1/26
Expediente N.º: EXP202304821
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 21 de febrero de
2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra NATURGY IBERIA, S.A. con NIF A08431090 (en
adelante, la parte reclamada o Naturgy). Los motivos en que basa la reclamación son
los siguientes:
- Afirma que el 1 de diciembre de 2022, su compañía de luz le informó que lo habían
dado de baja a solicitud de su nueva comercializadora (Naturgy).
- Tras dicho conocimiento procedió a realizar diversas llamadas a Naturgy, a través de
las cuales le indicaron que lo habían dado de alta en luz, gas y contratos anexos,
proporcionándole asimismo un correo electrónico para presentar su reclamación, al no
estar conforme con dicha alta.
- Señala que, mediante correos electrónicos fechados el 1 y el 16 de diciembre,
presentó una reclamación electrónica ante la supuesta nueva compañía (Naturgy),
solicitando la autorización para la cesión de sus datos, que a su juicio fueron utilizados
ilegalmente.
- Indica que, ante la reiterada emisión de facturas, presentó una reclamación por
escrito ante Naturgy, indicando que no pagaría ningún recibo hasta que se acreditara
la veracidad del supuesto contrato de gas, luz y servicios anexos. Asimismo, les
solicitó abstenerse de realizar amenazas, avisos o coacciones hasta que se resolviera
la reclamación.
- Sostiene que, a pesar de la reclamación planteada, Naturgy efectuó una
domiciliación bancaria ante su entidad y emitió diversos cargos.
- Que recibió un correo electrónico donde se le informaba que cedieron sus datos en
virtud de un contrato activo (que no existe, ya que no hubo prestación de
consentimiento y, por lo tanto, es nulo de pleno derecho).
- A pesar de las reclamaciones planteadas, afirma haber sido amenazada por escritos
fechados el 11 y 13 de enero si no pagaba las facturas indebidamente emitidas.
- El 26 de enero recibió el supuesto contrato que firmó, del cual manifiesta que el
mismo ha sido realizado a través de un teléfono desconocido y de una IP cuya
procedencia desconoce.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/26
- Por último, concluye que, considerando esta actuación una estafa, el 7 de febrero de
2023 presentó una denuncia de estos hechos ante la Policía Nacional.
Junto a su reclamación, adjunta la siguiente documentación:
-Correos electrónicos intercambiados entre la parte reclamante y el Servicio de
Atención al Cliente de la parte reclamada entre el 1 y el 16 de diciembre de 2022, con
el nombre de asunto “Contrato fraudulento”.
-Hoja de Reclamación presentada por la parte reclamante ante el Instituto Galego do
Cosumo e da Competencia el 22 de diciembre de 2022.
-Correo electrónico enviado por la Oficina de Garantía de Servicio al Cliente de la
parte reclamante a la parte reclamada en fecha 26 de enero de 2023, con el nombre
de asunto “(...)”, al que se adjuntan dos archivos:
1.- Escrito de la Oficina de Garantía de Servicio al Cliente de la parte
reclamante, de fecha 25 de enero de 2023, dirigido a la parte reclamante.
2.- Contrato de Suministros Dual y Servicios de Naturgy, de fecha 26 de
octubre de 2022, con datos personales de la parte reclamante. Se adjunta al mismo
certificación de fecha 26 de octubre de 2022, expedida por la entidad Aviva Voice
Systems & Services, S.L., que actúa en su condición de Tercer Parte de Confianza.
-Denuncia ante la Policía Nacional de Santiago de Compostela Atestado nº
***ATESTADO.1, de fecha 7 de febrero de 20XX.
SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las
reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las
mismas a los delegados de protección de datos designados por los responsables o
encargados del tratamiento, o a estos cuando no los hubieren designado, y con la
finalidad señalada en el referido artículo, se dio traslado de la reclamación a Naturgy,
para que procediera a su análisis y diera respuesta en el plazo de un mes
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 19 de abril de 2023 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 19 de mayo de 2023, Naturgy dio respuesta al mismo manifestando:
1) “Que la contratación se realizó por medio de una herramienta en la que, durante el
proceso de contratación, si el cliente manifiesta su intención de contratar un producto,
se le envía un SMS, que contiene un enlace a una web en la que es mostrada al
cliente la información de los productos ofrecidos y condiciones contractuales, y donde
debe pulsar en un “botón” para dar su consentimiento para la contratación y el adeudo
SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su
voluntad de contratar, así como la IP desde la que se realiza. Todo el proceso de
contratación, desde el envío del SMS, contenido del mismo, acceso a la web
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/26
enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la
contratación, es certificado por una Tercera Parte de Confianza, la entidad Aviva Voice
Systems & Services, S.L.
Así, tal y como se recoge en la primera página de la certificación expedida por Aviva
para la contratación de los Servicios Objeto de la Reclamación, el día 26 de octubre
de 2022, a las 13:31h. se remitió un SMS al número de teléfono móvil
***TELÉFONO.1. Dicho SMS contenía un enlace a la web en la que se mostraba la
información de los productos ofertados, así como las condiciones de contratación, y se
solicitaba el consentimiento para contratar. A continuación, siendo las 13:31h., se
accedió a la citada web, y desde la dirección ***IP.1 se pulsó en el botón “Contratar”
contenido en dicha página web, mediante el que se confirma la voluntad de contratar”.
2) Naturgy indica que a raíz de la primera reclamación formulada por el reclamante en
fecha 1 de diciembre de 2022, Naturgy inició una investigación pormenorizada de lo
ocurrido, con el resultado de que esta contratación fue gestionada por la empresa
Soluciones Empresariales Integrales 2022 S.L., (en adelante SEI), que actúa en
calidad de encargado del tratamiento.
También indica Naturgy que ha verificado que el encargado del tratamiento no había
registrado en sus sistemas la grabación de la llamada de contratación de los servicios
objeto de la reclamación, por lo que Naturgy ha requerido al encargado del tratamiento
que aporte dicha grabación, sin que hasta la fecha haya sido entregada por SEI.
3) Que la contratación realizada a través de SEI, encargado del tratamiento, revistió un
carácter fraudulento, pues "solamente perseguiría la obtención ilícita de una comisión
por la consecución de nuevas contrataciones."
4) Considera que la conducta del encargado del tratamiento "no ha obedecido, directa
o indirectamente, a ninguna instrucción o mandato de Naturgy, y se habría realizado
en clara contravención de las instrucciones y buenas prácticas que Naturgy exige a
sus empresas colaboradoras y, además de un grave incumplimiento de las
obligaciones contractuales, constituiría un fraude contra Naturgy".
5) Que se han adoptado una serie de medidas contra dicho encargado del tratamiento,
resolviendo de forma inmediata el contrato que tenía suscrito con esa entidad.
6) Así mismo se han adoptado otra serie de medidas "para que el Reclamante no sufra
ningún perjuicio económico como consecuencia de lo ocurrido", dando de baja todas
las contrataciones, anulando las facturas que pudieran haberse generado en el
periodo de tiempo en que los contratos estuvieran en vigor. En cuanto a la solicitud
recibida interesando el abono de ciertos importes en concepto de indemnización, por
Naturgy se señala que contestó a la parte reclamante: "que no era posible atender su
petición de indemnización. Además, dicha reclamación de cantidad por parte del
Reclamante debería ser sustanciada, en su caso, ante las autoridades judiciales o
arbitrales competentes al margen de la AEPD".
