020.” (el subrayado es nuestro).
Como puede apreciarse, el interés que motivó la conclusión del contrato no fue evitar
que Nivalco continuara la captación de clientes de forma engañosa o confusa, sino la
amenaza que suponía, para el interés de Enérgya-VM, la recepción de un segundo
requerimiento de información por parte de la CNMC.
En conclusión, si bien Enérgya-VM realizó actuaciones tras la recepción del burofax de
(...) de 10 de septiembre de 2019, se aprecian importantes omisiones, así como una
actitud fundamentalmente reactiva, que pretendía velar por el interés de la
organización, primándolo con respecto a la protección de datos de carácter personal y
una adecuada protección de los derechos y libertades de los interesados (clientes
potenciales de Enérgya-VM captados a través del canal Nivalco). Siendo posible
apreciar una vulneración del artículo 5.2 del RGPD.
Como se ha ido analizando a lo largo de este fundamento de derecho, no cabe
entender que Enérgya-VM haya actuado conforme a los más altos estándares de
diligencia, tal y como afirma en su escrito de alegaciones al acuerdo de inicio de fecha
7 de junio de 2023.
Se han expuesto los motivos por los que cabría entender vulnerado el artículo 5.1 a)
del RGPD, al haberse producido el tratamiento de datos de carácter personal de
nuevos clientes de Enérgya-VM con engaño y confusión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
205/227
En cuanto al artículo 5.2 del RGPD, también cabría considerarlo vulnerado. Se han
puesto de manifiesto importantes omisiones por parte de Enérgya-VM como
responsable del tratamiento y un sistema de control a posteriori con importantes
carencias.
XII
Tipificación y calificación de las infracciones
Enérgya-VM es el responsable del tratamiento de datos de carácter personal, en unas
contrataciones en las que se utilizaron datos de carácter personal, cuyo origen era
desconocido por los posibles clientes, y en las que se obtuvieron datos personales de
los mismos en un contexto caracterizado por el engaño y la confusión:
Sin que se hayan respetado los principios de lealtad y transparencia, en la
información facilitada a las personas que se deseaba captar como nuevos
clientes de Enérgya-VM y cuyo tratamiento de datos personales se estaba
llevando a cabo, tal y como exige el artículo 5.1 a) del RGPD.
Sin que quepa apreciar, por parte de dicha compañía, una actuación diligente
conforme a la responsabilidad proactiva, contemplada en el artículo 5.2 del
RGPD, en relación con el artículo 24.
En consecuencia, los hechos conocidos son constitutivos de:
Una infracción del artículo 5.1 a) del RGPD
Una infracción del artículo 5.2 del RGPD
Siendo ambas imputables a Enérgya-VM, con el alcance expresado en el Fundamento
de Derecho anterior, lo que supone la comisión de dos infracciones tipificadas en el
artículo 83.5, apartado a) del RGPD, que bajo la rúbrica “Condiciones generales para
la imposición de multas administrativas” dispone que:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20 000 000 EUR como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4 %
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
206/227
A efectos del plazo de prescripción, las dos infracciones imputadas prescriben a los
tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy graves las
siguientes conductas:
Artículo 72. Infracciones consideradas muy graves.
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las
infracciones que supongan una vulneración sustancial de los artículos
mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”
Así a efectos del plazo de prescripción, ambas infracciones prescriben a los tres años,
tal y como dispone el artículo 72 de la LOPDGDD. En consecuencia, las acciones de
las que es responsable Enérgya-VM no habrían prescrito, tal y como defiende la parte
reclamada.
XIII
Criterios de graduación de la cuantía
Estas infracciones pueden ser sancionadas con multa de 20 000 000 € como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el artículo 83.2 del RGPD:
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
207/227
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
apartado segundo “Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
208/227
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
Por la infracción del artículo 5.1 a) RGPD
Como agravantes:
Artículo 83.2 del RGPD
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
Los hechos reflejados en este acuerdo de inicio son muy graves. Reflejan que el
tratamiento de datos de carácter personal que realizaba Nivalco en calidad de
encargado del tratamiento de Enérgya-VM, no respetaba los principios de lealtad y
transparencia.
La documentación y grabaciones aportadas por la CNMC, las reclamaciones que ha
enviado Enérgya-VM a requerimiento del Inspector, los casos de mala praxis reflejados
en el informe de la auditoría interna realizada por (...), así como los casos clasificados
como “(…)” reflejados en los certificados de (...) de 25 de octubre y 8 de noviembre de
2023, reflejan un elevado número de afectados.
Asimismo, el informe de la Dirección General de la Policía (CGPJ) de fecha 25 de
octubre de 2022, que indica el modus operandi utilizado por el entramado empresarial
en el que participaba Nivalco. En dicho informe, se pone de manifiesto que el
entramado promovía la contratación de clientes de (...) con Enérgya-VM, tras haber
realizado (...).
El referido informe policial refleja las llamadas realizadas desde los números de
teléfono (…), (…), (…) y (…) titularidad de Nivalco, a VM Energía (Verificación), hecho
probado decimotercero.
Dichas llamadas representan nuevos clientes captados por Enérgya-VM a través de
Nivalco.
En la siguiente tabla se reflejan las cifras de dichas llamadas:
(…) (…) (…) (…)
(…) (…)
(…) (…) (…) (…)
(…) (…)
(…) (…)
(…) (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
209/227
Asimismo, en las reclamaciones reproducidas en este acuerdo se muestran los
perjuicios sufridos por los mismos:
La sorpresa inicial al darse cuenta de que la llamada en la que se les ofrecían
descuentos o un seguro por parte de su compañía de la luz, era en realidad
una contratación telefónica de una compañía comercializadora diferente,
cuando ellos querían permanecer con su comercializadora de origen.
Los cargos recibidos a partir de ese momento en su cuenta bancaria (en un
caso, dichos cargos se reciben en la cuenta bancaria de un familiar).
Las consecuencias tras dar orden a su banco de rechazar dichos recibos (se
les advierte de la aplicación de penalizaciones por rescisión anticipada del
contrato de suministro eléctrico o de su inclusión en la lista de morosos,
inclusión que llega a producirse en uno de los casos).
