Yanlış CUPS Kodu ile Tedarikçi Değişikliği

1/47

 Expediente N.º: EXP202306737

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

CONTENIDO

ANTECEDENTES..........................................................................................................5
PRIMERO: Con fecha 29 de marzo de 2023 se interpuso reclamación ante la
Agencia Española de Protección de Datos por una posible infracción imputable a
GAOLANIA SERVICIOS, S.L. con NIF B98717457 (en adelante, GAOLANIA
SERVICIOS o la parte reclamada).............................................................................5
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(en adelante LOPDGDD), se dio traslado de dicha reclamación a GAOLANIA
SERVICIOS, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.......................................................6
TERCERO: Con fecha 29 de junio de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.........................................................7
CUARTO: Con fecha 16 de agosto de 2023, la reclamante interpone un recurso
potestativo de reposición a través del Registro Electrónico de la AEPD, contra la
resolución recaída en el expediente EXP202306737, en el que muestra su
disconformidad con la resolución impugnada.............................................................7
QUINTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.............................8
SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
GAOLANIA SERVICIOS es una empresa constituida en el año 2015, y con un
volumen de negocios de 172.191.969 euros en el año 2023....................................13
SÉPTIMO: Con fecha 18 de diciembre de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la parte
reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del
RGPD, tipificada en el Artículo 83.5 del RGPD........................................................13
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/47

OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó
escrito de alegaciones el 6 de enero de 2025 en el que solicita el archivo del
presente procedimiento sancionador y formula, en síntesis, las consideraciones
siguientes:................................................................................................................ 14
DÉCIMO: Notificación de la propuesta de resolución...............................................14
UNDÉCIMO: Alegaciones a la propuesta de resolución...........................................14
HECHOS PROBADOS................................................................................................15
PRIMERO: La parte reclamante era titular de un contrato de electricidad con
***EMPRESA.1, con número de CUPS ***REFERENCIA.1 y dirección de suministro
“***DIRECCIÓN.1”, según consta en la factura enviada por ***EMPRESA.1 el 4 de
enero de 2023 a su correo electrónico, aportada junto con la reclamación..............15
SEGUNDO: El 26 de enero de 2023 se produjo un cambio de titularidad y de
suministradora del contrato de energía eléctrica de la reclamante, a favor de
GAOLANIA, tal y como indicó la propia GAOLANIA en su escrito de 14 de junio de
2023, de respuesta al traslado de la reclamación.....................................................15
TERCERO: De acuerdo a lo indicado en el escrito de GAOLANIA de 14 de junio de
2023, “El departamento de calidad de ***EMPRESA.2 realiza una llamada de
verificación de datos, el día 27 de enero de 2023, (…) en la que se confirma que [el
interlocutor] proporciona un CUPS distinto al aportado inicialmente, según grabación
con Referencia “2_Llamada de catas calidad ***EMPRESA.2” concretamente en el
minuto 7 y 31 segundos:..........................................................................................16
CUARTO: Según indica la reclamante en correo electrónico enviado el 28 de enero
de 2023 a ***EMAIL.1, cuya copia se acompaña a la reclamación, el 27 de enero de
2023 a las 10:23hs recibió un SMS de ***EMPRESA.1 en su móvil con el siguiente
texto: “Info ***EMPRESA.1: Su distribuidora ha aceptado el cambio de
comercializador solicitado por usted, lo que implica la baja con ***EMPRESA.1. Info
en ***TELÉFONO.1”.................................................................................................16
QUINTO: El 30 de enero de 2023 la reclamante envió un correo electrónico a
***EMAIL.3, cuya copia se acompaña a la reclamación, con el asunto “Solicitud de
desistimiento CUPS: ***REFERENCIA.1” y el siguiente contenido: “(…) les confirmo
que han cometido un error al comunicar a ***EMPRESA.1 el cambio de titularidad y
de compañía suministradora (pasando a ser ustedes) de la vivienda sita en
***DIRECCIÓN.1. La titular del suministro de esa vivienda continúa siendo mi
madre, A.A.A., que reside en dicha vivienda. ELLA NUNCA HA SOLICITADO
CAMBIO DE TITULARIDAD NI DE COMPAÑÍA COMERCIALIZADORA DE
ENERGÍA ELÉCTRICA, y desea mantener el contrato suscrito con ***EMPRESA.1.
Acogiéndonos al periodo de desistimiento, rogamos comuniquen a ***EMPRESA.1
que A.A.A. desea mantener el mismo contrato con ***EMPRESA.1, correspondiente
a la CUPS: ***REFERENCIA.1. (…)”.......................................................................17
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/47