TERCERO: En fecha 31 de mayo de 2023 tras analizarse la documentación que
obraba en el expediente, se dictó resolución por la Directora de la Agencia Española
de Protección de Datos, acordando el archivo de la reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/26
CUARTO: En fecha 5 de junio de 2023 la parte reclamante interpone un recurso
potestativo de reposición a través del Registro Electrónico de la AEPD, contra la
resolución recaída en el expediente EXP202304821, en el que muestra su
disconformidad con la resolución impugnada, solicitando que continúe la tramitación
de la reclamación inicial presentada.
Adjunta al mencionado recurso escritos que le remitió Naturgy el 11 y el 13 de enero
de 2023 reclamando el pago de una deuda.
QUINTO: En fecha 31 de octubre de 2023 se notificó el recurso interpuesto a la parte
reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase
los documentos y justificantes que estimase procedentes, lo que se ha verificado
mediante escrito de respuesta de fecha 13 de noviembre de 2023.
SEXTO: En fecha 23 de noviembre de 2023 se estimó el recurso de reposición
interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en
fecha 31 de mayo de 2023, por la que se acordaba el archivo de la reclamación
referida a Naturgy, a fin de que prosiga su tramitación.
SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
NATURGY IBERIA, S.A. es una gran empresa constituida en el año 1976, y con un
volumen de negocios de 3.873.110.000 euros en el año 2022.
OCTAVO: Con fecha 12 de marzo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD.
NOVENO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la LPACAP, la parte reclamada solicitó ampliación de plazo para presentar
alegaciones, que le fue concedido y presentó escrito de alegaciones el día 8 de abril
de 2024 en el que, en síntesis, se reitera en los argumentos expuestos en su
respuesta al trámite de traslado, en síntesis manifiesta: <<SEI no únicamente no
siguió las instrucciones de NATURGY, sino que se apartó por completo de ellas,
constituyendo su conducta un absoluto fraude contra NATURGY, quien resulta un
perjudicado más en la medida en que SEI solamente perseguía la indebida obtención
de una comisión por venta de producto por una contratación que se ha demostrado
que se llevó a cabo mediante prácticas irregulares por parte de sus agentes y que,
lejos de reportar beneficio económico alguno a NATURGY, causó un perjuicio
económico al Reclamante que NATURGY tuvo que subsanar reintegrándole las
facturas correspondientes a la energía consumida en el punto de suministro así como
un perjuicio reputacional.
NATURGY aplicó medidas contundentes tan pronto como tuvo conocimiento de los
hechos con el objetivo de perseguir y sancionar este tipo de conductas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/26
Tal y como mi mandante manifestó en la Respuesta al requerimiento de información, y
dado que NATURGY es absolutamente intolerante con las prácticas realizadas por
SEI, NATURGY aplicó las siguientes medidas de forma inmediata: (i) Solicitar
explicaciones a SEI y resolver de forma anticipada e inmediata el contrato de
colaboración con dicha empresa.
Se adjunta el burofax de resolución enviado como DOCUMENTO Nº 2. (ii) Aplicar la
penalización contractual a SEI prevista por incumplimiento contractual. (iii) Adoptar las
medidas oportunas para que el Reclamante no sufriera ningún perjuicio económico
como consecuencia de la práctica irregular de SEI, consistentes en: - Dar de baja
todos los contratos que pudieran seguir activos. - Anular todas las facturas que
pudieran haberse generado durante el periodo de tiempo en que los contratos
estuvieron activos con NATURGY. Dado que el Reclamante había rechazado todos los
cargos que le habían sido realizados, no fue necesario realizar ningún abono al
Reclamante. - Contactar con el Reclamante para pedirle disculpas y ponerse a su
disposición para abonarle los daños y perjuicios que pueda acreditar
documentalmente y que se le hubiesen podido causar -los cuales alegaba en su
recurso de reposición-.
Las contrataciones irregulares llevadas a cabo por SEI en contra de las instrucciones
de NATURGY no le permite ser considerado como un encargado del tratamiento en el
caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de
NATURGY –tal y como éstos han reconocido- actuaron, por tanto, como responsable
del tratamiento: Teniendo en cuenta que el artículo 4.8 del RGPD define la figura del
encargado del tratamiento como aquella persona física o jurídica, autoridad pública,
servicio u otro organismo que trate datos personales por cuenta del responsable del
tratamiento, tal y como se expondrá a continuación, SEI no actuó como encargado del
tratamiento en las contrataciones objeto de la presente reclamación.
En otras palabras, <> significa que el encargado del tratamiento está al servicio del
interés del responsable del tratamiento en llevar a cabo una tarea específica y que,
por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al
menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento
encomendado>>. Así se establece precisamente en el artículo 28.10 del RGPD en el
que se prevé que, si un encargado del tratamiento infringe el RGPD al determinar los
fines y medios del tratamiento, será considerado como responsable del tratamiento
con respecto a dicho tratamiento.
Por ejemplo, Procedimiento Nº: PS/00059/2020 Página 7 de 8 Asimismo, el artículo 29
del RGPD establece que <>. Del mismo modo se regula en el artículo 33.2 de la
LOPDGDD: <>. Adicionalmente, el mismo Comité Europeo de Protección de Datos
(‘‘CEPD’’) insistía en sus Directrices 07/2020 adoptadas el 7 de julio de 2021 que <>.
Asimismo, ya insistía el CEPD en dichas Directrices en que cuando un encargado
trate datos sin ajustarse a las instrucciones del responsable y ello equivalga a una
decisión por la que se determinen los fines y los medios del tratamiento -como sin
duda sería la determinación de la licitud del tratamiento-, se entenderá que el
encargado ha incumplido sus obligaciones e incluso será considerado responsable de
dicho tratamiento con arreglo al artículo 28.10 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/26
En cuanto a esto, el CEPD recuerda que el RGPD establece obligaciones concretas
que vinculan directamente a los encargados del tratamiento, por lo que es posible
exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas
obligaciones o actúe al margen o en contra de las instrucciones legales del
responsable.
En esta misma línea se ha pronunciado AEPD en sus resoluciones: <<> de la
operación de tratamiento en la que participa>>. Por tanto, es indiscutible que si un
encargado trata datos personales infringiendo la normativa de protección de datos o
bien actuando al margen de las instrucciones del responsable del tratamiento -tal y
como hizo SEI- éste deja de tener la consideración de encargado del tratamiento pues
está actuando de facto como responsable del tratamiento.
Así, resulta evidente que SEI trató de forma ilícita los datos personales del
Reclamante como responsable del tratamiento, pues no solo estaba actuando al
margen de las instrucciones de NATURGY, sino incumpliéndolas deliberadamente con
el único objetivo de cometer un fraude contra NATURGY.