Se ven obligados a realizar llamadas al servicio de atención al cliente de
Enérgya-VM para tratar de resolver el problema, a visitar a su antigua
compañía comercializadora para darse de nuevo de alta y pedirles ayuda de
cara a resolver el problema, a presentar escritos de reclamación a través de
asociaciones de consumidores, de administraciones competentes en materia
de consumo o directamente ante Enérgya-VM.
b) la intencionalidad o negligencia en la infracción;
En el caso examinado se habría producido una negligencia grave.
El informe de auditoría elaborado por (...) constató que los comerciales que actuaban
en nombre de Nivalco estaban efectuando tratamientos con información, confusa,
insuficiente o engañosa. A pesar de ello, dicha situación continuó produciéndose hasta
el final de la relación contractual entre ambas empresas, tal y como reflejan los
certificados de (...) de 25 de octubre (hecho probado cuadragésimo sexto) y 8 de
noviembre de 2023 (hechos probados cuadragésimo noveno y quincuagésimo).
También se aprecia negligencia al ser consciente Enérgya-VM de la información
engañosa y confusa que los comerciales de Nivalco facilitaban a sus nuevos clientes,
permitiendo que dichas captaciones por parte de su encargado del tratamiento
continuaran.
Además de lo ya expuesto, debe recordarse que Enérgya-VM es una gran empresa,
que realiza tratamientos a gran escala, afectando sus tratamientos a numerosas
personas físicas por lo que se le exige un nivel de diligencia mayor a la hora de
cumplir con el RGPD.
Procede recordar, en este sentido, la Sentencia de la Audiencia Nacional de
17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el
continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
210/227
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad
o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de carácter
personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
previsiones legales al respecto”.
En el escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023 Enérgya-VM
destaca que la pretendida negligencia en la conducta de Enérgya-VM no podría
considerarse como una circunstancia agravante, sino como atenuante. En este sentido
indica:
“145 Por otra parte, y en todo caso, la pretendida concurrencia de negligencia
en la conducta de Enérgya no podría considerarse en ningún caso, como hace
el Acuerdo de Inicio (páginas 81 y 84), como una circunstancia agravante, sino,
por el contrario, como atenuante.
146 En efecto, para poder sancionar, es imprescindible que concurra en el
sujeto sancionado el elemento subjetivo de la culpabilidad, toda vez que la
responsabilidad objetiva está excluida en materia sancionadora administrativa.
Así lo ha declarado reiterada jurisprudencia y así lo confirma en la actualidad el
artículo 28.1 de la LRJSP, a cuyo tenor “[s]ólo podrán ser sancionadas por
hechos constitutivos de infracción administrativa las personas físicas y
jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los
grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los
mismos a título de dolo o culpa”.
147 Esto es, para sancionar, el presunto infractor tiene que haber incurrido
objetivamente en el tipo infractor a título de dolo o de culpa (consistiendo esta
última en la falta de diligencia exigible, esto es, en la negligencia). En
consecuencia, cuando el artículo 83.2.b) del RGPD prevé, como criterio de
graduación de la responsabilidad sancionadora, “la intencionalidad o
negligencia en la infracción”, tal previsión solo puede interpretarse en el sentido
de que: (i) si hay intencionalidad (esto es, dolo), dicho criterio operará en
sentido agravante de la responsabilidad; y, (ii) si hay negligencia (esto es,
culpa), operará en sentido atenuante de la responsabilidad. Y es que no tiene
sentido conceptuar la negligencia como circunstancia agravante, como hace el
Acuerdo de Inicio, ya que, de no existir la misma, sencillamente no existiría
responsabilidad sancionadora alguna”
La consideración de Enérgya-VM relativa a que la negligencia es un factor atenuante
no se compadece con el contenido de las Directrices 04/2022 sobre el cálculo de las
multas bajo el RGPD” Versión 2.0 adoptadas el 24 de mayo de 2023, que prevén:
“56. El carácter intencional o negligente de la infracción [artículo 83, apartado
2, letra b), del RGPD] debe evaluarse teniendo en cuenta los elementos
objetivos de conducta obtenidos de los hechos del asunto. El CEPD destacó
que en general se admite que las infracciones intencionales, «demostrar el
desprecio por las disposiciones de la ley, son más graves que las no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
211/227
intencionales». En caso de infracción intencionada, es probable que la
autoridad de control atribuya más peso a este factor. Dependiendo de las
circunstancias del caso, la autoridad de control también puede atribuir peso al
grado de negligencia. En el mejor de los casos, la negligencia podría
considerarse neutral.” (el subrayado es nuestro)
Tal y como se ha expuesto, se entiende que la negligencia de Enérgya-VM ha sido
grave.
Artículo 76.2 de la LOPDGDD:
a) El carácter continuado de la infracción.
Tal y como acreditan las grabaciones y documentación aportada por la CNMC (hecho
probado sexagésimo), la infracción del artículo 5.1 a) se habría producido de forma
continuada desde al menos el 17 de febrero de 2020 hasta, al menos, principios de
mayo de 2020, fecha próxima a la finalización del acuerdo con Nivalco el 1 de julio de
2020.
El comienzo del citado período se ampliaría al 1 de agosto de 2019 y su conclusión se
extendería hasta principios de junio de 2020, según el contenido de las reclamaciones
recibidas por Enérgya-VM con respecto al Canal NIVALCO, que han sido aportadas a
esta Agencia a requerimiento del Inspector.
Asimismo, constatan el carácter continuado los casos clasificados como “(…)”
reflejados en los certificados de (...) de 25 de octubre (hecho probado cuadragésimo
sexto) y 8 de noviembre de 2023 (hecho probado cuadragésimo noveno), aportados
en fase de práctica de prueba.
Vuelve a destacarse, que durante el período de tiempo en el que se mantuvo la
relación entre Enérgya-VM y Nivalco, se produjeron dos hitos relevantes:
La advertencia por parte de (...) los días 9 y 10 de septiembre de 2019.