SEXTO: El 3 de febrero de 2023 se envió un correo a la reclamante desde
***EMAIL.2, cuya copia se acompaña a la reclamación, con el siguiente contenido:
“Buenas tardes, Tras conversación mantenida le confirmo que esta solicitado la
reposición ya que por parte de la distribuidora ha venido rechazada se ha solicitado
de nuevo. Estamos a la espera de que se autorice la reposición.”...........................17
SÉPTIMO: El 9 de febrero de 2023 el reclamante envió un correo electrónico a
***EMAIL.2 y ***EMAIL.3, cuya copia se acompaña a la reclamación, con el asunto
“CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el
siguiente contenido: “(…) Nosotros nunca hemos solicitado cambio de titularidad ni
de comercializadora. Nuestros datos son: Titular (antes de que ustedes lo
cambiaran): A.A.A., con DNI ***NIF.1. Domicilio donde se suministra la electricidad:
***DIRECCIÓN.1. CUPS: ***REFERENCIA.1. Aunque nosotros no deberíamos
solicitar desistimiento de algo que no hemos realizado, lo cierto es que hoy cumple
el plazo de 14 días en el que se puede ejercer el derecho de desistimiento. En este
caso sería REPOSICIÓN de titular y comercializadora. La comercializadora
***EMPRESA.1 nos dice que si ustedes no solicitan la reposición, ésta no podrá
producirse. No tenemos constancia de que GAOLANIA SERVICIOS, S.L. haya
solicitado realmente la reposición, a pesar de las reiteradas solicitudes que les
hemos hecho por escrito y por teléfono. Por favor, B.B.B., ruego nos remita copia de
la solicitud de reposición que hayan dirigido a la Distribuidora i-DE, Redes Eléctricas
Inteligentes, S.A.U., y póngase en contacto conmigo hoy mismo para informarme de
lo que está sucediendo. (…)”...................................................................................17
OCTAVO: El 9 de febrero de 2023 se envió un correo electrónico a la reclamante,
cuya copia se acompaña a la reclamación, desde ***EMAIL.2, con el asunto “CUPS:
***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el
siguiente contenido: “Buenas tardes, Hemos solicitado de nuevo a la distribuidora el
dia 06/02/23 la reposición de su contrato. Los numeros de solicitud son
***REFERENCIA.2 y ***REFERENCIA.3 Un saludo.”..............................................17
NOVENO: El 10 de febrero de 2023 se envió un correo electrónico a la reclamante,
cuya copia se acompaña a la reclamación, desde ***EMAIL.4, con el asunto
“[REF_***REFERENCIA.4] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad
y la comercializadora” y el siguiente contenido: “Buenas tardes: La reposición de su
suministro con CUPS ***REFERENCIA.1 ha sido solicitada y estamos a la espera
de respuesta por parte de ***EMPRESA.1 DISTRIBUCIÓN ELÉCTRICA S.A. Le
mantendremos informada.”......................................................................................18
DÉCIMO: El 3 de marzo de 2023 la reclamante envió un correo electrónico, cuya
copia se acompaña a la reclamación, a ***EMAIL.3, con el asunto
“[REF_***REFERENCIA.5] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad
y la comercializadora” y el siguiente contenido: “Buenas tardes: El pasado
26/02/2023 GAOLANIA SERVICIOS, S.L. solicitó a i-DE el cambio de titularidad y de
comercializadora introduciendo por error el nº de CUPS ***REFERENCIA.1, que
corresponde a nuestro suministro en ***DIRECCIÓN.1. Al notificarnos
***EMPRESA.1 que se habían producido tales cambios de titularidad y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/47

comercializadora, reclamamos a GAOLANIA que subsanase inmediatamente dichos
errores, para que el servicio volviera al mismo punto en el que se encontraba antes
de su intervención. Aunque GAOLANIA nos comunica que reiteradamente han
solicitado la reposición del servicio, ***EMPRESA.1 insiste en que NO HAN
RECIBIDO DICHAS SOLICITUDES DE GAOLANIA, Y QUE YA LES HAN
COMUNICADO A GAOLANIA CÓMO DEBEN PROCEDER. NO ENTIENDEN
PORQUÉ GAOLANIA NO CONTESTA CON LOS DOCUMENTOS QUE LES
INDICAN (C1-08 o C2-08). En el correo del pasado 27/02 se le indicó a GAOLANIA
el procedimiento a seguir para solicitar la reposición del suministro.”......................18
UNDÉCIMO: El 7 de marzo de 2023 se envió un correo a la reclamante, cuya copia
se acompaña a la reclamación, desde ***EMAIL.4, con el asunto:
“[REF_***REFERENCIA.5] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad
y la comercializadora” y el siguiente contenido: “Buenos días, Le informamos que la
reposición ha sido solicitada, tal y como nos ha solicitado.”.....................................18
DÉCIMO SEGUNDO: El 14 de junio de 2023 se envió un correo a la reclamante,
cuya copia se acompaña al escrito de GAOLANIA de 14 de junio de 2023, desde
***EMAIL.5, con el asunto “DISCULPAS DE CALIDAD ***EMPRESA.2” y el siguiente
contenido: “Sirva el presente email para reiterarles nuestras más sinceras disculpas
por parte del Dpto. de Calidad de ***EMPRESA.2. Lamentamos enormemente la
situación vivida que les ha causado el dictado erróneo del CUPS por parte de un
cliente nuestro. Tengan la certeza de que se están tomando las medidas oportunas
para evitar que casos similares se vuelvan a producir. Reciban un cordial saludo y
estamos a su disposición”........................................................................................18
DÉCIMO TERCERO: El 14 de junio de 2023 se envió un correo a varios
destinatarios del dominio ***DOMINIO.1, cuya copia se acompaña al escrito de
GAOLANIA de 14 de junio de 2023, con el asunto “SIEMPRE verificar antes de
lanzar contrato a distribuidora” y el siguiente contenido: “Buenos días equipo de
verificación, Os recuerdo que es PRIORITARIO que, cuando se haga la verificación
de datos con un cliente sobre su contrato, esta se realice ANTES de que el contrato
sea lanzado para tramitar a la Distribuidora, tal y como se explica en la operativa del
departamento. Saludos.”..........................................................................................18
FUNDAMENTOS DE DERECHO.................................................................................19
I Competencia......................................................................................................19
II Cuestiones previas............................................................................................19
III Obligación incumplida. Exactitud......................................................................20
IV Sobre el cambio de calificación jurídica efectuado en el trámite de propuesta de
resolución y las alegaciones aducidas al acuerdo de inicio..................................24
V Alegaciones a la propuesta de resolución.........................................................24
PRIMERA: Relativa a la vulneración del principio de exactitud del tratamiento de
datos del artículo 5.1 RGPD.................................................................................24

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/47

SEGUNDA: Análisis de las circunstancias que gradúan la sanción. La propuesta
de resolución omite todas aquellas circunstancias que atenúan la responsabilidad
del responsable de tratamiento.............................................................................30
TERCERA: El agravante valorado por la propuesta de resolución ya ha sido
incluido para valorar la infracción..........................................................................40
CUARTA: Adopción de nuevas medidas internas adicionales...............................41
VI Tipificación de la infracción y calificación a los efectos de la prescripción........42
VII Sanción que se acuerda imponer a GAOLANIA..............................................43

ANTECEDENTES

PRIMERO: Con fecha 29 de marzo de 2023 se interpuso reclamación ante la Agencia
Española de Protección de Datos por una posible infracción imputable a GAOLANIA
SERVICIOS, S.L. con NIF B98717457 (en adelante, GAOLANIA SERVICIOS o la parte
reclamada).

Los hechos que se pusieron en conocimiento de esta autoridad eran:

Quien reclama manifestó que, teniendo contrato de suministro de electricidad con la
empresa comercializadora ***EMPRESA.1 y siendo su distribuidora ***EMPRESA.3,
tuvo conocimiento de que la entidad GAOLANIA SERVICIOS había solicitado el
cambio de titularidad de su suministro y el cambio a la comercializadora GAOLANIA
SERVICIOS, sin su consentimiento.