Por tanto, no cabe sancionar a NATURGY por un tratamiento que SEI ha realizado
como responsable del tratamiento independiente. Más aún cuando el artículo 82.2 del
RGPD prevé que el encargado del tratamiento responda de los daños y perjuicios
causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD
dirigidas específicamente a los encargados o haya actuado al margen o en contra de
las instrucciones legales del responsable, tal y como ha ocurrido en el caso que nos
ocupa.
Por todo lo expuesto, SOLICITA: Que tenga por presentado este escrito, por
formuladas las alegaciones que en el mismo se contienen, y previos los trámites
oportunos, se archive el procedimiento>>.
Adjunta a las alegaciones la siguiente documentación:
- Contrato de prestación de servicios comerciales para empresas colaboradoras
suscrito el 1 de mayo de 2022 entre Naturgy Iberia, S.A. y Soluciones Empresariales
Integrales 2022, S.L.
- Contrato de encargado de tratamiento de datos suscrito el 1 de mayo de 2022 entre
Naturgy Iberia S.A. y Soluciones Empresariales Integrales 2022, S.L.
- Comunicación remitida por Naturgy a Soluciones Empresariales Integrales 2022, S.L.
el 15 de mayo de mayo de 2023, con el nombre de asunto “Comunicación de
resolución anticipada del contrato de Colaboración por incumplimiento de la Empresa
Colaboradora”.
- Correo electrónico enviado por la parte reclamante a la a la Oficina de Garantía del
Servicio al Cliente de Naturgy de fecha 28 de noviembre de 2023, con el nombre de
asunto “(…)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/26
- Correo electrónico enviado por la parte reclamante a la Oficina de Garantía del
Servicio al Cliente de Naturgy de fecha 21 de febrero de 2024, con el nombre de
asunto (…)”.
DÉCIMO: Con fecha 11 de abril de 2024, el instructor del procedimiento acordó
practicar las siguientes pruebas: “1. Se dan por reproducidos a efectos probatorios la
reclamación interpuesta por D. A.A.A. y su documentación, los documentos obtenidos
y generados durante la fase de admisión a trámite de la reclamación. 2.Asimismo, se
da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del
procedimiento sancionador referenciado, presentadas por NATURGY IBERIA, S.A., y
la documentación que a ellas acompaña”.
UNDÉCIMO: Notificada la propuesta de resolución, con fecha 12 de junio de 2024 la
parte reclamada presentó escrito de alegaciones, reiterándose en los argumentos ya
expuestos y manifestando en síntesis la ausencia de responsabilidad y de culpabilidad
de Naturgy.
Además, señala que tal y como Naturgy expuso en la Respuesta al requerimiento de
información, tras una investigación, se concluyó que la contratación objeto de la
reclamación fue realizada por la empresa colaboradora SEI, la cual incumplió todas y
cada una de las obligaciones referenciadas en el contrato suscrito entre ambas partes
y Naturgy no tuvo forma de descubrirlo hasta que recibió el Requerimiento de
información.
Por otra parte, indica que ha habido un cambio de criterio por parte de la AEPD, dado
que sin explicar cuál ha sido el cambio de criterio para valorar de forma diferente unos
hechos que ya fueron valorados y respecto de los cuales no se ha producido alteración
alguna ni se ha conocido con posterioridad información alguna que los altere o pueda
modificar su calificación desde el punto de vista de la normativa de protección de
datos.
Señala que “dichos extremos no se motivaron ni en el Acuerdo de Inicio ni en la
Propuesta de Resolución, aspecto que indiscutiblemente produce indefensión a mi
mandante, tal y como ya se manifestaba en las alegaciones presentadas a lo largo del
presente expediente sancionador. Por este motivo, todo lo expuesto contraviene la
Doctrina de los actos propios que debe regir la actuación de la Administración tal y
como establece el Tribunal Supremo: «Los principios de seguridad jurídica, buena fe,
protección de la confianza legítima y la doctrina de los actos propios informan
cualquier ordenamiento jurídico, ya sea estatal o autonómico, y constituye un
componente elemental de cualquiera de ellos, al que deben someterse en todo
momento los poderes públicos», de conformidad con lo establecido en el artículo
3.1.e) de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, por
el cual la Administración debe actuar con los principios de buena fe, confianza legítima
y lealtad institucional.
Las contrataciones irregulares llevadas a cabo por SEI en contra de las instrucciones
de NATURGY no le permiten ser considerado como un encargado del tratamiento en
el caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de
NATURGY, actuaron, por tanto, como responsable del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/26
En esta misma línea se ha pronunciado AEPD en sus resoluciones (PS/00059/2020):
“los encargados podrán ser considerados responsables cuando hayan actuado la
margen del mandato otorgado por el responsable del tratamiento, o no hayan
cumplido sus propias obligaciones contractuales o con arreglo al RGPD. En estos
casos, el encargado del tratamiento puede ser considerado total o parcialmente
responsable de la “parte” de la operación de tratamiento en la que participa”.
Por tanto, es indiscutible que si un encargado trata datos personales infringiendo la
normativa de protección de datos o bien actuando al margen de las instrucciones del
responsable del tratamiento -tal y como hizo SEI- éste deja de tener la consideración
de encargado del tratamiento pues está actuando de facto como responsable del
tratamiento.
Así, resulta evidente que SEI trató de forma ilícita los datos personales de el
Reclamante como responsable del tratamiento, pues no solo estaba actuando al
margen de las instrucciones documentadas de NATURGY, sino incumpliéndolas
deliberadamente con el único objetivo de cometer un fraude contra NATURGY.
En ningún momento NATURGY puede ser considerado como responsable del
tratamiento con respecto a dicho tratamiento realizado por SEI, quien se ha apartado
por completo de las instrucciones emitidas por NATURGY tal y como se ha detallado
en la alegación segunda.
La actuación de SEI en modo alguno puede entenderse realizada por cuenta de
NATURGY. El hecho de que SEI se haya servido en parte de una herramienta de
trabajo facilitada por NATURGY no significa que NATURGY incurra en una
responsabilidad objetiva por cualquier uso que SEI haya realizado de dicha
herramienta, máxime cuando, como se ha evidenciado sobradamente, se ha tratado
de un uso realizado contraviniendo las instrucciones de NATURGY y en comisión de
un fraude contra la propia NATURGY.
No obstante, la Propuesta de Resolución se limita a afirmar que NATURGY actuó
como responsable del tratamiento, sin tener en cuenta las alegaciones presentadas al
Acuerdo de Inicio y sin fundamentar el razonamiento por el que la AEPD considera,
contrariamente a lo establecido en la normativa y Directrices mencionadas, que
NATURGY actuó como responsable del tratamiento en el marco de un tratamiento de
datos realizado exclusivamente por SEI e incumpliendo éste todas las instrucciones
documentadas trasladadas por parte de NATURGY: < como: nombre y apellido,
documento de identidad, domicilio, número de teléfono, datos bancarios, datos de
suministro, entre otros tratamientos. Naturgy Iberia realiza esta actividad en su
condición de responsable del tratamiento, dado que es quien determina los fines y
medios de tal actividad, en virtud del artículo 4.7 del RGPD>>.