El informe de auditoría sobre el Canal Nivalco, elaborado por (...), el 28 de
noviembre de 2019.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
Enérgya-VM es una gran empresa, cuya actividad diaria implica el manejo de forma
continua de un importante volumen de datos de carácter personal. Por tanto, conoce la
normativa en materia de protección de datos de carácter personal y está obligada a
aplicar lo dispuesto tanto en el RGPD como en la LOPDGDD.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción
En la propuesta de resolución se afirmaba que la captación de nuevos clientes por la
vía telefónica aportaba importantes beneficios a Enérgya-VM.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
212/227
En relación con esta cuestión, Enérgya-VM en su escrito de alegaciones a la
propuesta de resolución alega:
“III. LOS SUPUESTOS BENEFICIOS OBTENIDOS POR PARTE DE
ENÉRGYA
143. Señala, erróneamente, la Agencia en la Propuesta de Resolución que “la
captación de nuevos clientes por la vía telefónica aportaba importantes
beneficios a Enérgya”. A este respecto, tal y como fue expuesto de forma
detallada en las Alegaciones al Acuerdo de Inicio, Enérgya, lejos de haber
obtenido holgados beneficios a raíz de su relación comercial con Nivalco, ha
sufrido sendos perjuicios económicos y reputacionales.
144. Para llevar a cabo esta desacertada aseveración la AEPD se remite al
informe de la Policía en el que se indica que “(…)”. Y, añade la Agencia en la
Propuesta de Resolución que “el importe de las comisiones percibidas por
Nivalco es un reflejo del beneficio que obtenía la parte reclamada al mantener
su relación contractual con dicha empresa".
145. Pues bien, Enérgya no puede sino negar con contundencia el errado
argumento esgrimido por la AEPD que, además de no ser cierto – pues las
comisiones recibidas por Nivalco no tienen en cuenta los gastos afrontados por
Enérgya –, evidencia el claro desconocimiento del funcionamiento del sector
energético por parte de la Agencia. Ya fue expuesto por Enérgya en las
Alegaciones al Acuerdo de Inicio que “en el sector de la energía hay muchos
intermediarios, lo que posiciona a Enérgya como un prestador de servicios de
última milla que debe hacer frente al pago de grandes cantidades en concepto
de servicios prestados por terceros y cuyos márgenes son mucho menores que
otros sectores”.
146. Si bien la intención no es reiterar el argumento ya detallado y evidenciado
por esta parte – el cual ha sido ignorado por la AEPD –, llama poderosamente
la atención que la AEPD haya dirigido todo el peso de su actuación contra
Enérgya cuando, en el informe de la Policía en el que se menciona el beneficio
obtenido por Nivalco, se expone que las comisiones satisfechas por otra
entidad casi triplican las pagadas por Enérgya:
(…)
147. Es decir, incluso si las comisiones cobradas por Nivalco fuesen suficientes
para justificar la elevada cuantía de la sanción propuesta por la AEPD (quod
non), la Agencia estaría ignorando que estas comisiones están muy lejos de las
abonadas por otra entidad en el marco de los mismos hechos, evidenciándose
que el supuesto beneficio obtenido por Enérgya habría sido irrisorio en
comparación con el obtenido por otras empresas del sector. Este hecho no
debería ser ignorado por la AEPD a la hora de graduar la sanción y, lejos de
suponer una circunstancia agravante, debería operar como atenuante, en la
medida en que Enérgya es una víctima de las actuaciones de Nivalco y las
comisiones pagadas a Nivalco sólo evidencia la carga económica a la que se
someten empresas como Enérgya, que se ven obligadas a pagar elevadas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
213/227
facturas a distintos proveedores de servicios.
148. Nótese que las comisiones abonadas a canales externos suelen ser
equivalentes al margen comercial de un cliente de suministro en (…), extremo
crucial en este caso ya que la mayor parte de los clientes captados por Nivalco
no alcanzaron dicha duración ya que Nivalco los cambió de suministrador poco
a poco al resolver en mayo de 2020 Enérgya el contrato de promoción con
dicha sociedad.
149. Precisamente, en esta línea, interesa a Enérgya reiterar que, en lo relativo
a los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción el RGPD se refiere, como no podía ser
de otra manera, a los beneficios obtenidos por el sujeto enjuiciado. Respecto a
este argumento, ya esgrimido por esta parte en las Alegaciones al Acuerdo de
Inicio, la AEPD se limita a indicar que “No se comparte la tesis de la parte
reclamada”, sin motivar, como corresponde a la propia Administración, el
porqué de su negativa. En esta línea, en el caso de que la AEPD pudiese
evidenciar que las supuestas infracciones son imputables a Enérgya (quod
non), esta Agencia debería tener en cuenta los beneficios obtenidos por parte
de Enérgya, así como lo que dichos beneficios representan en su volumen de
negocio y, lo que es más importante, los perjuicios derivados de la relación con
Nivalco (en ningún caso, las ganancias obtenidas por Nivalco en concepto de
comisión).
150. Así pues, sobre los perjuicios, nos remitimos a lo indicado en las
Alegaciones al Acuerdo de Inicio, así como al escrito respondiendo al
requerimiento de información que daba inicio al periodo de práctica de prueba
en los que se pone de manifiesto de manera detallada y justificada, como ya se
hizo con anterioridad en la declaración remitida a la Policía en junio de 2022,
que Enérgya ha tenido que hacer frente a perjuicios que rondan los (…) sin
incluir daños reputacionales sufridos hasta ese momento mas los posteriores y
los que estén por venir. Esta más que elevada cuantía evidencia, en línea con
lo declarado en los autos penales a requerimiento previo de la propia Policía,
que Enérgya, lejos de obtener un beneficio por las actuaciones de Nivalco, se
ha visto altamente perjudicada por las mismas, asumiendo costes que no le
habrían correspondido en el caso de que Nivalco hubiese actuado conforme a
las prácticas comerciales y estándares de contratación de Enérgya.”
A pesar de los argumentos expuestos por Enérgya-VM, esta Agencia considera que la
comisión de la infracción reportó beneficios a la parte reclamada, pudiendo apreciarse
la circunstancia agravante prevista en el artículo 76.2 c de la LOPDGDD.
Un primer reflejo de dichos beneficios, serían las comisiones destinadas a sus fuerzas
de ventas. En este sentido, en el informe de la Policía de fecha 25 de octubre de 2022
se indica:
“(…)”
Tal y como se refleja en el hecho probado duodécimo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
214/227
Afirma Enérgya-VM en su escrito de alegaciones al acuerdo de inicio:
“123.6 En cuanto a los beneficios financieros obtenidos o las pérdidas evitadas,
directa o indirectamente, a través de la infracción, es esencial poner de manifiesto
que el RGPD se refiere, como no podía ser de otra manera, a los beneficios
obtenidos por el sujeto enjuiciado. Es decir, en el caso de que la AEPD pudiese
evidenciar que las supuestas infracciones son imputables a Enérgya, la AEPD
estaría obligada a tener en cuenta los beneficios obtenidos por parte de Enérgya y
lo que dichos beneficios representan en su volumen de negocio y no las ganancias
obtenidas por Nivalco en concepto de comisión. De nuevo, esta argumentación por
parte de la AEPD supone una clara evidencia de que el Procedimiento que nos
ocupa persigue conductas infractoras de Nivalco y no de sus clientes
profesionales, como puede ser Enérgya.”