Junto al escrito, se aportó:

- Correo electrónico enviado a ***EMPRESA.1 por quien reclama en fecha 28 de enero
de 2023, indicando que el 27 de enero de 2023 recibió un mensaje de texto en el que
***EMPRESA.1 le informaba de la baja con ellos tras aceptarse la solicitud de cambio
de comercializadora, y señalando quien reclama que no había solicitado dicho cambio.

- Correos electrónicos enviados a quien reclama por ***EMPRESA.1 en respuesta al
correo anterior, en fechas 28 y 30 de enero de 2023, indicando lo siguiente: “1) no
podemos ponernos en contacto con usted para comunicarlo , ya que la misma ley de
protección de datos nos impide la consulta de sus datos sin su consentimiento 2) No
podemos ejercer ningún tipo de fuerza a la hora de retener un contrato dada la
legislación vigente, la cual nos obliga a ceder los datos a otra compañía a petición
expresa de la distribuidora empresa responsable de la supervisión y el mantenimiento
del suministro. En este caso ***EMPRESA.4. Si se ha producido un cambio de
compañía sin su consentimiento, ha de acudir a la empresa encargada de realizar el
cambio y presentar la reclamación pertinente con ellos, dado que en caso de
solventarse dentro de los 14 días que se establece para un desistimiento, su
contratación volvería con nosotros” (sic).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/47

- Correos electrónicos enviados a GAOLANIA SERVICIOS por quien reclama en
fechas 30 de enero, 9 de febrero y 3 de marzo de 2023, indicando no haber solicitado
contratación alguna de 10 de febrero de 2023, solicitando el desistimiento de los
cambios de titularidad y compañía, así como la restitución de su contrato.

- Correos electrónicos enviados por GAOLANIA SERVICIOS a quien reclama de
fechas 3, 9, 10 de febrero y 7 de marzo, informando de la solicitud de la reposición a
su distribuidora ***EMPRESA.3.

- Correos electrónicos enviados por quien reclama a ***EMPRESA.3 en fecha 9 de
febrero de 2023 solicitando la restitución de la titularidad del suministro a
***EMPRESA.1.

- Contestación de ***EMPRESA.3 en fecha 17 de febrero de 2023 indicando lo
siguiente: “debemos indicarle que es su comercializadora quien debe registrar de
manera correcta cualquier tipo de modificación junto con la documentación
acreditativa en los contratos que ellos mismos gestionan, por lo que lamentamos no
poder ayudarle en un trámite que excede de nuestra competencia, y para el que no
tenemos protocolo ni posibilidad técnica” (sic).

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a GAOLANIA SERVICIOS,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.

Con fecha 14 de junio de 2023 se recibe en esta Agencia escrito de respuesta de
GAOLANIA SERVICIOS, manifestando lo siguiente:

1. Que la solicitud de cambio de comercializadora a favor de GAOLANIA SERVICIOS
fue gestionada por llamada telefónica en que una tercera persona (cliente de la
entidad) informó el Código Universal de Punto de Suministro (CUPS), dato
indispensable para llevar a cabo el cambio de comercializadora ante la distribuidora.
Como prueba documental se ha adjuntado transcripción de la conversación mantenida
aportándose su CUPS: (…).

2. Que en la llamada realizada por el responsable a la mencionada tercera persona
(cliente) realizada 24 horas después, para la verificación de datos, se proporciona un
CUPS distinto: (…).

3. Que paralelamente por el responsable del tratamiento se gestiona el cambio de
comercializadora a través de la empresa distribuidora. Si bien una vez detectado el
error: "se dirige de nuevo a la distribuidora para anular el cambio".

4. Casualmente el CUPS dictado erróneamente pertenece a otra vivienda (por lo que
la entidad distribuidora pudo admitirlo a trámite); viéndose afectada la propietaria de
esta vivienda (la reclamante).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/47

5. Que se concluye que los hechos que han dado lugar a la reclamación derivan de un
"error humano del cliente al dictar el número de contador de la vivienda (CUPS)".

6. Que se ha aportado copia de la comunicación remitida tanto a la tercera persona
como a la reclamante informando del error producido y de las acciones realizadas para
su resolución.

TERCERO: Con fecha 29 de junio de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.

Posteriormente, mediante resolución de fecha 10 de agosto de 2023, se procedió al
archivo de la reclamación al entender que la misma había sido atendida y
considerarse, en consecuencia, que no procedía la apertura de un procedimiento
sancionador.

CUARTO: Con fecha 16 de agosto de 2023, la reclamante interpone un recurso
potestativo de reposición a través del Registro Electrónico de la AEPD, contra la
resolución recaída en el expediente EXP202306737, en el que muestra su
disconformidad con la resolución impugnada.

Con fecha 13 de febrero de 2024 se dictó resolución estimando el recurso de
reposición interpuesto por la reclamante, del cual destaca lo siguiente:

“En el presente caso, no se produjo una comprobación adecuada del número de
CUPS, sino que, por el contrario, el Departamento Comercial de GAOLANIA
SERVICIOS, S.L. procedió a solicitar el cambio de comercializadora a ***EMPRESA.1
el 27 de enero, antes de que se produjera de forma efectiva la verificación de datos.
Por tanto, se utilizó el CUPS correspondiente al domicilio de la parte recurrente
(***DIRECCIÓN.1), que era ajena a la contratación, y no el correspondiente al que
aparecía en el contrato firmado por tercero (***DIRECCIÓN.2), completamente
distinto.

No se produjo comprobación alguna de que el CUPS correspondiese al contrato, ni
mediante la dirección ni mediante la llamada de verificación que GAOLANIA
SERVICIOS, S.L. afirma haber realizado, sino que se tramitó el cambio directamente,
ocasionando un perjuicio a la parte recurrente, ajena a la contratación que se estaba
realizando. Por tanto, en el presente caso, procede la estimación del recurso
interpuesto.”

QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/47

Se comprobó que GAOLANIA ha aportado en la entrada ***REFERENCIA.7
Anexo 1 con la copia del contrato firmado con la tercera persona de 26/1/2023
con el CUPS de la reclamante, Anexo 2 con copia de la comunicación remitida
a la reclamante en fecha 14/6/2023 informando del error producido y Anexo 3
con las instrucciones dirigidas al Departamento de Calidad en igual fecha.