Es decir, en la Propuesta de Resolución se afirma, sin motivarse en modo alguno, que
NATURGY realizó dicho tratamiento de datos y que, además, lo hizo en calidad de
responsable del tratamiento, apartándose de lo establecido en los artículos 28.10 y 29
del RGPD.
En conclusión, no cabe sancionar a NATURGY por un tratamiento que SEI ha
realizado como responsable del tratamiento independiente. Más aún cuando el artículo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/26
82.2 del RGPD prevé que el encargado del tratamiento responda de los daños y
perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones
del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en
contra de las instrucciones legales del responsable, tal y como ha ocurrido en el caso
que nos ocupa. Adicionalmente, no se han cumplido los requisitos del procedimiento
administrativo común por cuanto se está contraviniendo la doctrina de actos propios,
así como no se notificó a NATURGY, en tanto que parte interesada, la estimación del
recurso de reposición presentado por el Reclamante contra la Propuesta de
Resolución de archivo de la reclamación contra mi mandante.>>
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO. – Consta en el expediente el Contrato de Suministros Dual y Servicios de
Naturgy, de fecha 26 de octubre de 2022, en el que consta datos personales del
reclamante (nombre y apellidos, NIF, teléfono móvil, dirección de correo electrónico), la
dirección del punto de suministro y de la prestación de los servicios, la dirección postal
de correspondencia, la CUPS de gas y la CUPS de electricidad y la orden de
domiciliación de adeudo directa SEPA.
SEGUNDO. – Obra en el expediente certificación, de fecha 26 de octubre de 2022,
expedida por la entidad Aviva Voice Systems & Services, S.L., que actúa en su
condición de Tercera Parte de Confianza, con el siguiente contenido:
“CERTIFICA: La entidad Naturgy Iberia S.A. con CIF/NIF A08431090 está dada de alta
en nuestro servicio de envío y recepción de mensajes SMS, email y alojamiento de
microportales WEB.
Haciendo uso de nuestro servicio, dicho usuario ha realizado las siguientes
comunicaciones por mensajes SMS, email y WEB:
1. Envío: mensaje SMS el día (...) CET al número de móvil ***TELÉFONO.1 con
remitente Naturgy con el siguiente texto: "Para confirmar contratación, acceda al
siguiente enlace ***URL.1 en el encontrara su contrato, política de privacidad y
decirnos si quiere que tratemos sus datos para ciertos fines" Según nuestros registros,
el texto del mensaje fue entregado a las (...) CET.
2. La página WEB a la que apunta el link ***URL.1 se halla alojada en nuestros
servidores y se ha generado automáticamente de forma personalizada. El contenido
de la misma se anexa en la última página de este certificado y para acceder a la
misma se requiere introducir el NIF del destinatario del contrato.
Según nuestros registros, a las (...) CET se accedió a esta página, previa introducción
del identificador (...). Según nuestros registros, el botón "Contratar" contenido en la
página WEB a la que apunta dicho link fue pulsado a las (...) CET desde la dirección
***IP.1”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/26
TERCERO. - Consta en el expediente correo electrónico remitido por el reclamante, el
1 de diciembre de 2022, al Servicio de Atención al Cliente de Naturgy con el nombre
de asunto “Contrato fraudulento” y el siguiente contenido:
“(…)
En el día de hoy recibo un correo de mi suministradora de electricidad (endesa) y me
dicen que tramitan mi baja en el contrato.
Me indican que es a instancia de mi nueva suministradora.
Llamo a la distribuidora (Unión Fenosa) y me indican que mi nueva suministradora en
Naturgy, desde el 28 de octubre.
Llamo a Naturgy, (…)
(…)
En la opción 5 me indican que tengo contrato con Naturgy desde el 28 de octubre de
luz, gas y otros servicios.
Pero que no tiene acceso al supuesto contrato firmado por mi.
NORMAL, YO NO FIRMÉ NINGÚN CONTRATO CON NATURGY EN OCTUBRE.
Así, me facilita este correo para que les pida el CONTRATO FIRMADO POR MI con
efectos del 28 de octubre. Insisto, yo no firmé ningún contrato. Todas las facturas que
se me giren por este contrato falso serán devueltas.
(…)”
CUARTO. - Consta en el expediente correo electrónico remitido por el Servicio de
Atención al Cliente de Naturgy, el 2 de diciembre de 2022, al reclamante con el
siguiente contenido:
“Te informo que he enviado tu solicitud al departamento correspondiente para que
puedan solucionar tu solicitud.
Se pondrán en contacto contigo en la mayor brevedad posible cuando este
solucionado.
Código de solicitud: ***CODIGO.1.”
QUINTO. - Consta en el expediente correo electrónico remitido por el Servicio de
Atención al Cliente de Naturgy, el 2 de diciembre de 2022, al reclamante con el
nombre de asunto “Contrato fraudulento” y el siguiente contenido:
“Atendiendo tu solicitud, te informo que la incidencia con código ***CODIGO.1 abierta
el día 02/12/22 por el motivo que nos comentas, se encuentra en gestión. En cuanto el
departamento asignado para ello lo haya revisado y gestionado, se pondrá en
contacto contigo lo antes posible.
Con respecto a la cesión de datos, indicarte que al tener contrato activo con nuestra
comercializadora, tus datos se ceden, además de a las empresas suministradoras, a
las empresas colaboradoras que llevan a cabo los servicios que tienes contratados
que son SVE Xpress y ServiGas Complet con calefacción. Igualmente, te confirmo que
los contratos de electricidad y gas de la dirección de suministro ***DIRECCIÓN.1 se
encuentran datos de baja con fecha 07/12/22 y 10/12/22 respectivamente y por este
motivo, quedan anulados con fecha de hoy los servicios mencionados anteriormente.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/26
SEXTO. - Consta en el expediente comunicaciones remitidas por Naturgy, el 11 y el 13
de enero de 2023, al reclamante con el siguiente contenido:
“Lamentamos comunicarle que finalmente hemos tenido que darle de baja del contrato
de energía y/o servicios.
Recuerde, que la baja de su/s contrato/s no implica que la deuda, de (…) se haya
cancelado.
(…) Detallamos la/s factura/s pendientes al final de esta carta.”
En la comunicación de 11 de enero de 2023 figuran dos facturas de fecha 9 de
diciembre de 2022.
En la comunicación de 13 de enero figuran las mencionadas facturas de fecha 9 de
diciembre de 2022 y otra de fecha 13 de diciembre de 2022.
SÉPTIMO – Consta en el expediente escrito de la Oficina de Garantía del Servicio al
Cliente de Naturgy, de fecha 25 de enero de 2023, dirigido a la parte reclamante, con
el siguiente contenido:
“(…)
En referencia al punto de suministro ***DIRECCIÓN.2, comprobamos que, el 26 y 28
de octubre de 2022, activamos los contratos de suministro eléctrico y gas, así como
los contratos de servicio de mantenimiento ServiElectric y ServiGas.
El 1 y 7 de diciembre de 2022, procedimos a inactivar los contratos de gas y
electricidad por cambio de comercializadora.