Con independencia de las particularidades que puedan existir en el mercado eléctrico
o de la existencia de otros intermediarios a los que Enérgya-VM debiera pagar (ya que
es una empresa comercializadora y no generadora de energía eléctrica), lo que resulta
claro es que Enérgya-VM mantuvo la relación con Nivalco hasta el momento en que
recibió el segundo bloque de requerimientos por parte de la CNMC.
Además de dichas comisiones, existen otros elementos que son reflejo del número de
clientes captados a través del Canal Nivalco por Enérgya-VM y de los
correspondientes beneficios para la parte reclamada:
a. En la siguiente tabla en la que se indican las llamadas realizadas a Enérgya-VM
(Verificación), elaborada en base a los datos que constan en el informe de la Policía de
25 de octubre de 2022, hecho probado décimotercero, (cada llamada representa a un
nuevo cliente de Enérgya-VM obtenido a través del Canal Nivalco):
(…) (…) (…) (…)
(…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
(…) (…)
b. (…).
c. Los resultados del (…) reflejados en el certificado de (...) de 25 de octubre de 2023
(hecho probado cuadragésimo sexto):
En dicho certificado figuran (…) por (...) correspondientes a los meses comprendidos
entre septiembre de 2019 y junio de 2020, que reflejan nuevos contratos para
Enérgya-VM.
No se niega que dicho (…) pudiera suponer gastos para Enérgya-VM, pero lo que
resulta claro es que la parte reclamada, siendo consciente de dichos gastos, decidió
mantener la relación con Nivalco y permitir que continuara captando nuevos clientes
para ella.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
215/227
En conclusión, Enérgya-VM obtuvo beneficios a causa de la comisión de la infracción.
Por la infracción del artículo 5.2 RGPD
Como agravantes:
Artículo 83.2 del RGPD
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
Los hechos reflejados en este acuerdo de inicio son muy graves.
Resulta muy grave que Enérgya-VM no adoptara medidas preventivas para comprobar
de manera proactiva que sus encargados cumplían con el RGPD y que permitiera que
Nivalco continuara tratando datos personales a pesar de saber que dichos
tratamientos vulneraban lo previsto en el RGPD.
El hecho de tener una actitud fundamentalmente reactiva, centrada proteger los
intereses de la propia organización (la reputación de la empresa, evitar posibles
perjuicios), de tal manera que lo que era esencial: una adecuada protección de datos
de carácter personal y garantizar los derechos y libertades de los interesados, quedara
relegado a un segundo plano.
b) la intencionalidad o negligencia en la infracción;
En el caso examinado se habría producido una negligencia grave.
Ha quedado acreditado que, a pesar de la situación de alto riesgo, Enérgya-Vm no
realizó un análisis de riesgos relativo a su encargado del tratamiento Nivalco a fin de
poder adoptar las medidas adecuadas al riesgo para los derechos y libertades de los
afectados.
Tampoco realizó un control continuado y exhaustivo de las grabaciones de voz del
proceso de contratación que aportaba Nivalco (hechos probados quincuagésimo
noveno), ni un control adecuado de la procedencia de los datos de carácter personal
que utilizaba su encargado del tratamiento (en aquellos casos en los que no hubieran
sido aportados por la propia Enérgya-VM) todo con el objeto de garantizar el
cumplimiento de los principios de licitud, lealtad y transparencia.
En el escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023, Enérgya-VM,
tras hacer referencia a la información contenida en el informe de auditoría de (...),
indica:
“57.2 Como podemos observar, los parámetros empleados por (...) sirven para
medir la desviación de Nivalco del Script. Es sencillo verificar como la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
216/227
información contenida en el Script difiere en su totalidad con la empleada por
Nivalco para, en calidad de responsable del tratamiento, engañar a los
interesados.” (el subrayado es nuestro).”
Partiendo de una perspectiva basada en el artículo 5.2 del RGPD, el establecimiento,
en una situación como esta, de un (…) no resultaba eficaz, al tratarse de una medida a
posteriori que no impedía a Nivalco pudiera seguir captando clientes potenciales de
acuerdo con su argumentario “desviado” con respecto al (...).
Debe recordarse que Enérgya-VM es una gran empresa, que realiza tratamientos a
gran escala, afectando sus tratamientos a numerosas personas físicas por lo que se le
exige un nivel de diligencia mayor a la hora de adoptar medidas para garantizar el
cumplimiento del RGPD.
Procede recordar, en este sentido, la Sentencia de la Audiencia Nacional de
17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el
continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad
o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de carácter
personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
previsiones legales al respecto”.
En el escrito de alegaciones a la propuesta de resolución, Enérgya-VM señala que la
aplicación de esta agravante de negligencia vulneraría el principio de non bis in idem:
“130. El incumplimiento de interdicción del non bis in idem en el presente caso
es evidente, en tanto a los mismos hechos se les atribuye una infracción (art.
5.2 del RGPD) que castiga una supuesta negligencia y además se aplica un
agravante por la misma supuesta negligencia.
131. En efecto, el art. 5.2 RGPD establece que “[e]l responsable del
tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1
y capaz de demostrarlo («responsabilidad proactiva»).” Es obvio que un
incumplimiento de este deber de “responsabilidad proactiva” conlleva
necesariamente negligencia en la actuación del responsable del tratamiento.