Se comprobó que dicho contrato está firmado el 26/1/2023, con anterioridad a
la llamada de verificación de los datos de 27/1/2023.

Detectado el error, GAOLANIA se dirigió de nuevo a la distribuidora para anular
el cambio, como se acredita en los propios documentos aportados por la
reclamante (números de solicitud de reposición ***REFERENCIA.2 y
***REFERENCIA.3).

Se comprobó en la documentación de la reclamación que estos dos números
se correspondían con los números de solicitud aportados por GAOLANIA a la
reclamante en correo electrónico de 9/2/2023 comunicándole que han
solicitado a la distribuidora el día 6/2/2023 la reposición del contrato.

GAOLANIA ha manifestado que:
“- Por este responsable se han adoptado una serie de medidas a fin de evitar la
repetición de errores similares en el futuro:

a) El Dpto. de Calidad realizará llamadas de verificación a los clientes, antes de
proceder al cambio de comercializadora, para confirmar que los datos
aportados por este son correctos (ver ANEXO 3 de 14/6/2023).

Adicionalmente, se está analizando la viabilidad de estas otras:
b) Solicitar al cliente foto o copia del documento donde se encuentre el CUPS
para que sea corroborado por personal de ***EMPRESA.2.
c) Solicitar a todos los clientes una verificación adicional en el momento de la
firma del contrato.”

Respecto de la respuesta al requerimiento de fecha 8 de mayo de 2024 por
GAOLANIA:

1. Se aporta copia del Registro de las Actividades de Tratamiento de datos
personales, en lo relativo a las actividades de tratamiento de datos personales
realizadas en el contexto de la contratación de servicios con GAOLANIA
SERVICIOS S.L., en el ANEXO 1.

Se comprueba en la página 11 que para el tratamiento de Clientes el nivel de
riesgo identificado es Moderado. El riesgo de suplantación de identidad solo
está considerado para los niveles Elevado y Muy elevado. En el caso
reclamado, se produce el cambio erróneo de comercializadora y de titular en
base a un CUPS erróneo que corresponde a otro titular distinto de la
reclamante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/47

2. Se aporta descripción del procedimiento de cambio de comercializadora a
GAOLANIA SERVICIOS S.L. para una persona física particularizando las
diferencias en el caso de que se produzca o no un cambio de titularidad.

a. Normativa y protocolos vigentes que regulen el procedimiento.

“Como normativa aplicable a las partes intervinientes y el proceso de cambio
de comercializador, destacamos la Directiva (UE) 2019/944 del Parlamento
Europeo y del Consejo, de 5 de junio de 2019, el Real Decreto 1955/2000, de 1
de diciembre, por el que se regulan las actividades de transporte, distribución,
comercialización, suministro y procedimientos de autorización de instalaciones
de energía eléctrica y la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico.

Sin embargo, resulta esencial la Resolución de 20 de diciembre de 2016,
emitida por la Sala de Supervisión Regulatoria de la CNMC, por la que aprueba
los nuevos formatos de los ficheros de intercambio de información entre
distribuidores y comercializadores. Esta resolución fue posteriormente
modificada en 2019.

Esta Resolución establece los procesos entre comercializadora-distribuidora,
formatos de intercambio de ficheros y pasos que deben seguirse para ejecutar
contrataciones, cambios y desistimientos.

Los ficheros de intercambio de información a los que se refiere la resolución
indicada son documentos estandarizados, aprobados por la Comisión Nacional
de los Mercados y la Competencia, que regulan el flujo de comunicaciones o
mensajes entre los agentes afectados para ejecutar un proceso comercial.
Estos ficheros definen los procedimientos de comunicación entre distribuidores
y comercializadores de luz y gas y se regulan en los anexos I y II,
respectivamente, de la citada resolución.

Nada tiene que ver la documentación y procesos para dar un alta de punto de
suministro respecto a la contratación para el cambio de comercializadora. A su
vez, el cambio de comercializadora puede realizarse sin cambios o con
cambios de titularidad.

Antes de la contratación se solicita a la parte contratante todos los datos
necesarios para el proceso de cambio de comercializadora. Recabados los
datos por el cliente, se procede al protocolo del fichero A5_29 (Solicitud de
información de un punto de suministro previo a la contratación).

Este proceso solicita los datos técnicos del punto de suministro que se
pretende contratar en tiempo real y lo coteja con los datos facilitados por el
potencial cliente.

Una vez comprobado, se procede conforme al protocolo correspondiente que
permite el intercambio de información entre el comercializador entrante, el
comercializador saliente y la distribuidora para un cambio de comercializador o
para una activación en un punto de suministro.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/47

Estos protocolos son los únicos cauces para realizar los cambios de
comercializadora y se realizan en formato electrónico conforme a las
previsiones establecidas por la CNMC.

La distribuidora verifica los datos y puede pausar la tramitación, cancelar la
tramitación o solicitar información adicional si se detecta un error en la
tramitación. La empresa distribuidora es la que conoce con exactitud datos de
anterior titular-datos CUPS- etc.

Finalmente, es la distribuidora la que autoriza el cambio y procede a ejecutar el
cambio efectivo en el punto de suministro.

Por otro lado, ***EMPRESA.2 establece manuales internos de formación para
la utilización correcta de los ficheros de cambio de comercializador.

En el presente punto de suministro, ***EMPRESA.2 remitió solicitud con código
C2-01 CT (cambio de comercializadora con cambio de titular) en fecha de
26/01/2023:”

Se comprueba que aporta copia de pantalla con esa información donde
aparece el CUPS terminado en (...) que corresponde al reclamante.

Se comprueba que no hay ningún dato relativo a los datos del titular ni a la
dirección del punto de suministro. El CUPS es el campo que identifica
unívocamente el punto de suministro.

“El mismo día ***EMPRESA.2 recibe confirmación de la distribuidora con
código C2-02A CT (aceptación del cambio):”

Se comprueba que aporta copia de pantalla con esa información donde
aparece el CUPS terminado en (...).

Se comprueba que no hay ningún dato relativo a los datos del titular ni a la
dirección del punto de suministro.

b. Identificación de quién puede iniciar la petición del cambio y mecanismos de
acreditación de las circunstancias que lo avalen.

“Una persona con acceso a los datos del punto de suministro podría tramitar un
nuevo contrato bajo su responsabilidad. Todos los datos deben ser facilitados
por la parte contratante.