El 16 de diciembre de 2022 tramitamos la baja del servicio de mantenimiento
“ServiElectric y ServiGas, dejando sin efecto todas las cuotas emitidas desde la
activación del contrato.
Actualmente no tiene importes pendientes de pago.
(…)”
OCTAVO. - Con fecha 19 de mayo de 2023, en respuesta al traslado de la presente
reclamación y el día 8 de abril de 2024, en las alegaciones al Acuerdo de Inicio, la
parte reclamada reconoce que la contratación realizada a través de SEI revistió un
carácter fraudulento, manifestando que “se constató que esta contratación fue
gestionada por la empresa SOLUCIONES EMPRESARIALES INTEGRALES 2022
S.L. • Se ha verificado que SEI no había registrado en los sistemas de Naturgy la
grabación de la llamada de contratación de los Servicios Objeto de la Reclamación,
por lo que Naturgy ha requerido a la entidad SEI que aporte dicha grabación, sin que
hasta la fecha haya sido entregada por SEI. • El Reclamante indica que la contratación
se realizó a través de un teléfono y de una IP que desconoce. Naturgy ha realizado
comprobaciones y ha identificado ciertas prácticas irregulares por parte de SEI en
relación con dicha IP. • Se ha producido una renuencia de SEI a colaborar con la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/26
investigación” pues “solamente perseguiría la obtención ilícita de una comisión por la
consecución de nuevas contrataciones”.
NOVENO. - Consta en el expediente contrato de prestación de servicios comerciales
para empresas colaboradoras suscrito el 1 de mayo de 2022 entre Naturgy Iberia, S.A.
y Soluciones Empresariales Integrales 2022, S.L. En tal contrato se indica:
“ Que NATURGY IBERIA es una sociedad especializada en la comercialización de
bienes y prestación de servicios relacionados con la energía.
Que EL COLABORADOR (Soluciones Empresariales Integrales 2022, S.L.), es una
sociedad dentro de cuyo objeto social se concreta el relativo a que desarrolla, entre
otras, la actividad de asesoría y de apoyo comercial y técnico para la captación de
clientes tanto presencial como telefónicamente de Residencial y Pyme y Renovación
de clientes (Pyme).”
DÉCIMO. - Consta en el expediente contrato de encargo del tratamiento de datos
suscrito el 1 de mayo de 2022 entre Naturgy Iberia, S.A. y Soluciones Empresariales
Integrales 2022, S.L.. En tal contrato se indica:
“I.- Que, con fecha 01 de mayo , las Partes han suscrito un Contrato de prestación de
servicios (en adelante, “Contrato de Servicios”) en virtud del cual el ENCARGADO
DEL TRATAMIENTO, en los términos establecidos en el mismo, asesorará en materia
de energía a usuarios finales residenciales y PYMES, y prestará apoyo comercial y
técnico para la captación de nuevos clientes (Residencial y Pyme) y renovación de
clientes (Pyme) a los que ofrecer los productos y servicios comercializados por
NATURGY, tanto presencial como telefónicamente (en adelante, los Servicios).
(…)
5. OBLIGACIONES DEL RESPONSABLE DEL TRATAMIENTO
Corresponden al RESPONSABLE DEL TRATAMIENTO las siguientes obligaciones:
a) Cumplir con el RGPD, la LOPD, así como con cualquier otra normativa en materia
de protección de datos que, en cada momento, resulte de aplicación al Tratamiento de
Datos objeto del Contrato.”
DECIMOPRIMERO. - Consta en el expediente comunicación remitida por Naturgy a
Soluciones Empresariales Integrales 2022, S.L., el 15 de mayo de 2023, con el
nombre de asunto “Comunicación de resolución anticipada del contrato de
Colaboración por incumplimiento de la Empresa Colaboradora” y el siguiente
contenido:
Contactamos con Uds. con ocasión del Contrato de Colaboración suscrito entre
Naturgy Iberia, S.A. (“NATURGY”) y SOLUCIONES EMPRESARIALES INTEGRALES
2022, SL (el “COLABORADOR”) firmado por Ustedes el 29 de septiembre de 2022 y
que fue prorrogado por ambas partes en fecha 24 de febrero de 2023 (el “Contrato”).
“El motivo del presente es comunicarles la decisión irrevocable de esta parte de
terminar el Contrato con carácter inmediato de conformidad con lo previsto en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/26
Cláusula DECIMOTERCERA apartado (iii) del mismo con motivo de los
incumplimientos llevados a cabo por el COLABORADOR y que se detallan más
adelante.
Así, se hace constar que NATURGY ha tenido constancia de que el COLABORADOR
ha incumplido de forma reiterada, entre otras, las obligaciones detalladas en cláusula
SÉPTIMA.3 (“Metodología de trabajo para la comercialización”), cláusula SÉPTIMA.6
(“Derechos de Propiedad Industrial”), Anexo IV (Mercado Residencial) del Contrato y
Código de Buenas Prácticas Comerciales Anexo al mismo y que se mencionan en la
columna “Incumplimiento” en relación con los clientes a que hacen referencia las
reclamaciones de la columna “Reclamación”:
Reclamación (…) Incumplimiento: Irregularidades en la contratación. Ausencia de
evidencias del consentimiento del cliente a la contratación o irregularidades en las
mismas.
Reclamación (…) Incumplimiento: Irregularidades en la contratación. Ausencia de
evidencias del consentimiento del cliente a la contratación o irregularidades en las
mismas.
(…)
Por último, les requerimos para que en el plazo de quince días nos hagan entrega de
todas las locuciones telefónicas de verificación de la contratación de los productos y
servicios de Naturgy realizadas con la intervención del COLABORADOR durante la
vigencia del Contrato.
Las mencionadas locuciones deberán remitirse a Naturgy en formato mp3 a través de
Tranxfer con acuse de recibo y un mes de fecha de expiración al gestor asignado a su
cuenta y al Delegado de la zona y de manera tal que se puedan relacionar
inequívocamente con el cliente al que hacen referencia. De igual modo si existiera
algún contrato en papel que no haya sido enviado aún para su custodia se enviara por
correo certificado al gestor asignado.
(…)”
DECIMOSEGUNDO. - Consta en el expediente correo electrónico remitido por la
Oficina de Garantía del Servicio al Cliente de Naturgy al reclamante el 21 de febrero
de 2024, con el nombre de asunto “(…)” y el siguiente contenido:
“Como le indicábamos en nuestro escrito del pasado 13 de noviembre de 2023, desde
NATURGY lamentamos sinceramente la situación ocurrida con su contrato y estamos
dispuestos a abonarle todos los daños y perjuicios que se le hubiesen podido causar y
nos pueda acreditar documentalmente.
Por este motivo, en fecha 20 de enero de 2023 anulamos el importe total de (...)€
correspondiente a las facturas que desde Naturgy le habíamos emitido por el
suministro de gas y electricidad en su domicilio y que Ud. nos había devuelto.