Siendo el deber de responsabilidad proactiva un deber general de diligencia
(tal y como la propia AEPD lo define en su página web22 (como señalamos a
continuación), la falta del mismo comporta irremediablemente negligencia:
“Principio de “responsabilidad activa” o “responsabilidad demostrada” que
obliga a los responsables a mantener diligencia debida de manera permanente
para proteger y garantizar los derechos y libertades de las personas físicas
cuyos datos son tratados en base a un análisis de los riesgos que el
tratamiento representa para esos derechos y libertades, de modo que el
responsable pueda, tanto garantizar como estar en condiciones de demostrar
que el tratamiento se ajusta a las previsiones del RGPD y la LOPDGD.” (el
destacado es nuestro)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
217/227
132. Sin embargo, más adelante en la Propuesta de Resolución, la misma
(supuesta) falta de diligencia es tenida en cuenta como una circunstancia
agravante, lo cual atenta contra el principio de non bis in idem. No obstante, lo
que es incluso más sonrojante en este caso es que, de hecho, los motivos
específicos que se incluyen en la Propuesta de Resolución para justificar esa
(supuesta) “negligencia” no son otros que los usados anteriormente para
justificar la supuesta infracción del art. 5.2 RGPD.
133. Así es, a la hora de justificar la imposición a esta parte de la
(desacertada) sanción por infracción del 5.2 RGPD, donde la AEPD se escuda
en que (en su opinión): (i) “Enérgya-VM no realizó un análisis de riesgos
relativo a Nivalco”, (ii) “Enérgya-VM no realizó un control adecuado de la
procedencia de los datos de carácter personal que utiliza su encargado del
tratamiento Nivalco”; y (iii) “Ausencia de un control continuado y exhaustivo de
las grabaciones de voz del proceso de contratación aportadas por Nivalco a
Enérgya-VM”:
134. Y, como si se tratara del reflejo en un espejo, cuando aplica el agravante
de negligencia en relación con el art. 5.2 RGPD, la AEPD (ref. Fundamento de
Derecho X, en concreto pág. 197) señala como factores que: (i) “Enérgya-Vm
no realizó un análisis de riesgos relativo a su encargado del tratamiento
Nivalco”; (ii) “[t]ampoco realizó un control continuado y exhaustivo de las
grabaciones de voz del proceso de contratación que aportaba Nivalco”; (iii) “ni
un control adecuado de la procedencia de los datos de carácter personal que
utilizaba su encargado del tratamiento.
135. Podríamos hacer una tabla comparativa entre los motivos de ambas
secciones, pero en este caso consideramos que la coincidencia salta a la
vista. Es evidente que las razones aducidas por la AEPD para agravar la
sanción son los mismos argumentos que se usan para justificar la imposición
de una sanción por infracción del art. 5.2 RGPD.
136. De esta manera, la AEPD estaría infringiendo el principio general de non
bis in idem castigando dos veces la supuesta negligencia de Enérgya, una a
través del propio precepto 5.2 RGPD, donde esta es intrínseca a la infracción
que se castiga en el citado artículo y otra a través del criterio genérico para la
graduación de sanciones del art. 83.2.(b) RGPD.
137. Por tanto, esta circunstancia agravante no puede ser tenida en cuenta
por la Agencia para graduar la sanción por infracción del art. 5.2 RGPD.”
El artículo 5.2 del RGPD prevé:
“2. El responsable del tratamiento será responsable del cumplimiento de lo
dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad
proactiva).”
En dicho precepto no figura el término “negligencia”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
218/227
Por otra parte, la imposición de una obligación a los ciudadanos a través de una norma
jurídica presupone un cierto deber de diligencia por parte de dichos ciudadanos, que
han de respetar y cumplir lo preceptuado en la misma.
El artículo 83.2 b) del RGPD, dispone que:
“2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas
contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se
tendrá debidamente en cuenta:
(…)
b) la intencionalidad o negligencia en la infracción;
(…)”
“Las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD” Versión 2.0
Adoptadas el 24 de mayo de 2023, prevén que:
“56. El carácter intencional o negligente de la infracción [artículo 83, apartado
2, letra b), del RGPD] debe evaluarse teniendo en cuenta los elementos
objetivos de conducta obtenidos de los hechos del asunto. El CEPD destacó
que en general se admite que las infracciones intencionales, «demostrar el
desprecio por las disposiciones de la ley, son más graves que las no
intencionales». En caso de infracción intencionada, es probable que la
autoridad de control atribuya más peso a este factor. Dependiendo de las
circunstancias del caso, la autoridad de control también puede atribuir peso al
grado de negligencia. En el mejor de los casos, la negligencia podría
considerarse neutral.”
En este caso, a la hora de imponer la sanción por la infracción del artículo 5.2 del
RGPD, se han valorado elementos de conducta obtenidos de los hechos y se ha
considerado que cabe atribuir a Enérgya-VM una negligencia grave.
Por ejemplo, en un contexto de alto riesgo como el concurrente en este caso, el
responsable del tratamiento no realizó en ningún momento un análisis de riesgo en
relación con su encargado del tratamiento, a pesar de las evidencias que mostraban
que estaba tratando los datos de carácter personal de los nuevos clientes con engaño
y confusión.
Asimismo, alega Enérgya-VM:
“138. Como se señala en la Propuesta de Resolución (ref. Antecedentes de la
misma): “La investigación puso de manifiesto el acceso y uso fraudulento de
bases de datos de carácter personal por empresas de “call center”, con el
objetivo de, haciéndose pasar por clientes, enriquecerse mediante cambios de
proveedores de servicios”.
139. Esto quiere decir que, incluso aunque a efectos dialécticos admitiésemos
algún tipo de responsabilidad a Enérgya (quod non), en ningún caso se debe
atribuir toda la culpa (o, en este caso, negligencia) a ésta, sin tener en cuenta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
219/227
la concurrencia del comportamiento fraudulento de Nivalco. Si ya es
cuestionable que la AEPD considere a Nivalco encargado del tratamiento en lo
relativo a su conducta aparentemente delictiva (ref. Alegación A de este
escrito), negar cualquier tipo de importancia a su involucración en una
actuación fraudulenta exclusivamente suya es, simplemente, inaceptable.
Siendo así, esta parte considera que concurre un atenuante del art. 83.2.k)
RGPD a este respecto.
140. En este sentido, las Directrices 04/2022 señalan (párrafo 109) que “El
ámbito de aplicación de esta disposición, que es necesariamente abierto, debe
incluir todas las consideraciones motivadas relativas al contexto
socioeconómico en el que opera el responsable o encargado del tratamiento,
las relativas al contexto jurídico y las relativas al contexto del mercado”. Que el
supuesto incumplimiento derive de un delito denunciado por Enérgya no
debería ser obviado por la AEPD en ningún caso.