El cliente garantiza la veracidad y corrección de los datos facilitados y asume
las consecuencias derivadas de los datos erróneos o incorrectos indicados en
la petición.

El certificado de firma electrónica avanzada acredita el teléfono empleado para
la firma y el correo electrónico utilizado para la descarga de los documentos
contractuales, junto con la IP empleada para la firma del contrato.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/47

c. Listado de intervinientes que participan en el procedimiento con la
descripción de las actuaciones que realiza cada uno.

“Según el Anexo I de la Resolución de 20 de diciembre de 2016, emitida por la
Sala de Supervisión Regulatoria de la CNMC, intervienen:

(i) Comercializador en vigor: Comercializador de energía activo en un punto de
suministro. A efectos de desistimiento de contratos, es el comercializador que
solicita al distribuidor el desistimiento de una contratación de acceso previa.

(ii) Comercializador entrante: Nuevo comercializador que solicita al distribuidor
el cambio de comercializador a su favor o un alta de un nuevo suministro.

(iii) Comercializador saliente: Comercializador que deja de suministrar al
consumidor una vez que el proceso de cambio haya finalizado y sea efectivo el
cambio de comercializador.

(iv) Distribuidora: Propietaria de la red de distribución en la que se sitúa el
punto de suministro, es la encargada del sistema de información de los puntos
de suministro, y la encargada de la lectura en los puntos de consumo. Realiza
gestiones imprescindibles para la tramitación de las solicitudes de cambio de
comercializador.

También encontramos sus respectivas definiciones y detalle de sus
obligaciones en la Ley del Sector Eléctrico.”

d. Especificación de los canales existentes para solicitar el cambio.

“El único canal existente y habilitado para solicitar el cambio está detallado en
el apartado a. y se recoge expresamente en la Resolución de 20 de diciembre
de 2016, emitida por la Sala de Supervisión Regulatoria de la CNMC.

La distribuidora y la comercializadora únicamente intercambian información a
través de ese canal telemático.”

e. Listado de los datos y, en su caso, copia de los documentos que debe
aportar el titular del punto de suministro para solicitar el cambio.

“Los datos que el cliente debe facilitar para tramitar el contrato son los
siguientes: (i) nombre y apellidos (ii) DNI/CIF, (iii) teléfono, (iv) correo
electrónico, (v) CUPS (vi) dirección del punto de suministro (calle, número,
aclarador, CP), (vii) datos bancarios para domiciliar el pago.

La normativa no exige requisitos para remitir copia de documentos para
proceder al cambio.

Sin embargo, en ocasiones o ante conflictos en cambios de titularidad, se
pueden solicitar documentación adicional o facturas anteriores del punto de
suministro.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/47

f. En su caso, mecanismos utilizados para acreditar que el cambio de
comercializadora
sin y con cambio de titularidad ha sido consentido por el titular original del
punto de suministro.

“No se precisan desde la comercializadora entrante.”

g. Listado de evidencias almacenadas para acreditar que el procedimiento se
ha seguido correctamente.

“***EMPRESA.2 almacena los documentos contractuales, llamadas
comerciales producidas en su caso y certificados de firma electrónica
avanzada que garanticen la autenticidad de la firma.

Por otro lado, el historial de las comunicaciones entre la comercializadora-
distribuidora para la tramitación del cambio de comercializadora puede
cotejarse a través de los archivos .xml telemáticos que emiten ambas partes.”

3. Evidencias disponibles en atención a las respuestas a las cuestiones
precedentes en relación con el cambio de comercializadora y de titularidad
relativo al CUPS de electricidad afectado y producido en la fecha indicada, y
aún no aportadas.”

(…)

Se comprueba que el Real Decreto 1435/2002, de 27 de diciembre, por el que
se regulan las condiciones básicas de los contratos de adquisición de energía y
de acceso a las redes en baja tensión, fue modificado por el Real Decreto
1074/2015, de 27 de noviembre, por el que se modifican distintas disposiciones
en el sector eléctrico. En el artículo segundo del citado Real Decreto, se
aprobó una modificación del artículo 7.2 del Real Decreto 1435/2002,
incluyendo que: «En todo caso, ni las empresas comercializadoras ni la
Comisión Nacional de los Mercados y la Competencia podrán acceder a
cualquier información que directamente identifique al titular del punto de
suministro […]».

Se comprueba que la CNMC aporta en el documento IS/DE/014/21 de
22/12/2022 en su Anexo II “Recomendaciones a comercializadores y
distribuidores para reducir la incidencia y mitigar los perjuicios de los cruces de
CUPS”, posterior a la fecha de los hechos de 26/1/2023:

“A.- Recomendaciones dirigidas a comercializadores para reducir la incidencia
de los cruces de CUPS. A continuación, se formulan recomendaciones
encaminadas a facilitar el contraste de la información por parte de los
comercializadores en caso de detectar inconsistencias, (ya sea a través del
propio consumidor, o de la mensajería con el distribuidor por la que recibe
información mediante el Formato P0 en electricidad o el A5_29 en gas) o por
recibir rechazos en los procesos de cambio de comercializador:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/47

1. Se recomienda proporcionar una formación más adecuada al personal de los
Servicios de Atención al Cliente (SAC) de los comercializadores. En particular,
en el proceso de contratación para identificar y contrastar la correcta
correspondencia de la dirección del punto de suministro con el CUPS y ambos
con el titular del CUPS. Asimismo, deben proporcionar al consumidor
información precisa y correcta y aconsejarle cómo proceder en estos casos, e
igualmente identificar solicitudes posteriores de baja del contrato de acceso
cuyo origen pueda ser un “cruce de CUPS”.

2. Recabar en el proceso de contratación si el consumidor afirma ser el titular
del punto de suministro en la dirección indicada, y contrastar que es el usuario
de justo título.

3. En todo caso, de realizarse un cambio sin modificaciones contractuales
(Formatos C1 o A1_02) con rechazo posterior, se deberían comprobar
nuevamente los datos con el consumidor contratante en general y, en
particular, asegurarse de que la dirección del punto de suministro y el CUPS
son correctos, antes del envío de una nueva solicitud de cambio de
comercializador con cambio de titular (Formatos C2 o A1_41). […]”

(…)

Según Gaolania, en la solicitud telefónica de 26/1/2023 de cambio de
comercializadora una tercera persona (cliente de la entidad, distinto del
reclamante) informó el Código Universal de Punto de Suministro (CUPS), dato
indispensable para llevar a cabo el cambio de comercializadora ante la
distribuidora. Adjunta transcripción de la conversación mantenida aportándose
el CUPS: (...) (que corresponde al reclamante). (…) Gaolania concluye que los
hechos derivan de un error humano del cliente al dictar el número de contador
de la vivienda (CUPS).

SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
GAOLANIA SERVICIOS es una empresa constituida en el año 2015, y con un volumen
de negocios de 172.191.969 euros en el año 2023.

SÉPTIMO: Con fecha 18 de diciembre de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.

OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones el 6 de enero de 2025 en el que solicita el archivo del presente
procedimiento sancionador y formula, en síntesis, las consideraciones siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/47

- Punto preliminar: el recurso de reposición se dirigía contra otra compañía por motivos
ajenos al Acuerdo de inicio del procedimiento sancionador, y no fue notificada su
resolución a GAOLANIA SERVICIOS.

- Primera alegación: ***EMPRESA.2 no puede verificar la dirección en la base de
datos de la distribuidora durante el proceso de contratación.

- Segunda alegación: Tratamiento del dato cups facilitado por el cliente y ausencia de
infracción del artículo 6.1 del RGPD. Falta de antijuricidad y culpabilidad. Presunción
de inocencia. ***EMPRESA.2 actuó de buena fe y con la máxima diligencia posible.

- Tercera alegación: Vulneración del principio de proporcionalidad. Falta de graduación
de la sanción. Agravantes apreciadas en el acuerdo de incoación y falta de apreciación
de circunstancias atenuantes.

NOVENO: Propuesta de resolución. Cambio de calificación jurídica.

La propuesta de resolución introduce un cambio en la calificación jurídica que el
cuerdo de apertura hizo de la conducta de la que se responsabiliza a GAOLANIA
SERVICIOS. En la propuesta se estima que la conducta que es objeto de la
reclamación no constituye una infracción del artículo 6.1. del RGPD, sino una
vulneración del artículo 5.1.d) RGPD, principio de exactitud de los datos
(particularmente del dato personal del CUPS que fue objeto de tratamiento).

En consecuencia, con fecha 15 de octubre de 2025 se formuló la propuesta de
resolución en estos términos:

“Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
GAOLANIA SERVICIOS, S.L., con NIF B98717457, por una infracción del Artículo
5.1.d) del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 30.000
euros.”

DÉCIMO: Notificación de la propuesta de resolución.

La notificación, efectuada por medios electrónicos conforme a la LPACAP, se pone a
disposición de GAOLANIA SERVICIOS en fecha 15 de octubre de 2025, fecha en que
la notificación es aceptada por la parte reclamada como obra en el expediente
administrativo el documento que acredita ambos extremos.

UNDÉCIMO: Alegaciones a la propuesta de resolución.

Con fecha 29 de octubre de 2025 la parte reclamada presenta sus alegaciones a la
propuesta de resolución. Solicita en ellas que se acuerde el archivo del procedimiento.
Subsidiariamente, acuerde la imposición de la medida menos gravosa conforme al
artículo 83 del RGPD, imponiendo la sanción en su grado mínimo.

GAOLANIA SERVICIOS estructura sus argumentos a través de una alegación
preliminar, donde hace una descripción cronológica de los hechos, y cuatro

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/47

alegaciones cuyo contenido, en lo esencial, reitera lo ya alegado en su anterior escrito,
en concreto:

- Primera alegación: Relativa a la vulneración del principio de exactitud del tratamiento
de datos del artículo 5.1 RGPD.

- Segunda alegación: Análisis de las circunstancias que gradúan la sanción. La
propuesta de resolución omite todas aquellas circunstancias que atenúan la
responsabilidad del responsable de tratamiento.

- Tercera alegación: El agravante valorado por la propuesta de resolución ya ha sido
incluido para valorar la infracción.

- Cuarta alegación: Adopción de nuevas medidas internas adicionales.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: La parte reclamante era titular de un contrato de electricidad con
***EMPRESA.1, con número de CUPS ***REFERENCIA.1 y dirección de suministro
“***DIRECCIÓN.1”, según consta en la factura enviada por ***EMPRESA.1 el 4 de
enero de 2023 a su correo electrónico, aportada junto con la reclamación.

SEGUNDO: El 26 de enero de 2023 se produjo un cambio de titularidad y de
suministradora del contrato de energía eléctrica de la reclamante, a favor de
GAOLANIA, tal y como indicó la propia GAOLANIA en su escrito de 14 de junio de
2023, de respuesta al traslado de la reclamación.

De acuerdo a lo indicado en tal escrito, “según la grabación de voz de la conversación
mencionada, con Referencia: “1_Llamada colaborador a Don MEJ” y concretamente
en el minuto 1 y 32 segundos, quien llama dicta el número del CUPS a la
teleoperadora: Transcripción 1:
Teleoperadora:
“(…) Ahora bien, de igual manera indicarle que en su domicilio en la ***DIRECCIÓN.2.
Indíqueme por favor el número CUPS (…)“
Contestación de [quien llama]:
“***REFERENCIA.1 (…)”

La grabación de esta llamada se aporta también junto con el escrito de alegaciones al
acuerdo de inicio del presente procedimiento sancionador.

Tal y como indica GAOLANIA en su escrito de 5 de marzo de 2024, “En el presente
punto de suministro, ***EMPRESA.2 remitió solicitud con código C2-01 CT (cambio de
comercializadora con cambio de titular) en fecha de 26/01/2023”. Se aporta captura de
pantalla con tal solicitud.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/47

Y “El mismo día ***EMPRESA.2 recibe confirmación de la distribuidora con código C2-
02A CT (aceptación del cambio)”. Se aporta captura de pantalla con tal confirmación.