(…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/26
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Contestación a las alegaciones presentadas
En relación con las alegaciones de la parte reclamada que manifiesta: <<Las
contrataciones irregulares llevadas a cabo por SEI en contra de las instrucciones de
NATURGY no le permite ser considerado como un encargado del tratamiento en el
caso que nos ocupa, sino que al haber actuado al margen de las instrucciones de
NATURGY –tal y como éstos han reconocido- actuaron, por tanto, como responsable
del tratamiento: Teniendo en cuenta que el artículo 4.8 del RGPD define la figura del
encargado del tratamiento como aquella persona física o jurídica, autoridad pública,
servicio u otro organismo que trate datos personales por cuenta del responsable del
tratamiento, tal y como se expondrá a continuación, SEI no actuó como encargado del
tratamiento en las contrataciones objeto de la presente reclamación.
En otras palabras, <> significa que el encargado del tratamiento está al servicio del
interés del responsable del tratamiento en llevar a cabo una tarea específica y que,
por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al
menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento
encomendado>>. Así se establece precisamente en el artículo 28.10 del RGPD en el
que se prevé que si un encargado del tratamiento infringe el RGPD al determinar los
fines y medios del tratamiento, será considerado como responsable del tratamiento
con respecto a dicho tratamiento>>.
Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del
tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7
de julio de 2021, detallan lo siguiente:
“Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su
contenido esencial, el contrato debe servir para que el responsable y el encargado
aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/26
elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a
reproducir las disposiciones del RGPD, sino que debe incluir una información más
específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de
seguridad que se precisará para el tratamiento de los datos personales objeto del
contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y
estipulación de las condiciones del contrato sirven para especificar los detalles del
tratamiento.”
Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte
determinante (el responsable del tratamiento) y quién, la parte que sigue las
instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la
práctica cómo y por qué se tratan los datos personales, dicha parte será el
responsable del tratamiento, aunque el contrato estipule que se trata del encargado”
Sobre los «Los fines y medios» las citadas directrices recogen las siguientes
consideraciones:
“(…)
Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue
o que guía la actuación prevista» y la palabra medio como la «manera en que se
obtiene un resultado o se alcanza un objetivo»
(…)
La determinación de los fines y los medios equivale a decidir, respectivamente, el
porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el
responsable del tratamiento es la parte que determina por qué tiene lugar el
tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo
(es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que
influye de este modo en el tratamiento de datos personales participa, por tanto, en la
determinación de los fines y los medios de dicho tratamiento de conformidad con la
definición prevista en el artículo 4, punto 7, del RGPD.
El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios
del tratamiento, tal como se describe más adelante. En consecuencia, no puede
limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del
tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar
el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un
encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado
normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El
CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de
maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es
necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que
un ente se considere responsable del tratamiento y en qué medida puede el
encargado del tratamiento tomar decisiones propias.
(…)”
Pues bien, la parte reclamada añade que la empresa colaboradora no siguió sus
instrucciones, sino que se apartó por completo de ellas. Sin embargo, la parte
reclamada no solamente debe dar instrucciones a SEI, tal como manifiesta, sino está
obligada a supervisar su actuación, es decir debe establecer controles de
cumplimiento para garantizar que se cumplan y así detectar cualquier actividad ilegal o
inadecuada por parte del encargado del tratamiento cosa que no hizo la reclamada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/26
A mayor abundamiento, se hace necesario acudir a la Sentencia del Tribunal de
Justicia de la Unión Europea, de 5 de diciembre de 2023, dictada en el asunto C-
683/21 (Nacionalinis visiomenès sveikatos centras), la cual indica:
“83 Por lo que respecta, en segundo lugar, a la cuestión de si puede imponerse
una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del
tratamiento en relación con las operaciones de tratamiento efectuadas por un
encargado, es preciso recordar que, según la definición que figura en el artículo 4,
punto 8. del RGPD, se entiende por encargado del tratamiento <<la persona física o
jurídica, autoridad pública, servicio u otro organismo que trate datos personales por
cuanta del responsable del tratamiento>>
84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un
responsable del tratamiento es responsable no solo por todo tratamiento de datos
personales que efectúe el mismo, sino también por los tratamientos realizados por su
cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al
artículo 83 del RGPD en una situación en las que los datos personales son objeto de
un tratamiento ilícito y en la que no es él, sino un encargado al que se ha recurrido,
quien ha efectuado el tratamiento por cuenta suya”
Así como citar la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de
diciembre de 20223, dictada en el asunto C-807/21 (Deutsche Wohnen), que indica
“24 En efecto, según el mencionado órgano jurisdiccional, esta jurisprudencia, al
igual que la mayoría de la doctrina nacional, concede especial importancia al concepto
de <<empresa>>, en el sentido de los artículos 101 TFUE y 102 TFUE y, por tanto, a
la idea de que la responsabilidad se imputa a la entidad económica en la que se ha
adoptado el comportamiento indeseable, por ejemplo, un comportamiento contrario a
la competencia. A su entender, conforme a esta concepción <<funcional>>, todos los
actos de todos los empleados autorizados a actuar en nombre de una empresa son
imputables a la empresa también en el marco de un procedimiento administrativo.
44 Por lo que respecta a las personas jurídicas, esto implica, por una parte, como
ha señalado, en esencia, el Abogado General en los puntos 57 a 59 de sus
conclusiones, que estas son responsables no solo de las infracciones cometidas por
sus representantes, directores o gestores, sino también por cualquier otra persona que
actúe en el ámbito de la actividad empresarial de esas personas jurídicas y en su
nombre. Por otra parte, las multas administrativas previstas en el artículo 83 del RGPD
en caso de que se produzcan tales infracciones deben poner imponerse directamente
a personas jurídicas cuanto estas pueden ser calificadas de responsables del
tratamiento en cuestión”
Por tanto, a la vista de lo expuesto, el responsable de un tratamiento de datos de
carácter personal puede responder por las actuaciones negligentes de los empleados
de su encargado del tratamiento.
Naturgy ha señalado en sus alegaciones que esta conclusión se aparta de otros
pronunciamientos de esta AEPD. Sin embargo, lo alega invocando un precedente en el
que se sanciona a la entidad responsable del tratamiento, y no al encargado, en base
a fundamentos de derecho similares a los valorados en este acto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/26
Así, en ese precedente se indica:
“El art. 33.2 de la LOPDGDD indica que se consideran responsables y no encargados
los que “en su propio nombre y sin que consten que actúen por cuenta de otro
establezca relaciones con los afectados”; lo que, interpretado en sentido contrario,
supone que es encargado quien en nombre del responsable establece relaciones con
los afectados. Ello es independientemente de si para ello es preciso acceder a datos
por cuenta de terceros.
El encargado, para serlo, no ostenta ningún interés propio respecto del resultado del
tratamiento objeto de encargo, sin perjuicio de la compensación económica que recibe
por el servicio prestado y que es lo que acontece en el supuesto examinado. Los
encargados no tienen ningún interés propio, actúan por cuenta y en nombre del
responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo que
determina que sean encargados desde el principio”.