141. De hecho, la AEPD ya ha considerado en el pasado el comportamiento
doloso de un tercero como atenuante en la Resolución Nº R/01382/201624,
indicando “No obstante debe tomarse en consideración como circunstancia
atenuante el hecho que el alta en el contrato viniera motivada por la actuación
de un tercero que utilizó fraudulentamente sus datos dando apariencia de
legalidad a la contratación puesto que está requirió la instalación en
domicilio…”.
142. Por ello, este motivo debe ser estimado como una circunstancia
concurrente atenuante de la eventual responsabilidad (quod non) de Enérgya a
los efectos de una disminución de la cuantía de cualquier sanción.”
Las alegaciones formuladas por la parte reclamada mezclan la negligencia en la
conducta de Enérgya-VM (responsable del tratamiento) con el presunto
comportamiento fraudulento llevado a cabo por su encargado del tratamiento Nivalco,
como si fueran un todo indisociable. De tal manera, que la concurrencia del segundo
(comportamiento presuntamente fraudulento por parte de Nivalco) conllevara
necesariamente la exoneración de cualquier consideración de actuación negligente por
parte de Enérgya-VM, cuando esto no es así. Enérgya-VM tuvo conocimiento de una
conducta presuntamente fraudulenta por parte de su encargado del tratamiento
Nivalco, en base a dicha información, fue tomando decisiones que no resultaron
adecuadas. A la vista de las acciones y omisiones derivadas de dichas decisiones,
cabe apreciar que en este caso ha concurrido una negligencia grave por parte de
Enérgya-VM.
Por otra parte, la interpretación que pretende hacerse de lo dispuesto en el apartado
109 de las Directrices 04/2022 (supuesta obligación de la AEPD de considerar como
atenuante el hecho de que Enérgya-VM presentara una denuncia ante los Juzgados
de (...) contra (...),resulta totalmente forzada.
El apartado 107 de dichas Directrices prevé:
“El artículo 83, apartado 2, letra k), del RGPD otorga a la autoridad de control
margen para tener en cuenta cualquier otro factor agravante o atenuante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
220/227
aplicable a las circunstancias del caso.”
Es decir, las autoridades de control tienen libertad para poder considerar otros factores
agravantes o atenuantes que sean aplicables a las circunstancias del caso y permitan
garantizar que la sanción aplicada sea efectiva, proporcionada y disuasoria y no el
deber u obligación de considerar una circunstancia atenuante que alegue la parte
reclamada, cuando consideran que la misma no procede.
El hecho de que, en el pasado, la AEPD haya considerado, a la vista de las
circunstancias de un caso concreto, como atenuante la actuación fraudulenta de un
tercero, esto no implica que esta Agencia en el presente expediente y a la vista de las
circunstancias del mismo, deba, necesariamente y de forma automática, considerar
que concurre la atenuante alegada por Enérgya-VM.
El expediente mencionado por Enérgya-VM sanciona por una infracción de la Ley
Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal,
no del RGPD.
La empresa sancionada reconoció su responsabilidad en los hechos.
En aquel caso, se produjeron una serie de interacciones que dificultaron a la empresa
sancionada sospechar que se trataba de una contratación fraudulenta.
La primera noticia que tuvo dicha empresa de la negativa de contratación por parte del
denunciante, se produjo casi tres años después de la contratación.
Se solicitó al denunciante que interpusiera denuncia ante la policía por suplantación de
identidad en la contratación y dicha denuncia no se interpuso hasta casi un año
después.
En el expediente que estamos examinando en este procedimiento sancionador, el 9 y
10 de septiembre de 2019 (...) advirtió a Enérgya-VM de que se estaban produciendo
captaciones de nuevos clientes para Enérgya-VM en las que se utilizaban argumentos
confusos, inexactos o irreales. Las personas que contactaban con dichos clientes
potenciales, les hacían creer que trabajaban para (...) o que ofrecían descuentos de
dicha compañía.
El informe sobre la primera auditoría de (...) de fecha 28 de noviembre de 2019 aportó
a Enérgya-VM evidencias de que los comerciales de Nivalco facilitaban a los clientes
potenciales de la parte reclamada (…).
A pesar de que la fecha del informe de auditoría de (...) sea de 28 de noviembre de
2019 los resultados de la auditoría se reflejan en el burofax que Enérgya-VM envió a
(...) el 16 de octubre de 2019. (Documento 4, aportado por Enérgya-VM en fase de
prueba). Por tanto, en dicha fecha Enérgya-VM ya disponía de los resultados de la
auditoría de (...).
En conclusión, existes claras diferencias entre el caso relativo a la resolución invocada
por Enérgya-VM en su escrito de alegaciones y el caso que se está examinando en
este expediente sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
221/227
Artículo 76.2 de la LOPDGDD:
a) El carácter continuado de la infracción.
La infracción del artículo 5.2 se habría producido desde el momento en el que se inicia
la relación con Nivalco hasta el último día en el que se mantiene en vigor el acuerdo
entre Enérgya-VM y Nivalco (30 de junio de 2020). No obstante, resulta necesario
destacar que en dicho período hubo dos puntos de inflexión:
9 y 10 de septiembre de 2019: fechas en la que (...) alerta a Enérgya-VM sobre el
comportamiento de Nivalco.
28 de noviembre de 2019: fecha del informe de auditoría interna elaborado por (...), en
el que Enérgya-VM en el que se confirma que se han producido casos de mala praxis
en el Canal Nivalco.
En el escrito de alegaciones al acuerdo de inicio de 7 de junio de 2023 Energya-VM
destaca:
“En segundo lugar, la propia AEPD considera que los hechos se dividen en
cuatro momentos temporales diferenciados: (a) el primero, el tramo
transcurrido desde la entrada en vigor del Contrato con Nivalco hasta la fecha
del comunicado de (...); (b) el segundo, el que transcurre desde la fecha del
comunicado de (...) hasta que Enérgya lleva a cabo la auditoría interna; (c) el
tercero, el periodo transcurrido desde la fecha de la auditoría hasta la
terminación del Contrato con Nivalco; d) la resolución en si misma.