TERCERO: De acuerdo a lo indicado en el escrito de GAOLANIA de 14 de junio de
2023, “El departamento de calidad de ***EMPRESA.2 realiza una llamada de
verificación de datos, el día 27 de enero de 2023, (…) en la que se confirma que [el
interlocutor] proporciona un CUPS distinto al aportado inicialmente, según grabación
con Referencia “2_Llamada de catas calidad ***EMPRESA.2” concretamente en el
minuto 7 y 31 segundos:

Transcripción 2:
Teleoperadora:
“(…) y abajo el código CUPS, c, u, p, s, ¿lo ve que empieza por ES y es un número
muy largo?“
[Interlocutor]: “¿Ah! Sí, CUPS, si CUPS”
Teleoperadora: “Vale pues dígamelo por favor“
[Interlocutor]: “***REFERENCIA.6”

Según lo indicado por GAOLANIA en su escrito de 14 de junio de 2023, respecto de
cuáles son los hechos reales que motivan la reclamación, “en este caso se
corresponden a un error humano del cliente al dictar el número de contador de la
vivienda (CUPS) y se confirma que se trata de un caso aislado pues nunca había
sucedido algo similar en ocho años desde el nacimiento de ***EMPRESA.2.”

CUARTO: Según indica la reclamante en correo electrónico enviado el 28 de enero de
2023 a ***EMAIL.1, cuya copia se acompaña a la reclamación, el 27 de enero de 2023
a las 10:23hs recibió un SMS de ***EMPRESA.1 en su móvil con el siguiente texto:
“Info ***EMPRESA.1: Su distribuidora ha aceptado el cambio de comercializador
solicitado por usted, lo que implica la baja con ***EMPRESA.1. Info en
***TELÉFONO.1”.

Ese mismo día la reclamante contactó con ***EMPRESA.1, indicando que no había
solicitado el cambio de comercializador, y se le remitió a la Distribuidora I-DE del
GRUPO ***EMPRESA.1, en donde le indicaron que el día anterior se había producido
un cambio de titularidad y de suministradora, a favor de GAOLANIA SERVICIOS S.L.

Señala también la reclamante que ha presentado una reclamación solicitando el
desistimiento de dicha baja.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/47

QUINTO: El 30 de enero de 2023 la reclamante envió un correo electrónico a
***EMAIL.3, cuya copia se acompaña a la reclamación, con el asunto “Solicitud de
desistimiento CUPS: ***REFERENCIA.1” y el siguiente contenido: “(…) les confirmo
que han cometido un error al comunicar a ***EMPRESA.1 el cambio de titularidad y de
compañía suministradora (pasando a ser ustedes) de la vivienda sita en
***DIRECCIÓN.1. La titular del suministro de esa vivienda continúa siendo mi madre,
A.A.A., que reside en dicha vivienda. ELLA NUNCA HA SOLICITADO CAMBIO DE
TITULARIDAD NI DE COMPAÑÍA COMERCIALIZADORA DE ENERGÍA ELÉCTRICA,
y desea mantener el contrato suscrito con ***EMPRESA.1. Acogiéndonos al periodo
de desistimiento, rogamos comuniquen a ***EMPRESA.1 que A.A.A. desea mantener
el mismo contrato con ***EMPRESA.1, correspondiente a la CUPS:
***REFERENCIA.1. (…)”.

SEXTO: El 3 de febrero de 2023 se envió un correo a la reclamante desde ***EMAIL.2,
cuya copia se acompaña a la reclamación, con el siguiente contenido: “Buenas tardes,
Tras conversación mantenida le confirmo que esta solicitado la reposición ya que por
parte de la distribuidora ha venido rechazada se ha solicitado de nuevo. Estamos a la
espera de que se autorice la reposición.”

SÉPTIMO: El 9 de febrero de 2023 el reclamante envió un correo electrónico a
***EMAIL.2 y ***EMAIL.3, cuya copia se acompaña a la reclamación, con el asunto
“CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el
siguiente contenido: “(…) Nosotros nunca hemos solicitado cambio de titularidad ni de
comercializadora. Nuestros datos son: Titular (antes de que ustedes lo cambiaran):
A.A.A., con DNI ***NIF.1. Domicilio donde se suministra la electricidad:
***DIRECCIÓN.1. CUPS: ***REFERENCIA.1. Aunque nosotros no deberíamos
solicitar desistimiento de algo que no hemos realizado, lo cierto es que hoy cumple el
plazo de 14 días en el que se puede ejercer el derecho de desistimiento. En este caso
sería REPOSICIÓN de titular y comercializadora. La comercializadora ***EMPRESA.1
nos dice que si ustedes no solicitan la reposición, ésta no podrá producirse. No
tenemos constancia de que GAOLANIA SERVICIOS, S.L. haya solicitado realmente la
reposición, a pesar de las reiteradas solicitudes que les hemos hecho por escrito y por
teléfono. Por favor, B.B.B., ruego nos remita copia de la solicitud de reposición que
hayan dirigido a la Distribuidora i-DE, Redes Eléctricas Inteligentes, S.A.U., y póngase
en contacto conmigo hoy mismo para informarme de lo que está sucediendo. (…)”

OCTAVO: El 9 de febrero de 2023 se envió un correo electrónico a la reclamante, cuya
copia se acompaña a la reclamación, desde ***EMAIL.2, con el asunto “CUPS:
***REFERENCIA.1. Error al cambiar la titularidad y la comercializadora” y el siguiente
contenido: “Buenas tardes, Hemos solicitado de nuevo a la distribuidora el dia
06/02/23 la reposición de su contrato. Los números de solicitud son
***REFERENCIA.2 y ***REFERENCIA.3 Un saludo.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/47

NOVENO: El 10 de febrero de 2023 se envió un correo electrónico a la reclamante,
cuya copia se acompaña a la reclamación, desde ***EMAIL.4, con el asunto
“[REF_***REFERENCIA.4] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y
la comercializadora” y el siguiente contenido: “Buenas tardes: La reposición de su
suministro con CUPS ***REFERENCIA.1 ha sido solicitada y estamos a la espera de
respuesta por parte de ***EMPRESA.1 DISTRIBUCIÓN ELÉCTRICA S.A. Le
mantendremos informada.”