“La existencia de encargado del tratamiento depende de una decisión adoptada por el
responsable del tratamiento, que podrá decidir realizar ella misma determinadas
operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un
encargado. La esencia de la función de « encargado del tratamiento» es que los datos
personales sean tratados en nombre y por cuenta del responsable del tratamiento.
En la práctica, es el responsable el que determina la finalidad y los medios, al menos
los esenciales, mientras que el encargado del tratamiento tiene una función de prestar
servicios a los Responsables del Tratamiento. En otras palabras, “actuando en nombre
y por cuenta del responsable del tratamiento” significa que el encargado del
tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo
una tarea específica y que, por tanto, sigue las instrucciones establecidas por el
responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios
esenciales del tratamiento encomendado”.
“Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por
cuenta del responsable del tratamiento pertenece la esfera de actuación de éste
último, de igual forma que si lo realizara directamente él mismo. El encargado de
tratamiento, en el supuesto examinado, es una extension del responsable del
tratamiento.
El responsable del tratamiento tiene la obligación de integrar y desplegar la protección
de datos dentro de todo lo que constituya su organización, en todos sus ámbitos. Se
debe de tener muy presente que, en última instancia, la finalidad determinante es la de
garantizar la protección del interesado.
Interpretarlo en sentido contrario -las obligaciones que el artículo 28 del RGPD impone
al responsable del tratamiento se limitan a verificar las capacidades del encargado ab
initio y a suscribir el contrato de encargado del tratamiento- no sólo contravendrían la
legalidad vigente constituyendo una actuación claramente fraudulenta, sino que
violaría el espíritu y finalidad del RGPD”.
“…los encargados podrán ser considerados responsables cuando hayan actuado al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/26
margen del mandato otorgado por el responsable del tratamiento, o no hayan
cumplido sus propias obligaciones contractuales o con arreglo al RGPD. En estos
casos, el encargado del tratamiento puede ser considerado total o parcialmente
responsable de la “parte” de la operación de tratamiento en la que participa. Solo será
el encargado plenamente responsable cuando sea enteramente responsable de los
perjuicios ocasionados en cuanto a los derechos y libertades de los interesados
afectados ; todo ello, sin eludir la responsabilidad en la que el responsable del
tratamiento haya incurrido a fin de evitarlos”.
A fin de contestar a la alegación por haberse producido un cambio de criterio sin la
suficiente motivación basta con hacer una remisión a los Antecedentes, en los que se
ha abordado esta cuestión, hay que señalar que el reclamante interpuso recurso de
reposición ante la resolución de esta Agencia de archivo de la reclamación aportando
nueva documentación junto con el recurso escritos que fueron remitidos por la parte
reclamada al reclamante el 11 y el 13 de enero de 2023 reclamando el pago de una
deuda.
En contra de lo señalado por Naturgy, la estimación de dicho recurso de reposición
interpuesto por la parte reclamante, que da lugar a la admisión a trámite de la
reclamación formulada, no vulnera la doctrina de los actos propios.
Y, por otra parte, con fecha 31 de octubre de 2023 se notificó el recurso interpuesto a
la parte reclamada, lo que se ha verificado mediante escrito de respuesta de fecha 13
de noviembre de 2023, y con fecha 23 de noviembre de 2023 se estimó el recurso de
reposición interpuesto por la parte reclamante contra la resolución de esta Agencia
dictada en fecha 31 de mayo de 2023, por la que se acordaba el archivo de la
reclamación, indicando en el mismo:
“Se observa en el presente caso que la entidad encargada de la contratación,
actuando en nombre de la parte reclamada, realizó una conducta fraudulenta, lo que
queda plenamente reconocido por la parte reclamada, ocasionando un perjuicio al
cliente. El sistema de contratación permite que entidades ajenas a la parte reclamada,
sobre cuya actuación niega toda responsabilidad, realicen contratos en su nombre.
Destaca además el hecho de que, pese a que la parte reclamada insiste en que se
establecen medidas adecuadas en el cumplimiento de estos contratos y que se trata
de una actuación con mala fe de la entidad concreta que participó en la contratación,
existe precedente de contrataciones fraudulentas, realizadas en términos semejantes,
en otros expedientes de esta Agencia, todas realizadas en nombre de NATURGY
IBERIA, S.A. por otras entidades contratadas distinta de la señalada en el presente
procedimiento. Por tanto, en el presente caso procede la estimación del recurso
interpuesto”.
Respecto a la existencia de indefensión para que pueda apreciarse no resulta
suficiente con que se haya producido una infracción formal sino que ha de haberse
producido una indefensión de carácter material, en palabras del TC, STC 290/1993,
fundamento jurídico 4 “Para que pueda estimarse una indefensión con relevancia
constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y
defender en el proceso sus derechos, no basta con una vulneración meramente
formal, siendo necesario que de esa infracción formal se derive un efecto material de
indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/26
fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los
interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989,
fundamento jurídico 2º)".
Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en
su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de
2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas
ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina
del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del
acto recurrido, es preciso que no se trate de meras irregularidades procedimentales,
sino de defectos que causen una situación de indefensión de carácter material, no
meramente formal, esto es, que las mismas hayan originado al recurrente un
menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo
(SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”.
En definitiva, para que se quebrante la prohibición de indefensión es necesario que
exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso
pues, en fecha 27 de octubre de 2023, se remitió el recurso interpuesto a Naturgy
Iberia, S.A., y con fecha 31 del mismo mes y año accedió la parte reclamada al
contenido del mismo en el marco de lo establecido en el artículo 118.1 de la LPACAP,
a los efectos de que formulase las alegaciones y presentase los documentos y
justificantes que estimase procedentes, además la parte reclamada ha podido alegar
en el procedimiento sancionador todo cuanto a su derecho ha estimado conveniente,
por lo que ninguna indefensión material se ha producido.
Cabe señalar, asimismo, que la resolución estimatoria del recurso de reposición, por la
que se admite a trámite la reclamación que motiva las presentes actuaciones, fue
notificada a la parte reclamante conforme a lo dispuesto en el artículo 65.5 de la
LOPDGDD, según el cual “La decisión sobre la admisión o inadmisión a trámite, así
como la que determine, en su caso, la remisión de la reclamación a la autoridad de
control principal que se estime competente deberá notificarse al reclamante…”.
III
Obligación Incumplida
Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del
artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/26
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que Naturgy Iberia
realiza, entre otros tratamientos, la recogida y conservación de los siguientes datos
personales de personas físicas, tales como: nombre y apellido, documento de
identidad, domicilio, número de teléfono, datos bancarios, datos de suministro, entre
otros tratamientos.
Naturgy Iberia realiza esta actividad en su condición de responsable del tratamiento,
dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD.
Pues bien, ha quedado constatado, que la parte reclamada activó los contratos de gas
y electricidad y los servicios de mantenimiento y se emitieron facturas y requerimientos
de pago respectivos.
Por otro lado, la documentación que obra en el expediente evidencia que la
reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los
datos personales de la reclamante sin que tuviese ninguna legitimación para ello. Los
datos personales de la reclamante fueron incorporados a los sistemas de información
de la compañía, sin que haya acreditado que hubiese contratado legítimamente,
dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus
datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento
efectuado.