Si bien Enérgya niega con rotundidad que los hechos acaecidos deban ser
enjuiciados desde la perspectiva del principio de responsabilidad proactiva
(artículo 5.2 RGPD) y sostiene la prescripción de las infracciones que serían,
en realidad, de aplicación (73.f); 73.k) y 74.a) de la LOPDGDD), resulta a todas
luces incoherente que la AEPD considere el incumplimiento del principio de
responsabilidad proactiva de manera continuada en el tiempo cuando reconoce
la realización de auditorías por parte de Enérgya. Precisamente, todas las
actuaciones llevadas a cabo por Enérgya desde la fecha en la que recibe la
comunicación por parte de (...) hasta la terminación del Contrato con Nivalco
evidencian la preocupación de Enérgya por las conductas de Nivalco y su
elevado grado de diligencia.”
Cabe entender el carácter continuado de la infracción, porque ,a pesar de a pesar de
la información que llegaba a Enérgya-VM por distintas vías ((...), reclamaciones de
clientes, auditoría de (...) y información diaria de lunes a viernes de las verificaciones
obtenidas a través del (…) encomendado a (...), etc) alertándole de que su encargado
actuaba de una forma contraria a lo previsto en el RGPD, permitió que Nivalco
continuara realizando tratamientos de datos en su nombre y por su cuenta.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
222/227
Enérgya-VM es una gran empresa, cuya actividad diaria implica el manejo de forma
continua de un importante volumen de datos de carácter personal. Por tanto, conoce la
normativa en materia de protección de datos de carácter personal y está obligada a
aplicar lo dispuesto tanto en el RGPD como en la LOPDGDD.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción
En la propuesta de resolución se afirmaba que la captación de nuevos clientes por la
vía telefónica aportaba importantes beneficios a Enérgya-VM.
En relación con esta cuestión, Enérgya-VM en su escrito de alegaciones a la
propuesta de resolución alega:
“III. LOS SUPUESTOS BENEFICIOS OBTENIDOS POR PARTE DE
ENÉRGYA
143. Señala, erróneamente, la Agencia en la Propuesta de Resolución que “la
captación de nuevos clientes por la vía telefónica aportaba importantes
beneficios a Enérgya”. A este respecto, tal y como fue expuesto de forma
detallada en las Alegaciones al Acuerdo de Inicio, Enérgya, lejos de haber
obtenido holgados beneficios a raíz de su relación comercial con Nivalco, ha
sufrido sendos perjuicios económicos y reputacionales.
144. Para llevar a cabo esta desacertada aseveración la AEPD se remite al
informe de la Policía en el que se indica que “(…)”. Y, añade la Agencia en la
Propuesta de Resolución que “el importe de las comisiones percibidas por
Nivalco es un reflejo del beneficio que obtenía la parte reclamada al mantener
su relación contractual con dicha empresa".
145. Pues bien, Enérgya no puede sino negar con contundencia el errado
argumento esgrimido por la AEPD que, además de no ser cierto – pues las
comisiones recibidas por Nivalco no tienen en cuenta los gastos afrontados por
Enérgya –, evidencia el claro desconocimiento del funcionamiento del sector
energético por parte de la Agencia. Ya fue expuesto por Enérgya en las
Alegaciones al Acuerdo de Inicio que “en el sector de la energía hay muchos
intermediarios, lo que posiciona a Enérgya como un prestador de servicios de
última milla que debe hacer frente al pago de grandes cantidades en concepto
de servicios prestados por terceros y cuyos márgenes son mucho menores que
otros sectores”.
146. Si bien la intención no es reiterar el argumento ya detallado y evidenciado
por esta parte – el cual ha sido ignorado por la AEPD –, llama poderosamente
la atención que la AEPD haya dirigido todo el peso de su actuación contra
Enérgya cuando, en el informe de la Policía en el que se menciona el beneficio
obtenido por Nivalco, se expone que las comisiones satisfechas por otra
entidad casi triplican las pagadas por Enérgya:
(…).
147. Es decir, incluso si las comisiones cobradas por Nivalco fuesen suficientes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
223/227
para justificar la elevada cuantía de la sanción propuesta por la AEPD (quod
non), la Agencia estaría ignorando que estas comisiones están muy lejos de las
abonadas por otra entidad en el marco de los mismos hechos, evidenciándose
que el supuesto beneficio obtenido por Enérgya habría sido irrisorio en
comparación con el obtenido por otras empresas del sector. Este hecho no
debería ser ignorado por la AEPD a la hora de graduar la sanción y, lejos de
suponer una circunstancia agravante, debería operar como atenuante, en la
medida en que Enérgya es una víctima de las actuaciones de Nivalco y las
comisiones pagadas a Nivalco sólo evidencia la carga económica a la que se
someten empresas como Enérgya, que se ven obligadas a pagar elevadas
facturas a distintos proveedores de servicios.
148. Nótese que las comisiones abonadas a canales externos suelen ser
equivalentes al margen comercial de un cliente de suministro en 13-14 meses,
extremo crucial en este caso ya que la mayor parte de los clientes captados
por Nivalco no alcanzaron dicha duración ya que Nivalco los cambió de
suministrador poco a poco al resolver en mayo de 2020 Enérgya el contrato de
promoción con dicha sociedad.
149. Precisamente, en esta línea, interesa a Enérgya reiterar que, en lo relativo
a los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción el RGPD se refiere, como no podía ser
de otra manera, a los beneficios obtenidos por el sujeto enjuiciado. Respecto a
este argumento, ya esgrimido por esta parte en las Alegaciones al Acuerdo de
Inicio, la AEPD se limita a indicar que “No se comparte la tesis de la parte
reclamada”, sin motivar, como corresponde a la propia Administración, el
porqué de su negativa. En esta línea, en el caso de que la AEPD pudiese
evidenciar que las supuestas infracciones son imputables a Enérgya (quod
non), esta Agencia debería tener en cuenta los beneficios obtenidos por parte
de Enérgya, así como lo que dichos beneficios representan en su volumen de
negocio y, lo que es más importante, los perjuicios derivados de la relación con
Nivalco (en ningún caso, las ganancias obtenidas por Nivalco en concepto de
comisión).
150. Así pues, sobre los perjuicios, nos remitimos a lo indicado en las
Alegaciones al Acuerdo de Inicio, así como al escrito respondiendo al
requerimiento de información que daba inicio al periodo de práctica de prueba
en los que se pone de manifiesto de manera detallada y justificada, como ya se
hizo con anterioridad en la declaración remitida a la Policía en junio de 2022,
que Enérgya ha tenido que hacer frente a perjuicios que rondan los (…) sin
incluir daños reputacionales sufridos hasta ese momento mas los posteriores y
los que estén por venir. Esta más que elevada cuantía evidencia, en línea con
lo declarado en los autos penales a requerimiento previo de la propia Policía,
que Enérgya, lejos de obtener un beneficio por las actuaciones de Nivalco, se
ha visto altamente perjudicada por las mismas, asumiendo costes que no le
habrían correspondido en el caso de que Nivalco hubiese actuado conforme a
las prácticas comerciales y estándares de contratación de Enérgya.”
A pesar de los argumentos expuestos por Enérgya-VM, esta Agencia considera que la
comisión de la infracción reportó beneficios a la parte reclamada, pudiendo apreciarse
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
224/227
la circunstancia agravante prevista en el artículo 76.2 c de la LOPDGDD.
Un primer reflejo de dichos beneficios, serían las comisiones destinadas a sus fuerzas
de ventas. En este sentido, en el informe de la Policía de fecha 25 de octubre de 2022
se indica:
“Durante el período que la mercantil “NIVALCO” ha trabajado captando clientes
para la comercializadora “ENERGYA VM”, recibió al menos (…) euros en
concepto de “comisiones”.”
Tal y como se refleja en el hecho probado duodécimo.
Afirma Enérgya-VM en su escrito de alegaciones al acuerdo de inicio:
“123.6 En cuanto a los beneficios financieros obtenidos o las pérdidas evitadas,
directa o indirectamente, a través de la infracción, es esencial poner de
manifiesto que el RGPD se refiere, como no podía ser de otra manera, a los
beneficios obtenidos por el sujeto enjuiciado. Es decir, en el caso de que la
AEPD pudiese evidenciar que las supuestas infracciones son imputables a
Enérgya, la AEPD estaría obligada a tener en cuenta los beneficios obtenidos
por parte de Enérgya y lo que dichos beneficios representan en su volumen de
negocio y no las ganancias obtenidas por Nivalco en concepto de comisión. De
nuevo, esta argumentación por parte de la AEPD supone una clara evidencia
de que el Procedimiento que nos ocupa persigue conductas infractoras de
Nivalco y no de sus clientes profesionales, como puede ser Enérgya.”
Con independencia de las particularidades que puedan existir en el mercado eléctrico
o de la existencia de otros intermediarios a los que Enérgya-VM debiera pagar (ya que
es una empresa comercializadora y no generadora de energía eléctrica), lo que resulta
claro es que Enérgya-VM mantuvo la relación con Nivalco hasta el momento en que
recibió el segundo bloque de requerimientos por parte de la CNMC.
Además de dichas comisiones, existen otros elementos que son reflejo del número de
clientes captados a través del Canal Nivalco por Enérgya-VM y de los
correspondientes beneficios para la parte reclamada:
a. En la siguiente tabla en la que se indican las llamadas realizadas a Enérgya-VM
(Verificación), elaborada en base a los datos que constan en el informe de la Policía de
25 de octubre de 2022, hecho probado décimotercero, (cada llamada representa a un
nuevo cliente de Enérgya-VM obtenido a través del Canal Nivalco):
(…) (…) (…) (…)
(…) (…)
(…) (…) (…) (…)
(…) (…)
(…) (…)
(…) (…)
b. (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
225/227
c. Los resultados del (…) reflejados en el certificado de (...) de 25 de octubre de 2023
(hecho probado cuadragésimo sexto):
En dicho certificado figuran (…) por (...) correspondientes a los meses comprendidos
entre septiembre de 2019 y junio de 2020, que reflejan nuevos contratos para
Enérgya-VM.
No se niega que dicho control de (…) pudiera suponer gastos para Enérgya-VM, pero
lo que resulta claro es que la parte reclamada, siendo consciente de dichos gastos,
decidió mantener la relación con Nivalco y permitir que continuara captando nuevos
clientes para ella.
En conclusión, Enérgya-VM obtuvo beneficios a causa de la comisión de la infracción.
XIV
Adopción de medidas
Al haberse confirmado las infracciones, procede imponer al responsable la adopción
de medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “d) ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado”.
Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos
RESUELVE:
PRIMERO: IMPONER a ENERGYA VM GESTIÓN DE ENERGÍA, S.L., con NIF
B83393066, por una infracción del Artículo 5.1.a) del RGPD, tipificada en el Artículo
83.5 del RGPD y calificada como muy grave a efectos de prescripción en el artículo
72.1 a) de la LOPDGDD, una multa de 2.500.000,00 euros (dos millones quinientos mil
euros).
SEGUNDO: IMPONER a ENERGYA VM GESTIÓN DE ENERGÍA, S.L., con NIF
B83393066, por una infracción del Artículo 5.2 del RGPD, tipificada en el Artículo 83.5
del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1 a)
de la LOPDGDD, una multa de 2.500.000,00 euros (dos millones quinientos mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
226/227
TERCERO: ORDENAR a ENERGYA VM GESTIÓN DE ENERGÍA, S.L., con NIF
B83393066, que en virtud del artículo 58.2.d) del RGPD, en el plazo de 9 meses desde
que la presente resolución sea firme y ejecutiva, acredite haber procedido al
cumplimiento de las siguientes medidas:
Realizar un análisis de riesgos relativo a los tratamientos de datos personales
que llevan a cabo sus (…) para la captación de nuevos clientes (encargados
del tratamiento) en nombre y por cuenta de Enérgya-VM. Dicho análisis incluirá
los riesgos generados por el tratamiento de datos personales realizado en la
fase contractual, incluida la precontractual, por cuenta de Enérgya-VM.
Aplicación de medidas técnicas y organizativas apropiadas a fin de garantizar y
poder demostrar que el tratamiento que realizan sus (…) (encargados del
tratamiento) es conforme con el RGPD.
Adopción de las medidas técnicas y organizativas apropiadas a fin de
garantizar que cualquier argumentario de venta utilizado para la captación de
nuevos clientes para Enérgya-VM, como empresa comercializadora en el
ámbito energético, sea conforme con el RGPD, en especial, con lo previsto en
el artículo 5.1 a) de dicho Reglamento.
CUARTO: NOTIFICAR la presente resolución a ENERGYA VM GESTIÓN DE
ENERGÍA, S.L..
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
227/227
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es