Los datos personales de la parte reclamante fueron registrados en los ficheros de la
reclamada y fueron tratados para la emisión de facturas por servicios asociados a la
parte reclamante. En consecuencia, ha efectuado un tratamiento de los datos
personales sin que haya acreditado que cuente la habilitación legal para ello.
El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la
ejecución de un contrato en el que el interesado es parte”.
Resultaba por ello esencial que la reclamada acreditara ante esta Agencia que el
reclamante había contratado con ella los suministros de gas y electricidad; que al
tiempo de la contratación había desplegado la diligencia que las circunstancias del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/26
caso exigían para asegurarse de que la persona que tramitó la baja de los contratos
de gas y electricidad, dando de alta los nuevos con el reclamante era efectivamente su
titular.
Pues bien, es preciso señalar en primer lugar que, en respuesta de fecha 19 de mayo
de 2023 a la actuación de traslado, enviada a Naturgy, esta manifestó que: 1) “Que la
contratación se realizó por medio de una herramienta en la que, durante el proceso de
contratación, si el cliente manifiesta su intención de contratar un producto, se le envía
un SMS, que contiene un enlace a una web en la que es mostrada al cliente la
información de los productos ofrecidos y condiciones contractuales, y donde debe
pulsar en un “botón” para dar su consentimiento para la contratación y el adeudo
SEPA, quedando así registrada la fecha y hora en la que el cliente manifiesta su
voluntad de contratar, así como la IP desde la que se realiza. Todo el proceso de
contratación, desde el envío del SMS, contenido del mismo, acceso a la web
enlazada, preferencias seleccionadas, fecha y hora, e IP desde las que se consiente la
contratación, es certificado por una Tercera Parte de Confianza, la entidad Aviva Voice
Systems & Services, S.L.
Así, tal y como se recoge en la primera página de la certificación expedida por Aviva
para la contratación de los Servicios Objeto de la Reclamación, el día (…) se remitió
un SMS al número de teléfono móvil ***TELÉFONO.1. Dicho SMS contenía un enlace
a la web en la que se mostraba la información de los productos ofertados, así como
las condiciones de contratación, y se solicitaba el consentimiento para contratar. A
continuación, siendo las 13:31h., se accedió a la citada web, y desde la dirección
***IP.1 se pulsó en el botón “Contratar” contenido en dicha página web, mediante el
que se confirma la voluntad de contratar”.
2) Naturgy indica que a raíz de la primera reclamación formulada por el reclamante en
fecha 1 de diciembre de 2022, Naturgy inició una investigación pormenorizada de lo
ocurrido, con el resultado de que esta contratación fue gestionada por la empresa
Soluciones Empresariales Integrales 2022 S.L. (en adelante, SEI), en calidad de
encargado del tratamiento.
También indica Naturgy que ha verificado que el encargado del tratamiento no había
registrado en sus sistemas la grabación de la llamada de contratación de los servicios
objeto de la reclamación, por lo que Naturgy ha requerido al encargado del tratamiento
que aporte dicha grabación, sin que hasta la fecha haya sido entregada por SEI.
3) Que la contratación realizada, a través de SEI revistió un carácter fraudulento, pues
"solamente perseguiría la obtención ilícita de una comisión por la consecución de
nuevas contrataciones."
4) Considera que la conducta de SEI "no ha obedecido, directa o indirectamente, a
ninguna instrucción o mandato de Naturgy, y se habría realizado en clara
contravención de las instrucciones y buenas prácticas que Naturgy exige a sus
empresas colaboradoras y, además de un grave incumplimiento de las obligaciones
contractuales, constituiría un fraude contra Naturgy".
5) Que se han adoptado una serie de medidas contra SEI, resolviendo de forma
inmediata el contrato que tenía suscrito con esa entidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/26
Por tanto, Naturgy, ha reconocido la existencia de una actuación incorrecta en la
gestión de los datos de la parte reclamante, tal como señala la contratación realizada,
a través de un encargado de tratamiento revistió un carácter fraudulento. No se
comprobó el número de teléfono a quien se envió el SMS para la confirmación de la
contratación.
Además, consta en el expediente que la parte reclamante advirtió a Naturgy, mediante
correo electrónico de fecha 01/12/2022, que no había solicitado el alta de los
suministros a los que se refiere la reclamación ni suscrito contrato alguno con dicha
entidad, los cuales fueron dados de baja por un cambio de comercializadora realizado
por la propia parte reclamante, que activó dichos suministros nuevamente con su
comercializadora anterior, y no en atención a esa reclamación, como parece señalar la
parte reclamada.
Asimismo, consta que, a pesar de la reclamación formulada por la parte reclamante
ante Naturgy, esta entidad emitió facturas y requerimientos de pago con posterioridad,
y que anuló los cargos emitidos en febrero de 2024, una vez la reclamación que ha
motivado las actuaciones fue admitida a trámite por la AEPD.
A la vista de lo anterior, la parte reclamada no logra acreditar que se actuara
diligentemente y por consiguiente hubo un tratamiento ilícito de los datos personales
de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD.
En este sentido el Considerando 40 del RGPD señala:
“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a derecho, ya sea en el presente Reglamento, incluida la necesidad de cumplir la
obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un
contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia
del interesado con anterioridad a la conclusión de un contrato.”
Por lo expuesto, se considera que Naturgy ha vulnerado el artículo 6.1 del RGPD
IV
Tipificación y calificación de la infracción
La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
1. Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/26
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.
V
Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/26
o indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa a imponer a la reclamada, como responsable de una infracción tipificada en el
artículo 83.5.a) del RGPD, se estiman concurrentes los siguientes factores:
- La gravedad de la infracción teniendo en cuenta el alcance de la operación de
tratamiento, circunstancia prevista en el artículo 83.2.a) RGPD.
Circunstancia significativa en el supuesto examinado en el que incide que fue un
contrato de suministro de electricidad, de gas y contratos anexos al que la reclamada
habría vinculado los datos personales de la parte reclamante y la emisión de las
correspondientes facturas.
- “La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales”, circunstancia prevista en el artículo 76.2.b) LOPDGDD en conexión
con el artículo 83.2.k) RGPD.
La actividad empresarial de la reclamada trata necesariamente datos personales,
siendo una de las compañías de gas y de luz más importantes de España. Esta
característica de su actividad empresarial repercute, reforzándola, en la diligencia que
debe desplegar en el cumplimiento de los principios que presiden el tratamiento de
datos de carácter personal y en la calidad y eficacia de las medidas técnicas y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/26
organizativas que debe tener implementadas para garantizar el respeto del derecho
fundamental.
La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que,
respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos
de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.”
Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 100.000
€ por la infracción del artículo 83.5 a) RGPD, calificada como muy grave a efectos de
la prescripción en el artículo 72.1b) de la LOPDGDD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a NATURGY IBERIA, S.A. con NIF A08431090, por una
infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa
de por un importe de 100.000 euros (cien mil euros).
SEGUNDO: NOTIFICAR la presente resolución a NATURGY IBERIA, S.A. con NIF
A08431090.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/26
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es