DÉCIMO: El 3 de marzo de 2023 la reclamante envió un correo electrónico, cuya copia
se acompaña a la reclamación, a ***EMAIL.3, con el asunto
“[REF_***REFERENCIA.5] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y
la comercializadora” y el siguiente contenido: “Buenas tardes: El pasado 26/02/2023
GAOLANIA SERVICIOS, S.L. solicitó a i-DE el cambio de titularidad y de
comercializadora introduciendo por error el nº de CUPS ***REFERENCIA.1, que
corresponde a nuestro suministro en ***DIRECCIÓN.1. Al notificarnos ***EMPRESA.1
que se habían producido tales cambios de titularidad y comercializadora, reclamamos
a GAOLANIA que subsanase inmediatamente dichos errores, para que el servicio
volviera al mismo punto en el que se encontraba antes de su intervención. Aunque
GAOLANIA nos comunica que reiteradamente han solicitado la reposición del servicio,
***EMPRESA.1 insiste en que NO HAN RECIBIDO DICHAS SOLICITUDES DE
GAOLANIA, Y QUE YA LES HAN COMUNICADO A GAOLANIA CÓMO DEBEN
PROCEDER. NO ENTIENDEN PORQUÉ GAOLANIA NO CONTESTA CON LOS
DOCUMENTOS QUE LES INDICAN (C1-08 o C2-08). En el correo del pasado 27/02
se le indicó a GAOLANIA el procedimiento a seguir para solicitar la reposición del
suministro.”

UNDÉCIMO: El 7 de marzo de 2023 se envió un correo a la reclamante, cuya copia se
acompaña a la reclamación, desde ***EMAIL.4, con el asunto:
“[REF_***REFERENCIA.5] CUPS: ***REFERENCIA.1. Error al cambiar la titularidad y
la comercializadora” y el siguiente contenido: “Buenos días, Le informamos que la
reposición ha sido solicitada, tal y como nos ha solicitado.”

DÉCIMO SEGUNDO: El 14 de junio de 2023 se envió un correo a la reclamante, cuya
copia se acompaña al escrito de GAOLANIA de 14 de junio de 2023, desde
***EMAIL.5, con el asunto “DISCULPAS DE CALIDAD ***EMPRESA.2” y el siguiente
contenido: “Sirva el presente email para reiterarles nuestras más sinceras disculpas
por parte del Dpto. de Calidad de ***EMPRESA.2. Lamentamos enormemente la
situación vivida que les ha causado el dictado erróneo del CUPS por parte de un
cliente nuestro. Tengan la certeza de que se están tomando las medidas oportunas
para evitar que casos similares se vuelvan a producir. Reciban un cordial saludo y
estamos a su disposición”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/47

DÉCIMO TERCERO: El 14 de junio de 2023 se envió un correo a varios destinatarios
del dominio ***DOMINIO.1, cuya copia se acompaña al escrito de GAOLANIA de 14 de
junio de 2023, con el asunto “SIEMPRE verificar antes de lanzar contrato a
distribuidora” y el siguiente contenido: “Buenos días equipo de verificación, Os
recuerdo que es PRIORITARIO que, cuando se haga la verificación de datos con un
cliente sobre su contrato, esta se realice ANTES de que el contrato sea lanzado para
tramitar a la Distribuidora, tal y como se explica en la operativa del departamento.
Saludos.”

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como:

“toda información sobre una persona física identificada o identificable («el
interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador,
como por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como:

“cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como
la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/47

cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción.”

El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»:

“la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o
junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión
o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros;”

El artículo 4.7) del RGPD, define «encargado del tratamiento» o «encargado»:

“la persona física o jurídica, autoridad pública, servicio u otro organismo que trate
datos personales por cuenta del responsable del tratamiento;”

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que GAOLANIA
SERVICIOS realiza, entre otros tratamientos, la recogida y conservación de datos
personales de personas físicas, como: nombre y apellidos, teléfono, dirección y correo
electrónico.

GAOLANIA SERVICIOS realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD.

III Obligación incumplida. Exactitud

El artículo 5 “Principios relativos al tratamiento” establece:

“1. Los datos personales serán: (…)
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»);

Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones
indica que: “(39) (…) para garantizar que los datos personales no se conservan más
tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su
supresión o revisión periódica. Deben tomarse todas las medidas razonables para
garantizar que se rectifiquen o supriman los datos personales que sean inexactos”.

Y el considerando 71: “ (...) a fin de garantizar un tratamiento leal y transparente
respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos
en los que se tratan los datos personales, el responsable del tratamiento debe utilizar
procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles,
aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que
se corrigen los factores que introducen inexactitudes en los datos personales y se
reduce al máximo el riesgo de error, asegurar los datos personales de forma que se
tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/47

impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos
de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical,
condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar
a medidas que produzcan tal efecto".

Se consagra en estos preceptos el principio de “exactitud”, que impone al responsable
del tratamiento que verifique la exactitud de los datos del interesado a través de la
implementación de medidas adecuadas.

La conducta de la parte reclamada que es objeto de este procedimiento está
relacionada con la baja del contrato de suministro eléctrico que la parte reclamante
tenía suscrito para su vivienda, con ***EMPRESA.1.

La baja del contrato eléctrico de la parte reclamante se produjo como consecuencia de
que GAOLANIA, con ocasión de gestionar a petición de un cliente, para su vivienda,
un cambio de comercializadora y de titularidad en el contrato de acceso a redes con la
distribuidora de zona, vinculó esos cambios a un CUPS eléctrico del que no era titular,
sino la parte reclamante.

La documentación que obra en el expediente también acredita que GAOLANIA,
cuando gestionó el cambio de comercializadora comunicó a través del SCTD,
siguiendo el formato preestablecido por la CNMC, que el CUPS era el de la parte
reclamante.

Al respecto, esta Agencia desea señalar que, según consta en la transcripción de las
conversaciones entre GAOLANIA y la parte reclamante que se acompañan al escrito
de respuesta al traslado de la reclamación, así como de la grabación de la llamada de
26 de enero de 2023 aportada junto a las alegaciones al acuerdo de inicio del presente
procedimiento, en la llamada que tuvo lugar el 26 de enero de 2023 se proporciona
como CUPS el siguiente: ***REFERENCIA.1 (el de la parte reclamante); pero en la
llamada de 27 de enero de 2023 para verificar los datos del cambio de
comercializadora es cuando se proporciona otro punto de suministro (CUPS:
***REFERENCIA.6), y respecto de lo cual GAOLANIA, pese a ser CUPS distintos, no
realiza ninguna verificación adicional.

En este sentido, de la documentación que obra en el expediente, se evidencia que
GAOLANIA vulneró el principio de exactitud pues trató un dato inexacto, un CUPS del
que quien solicitó el cambio de comercializadora no era titular.

Todo tratamiento de datos personales tiene que respetar los principios que lo presiden,
recogidos en el artículo 5 del RGPD, entre ellos el de exactitud.

Conforme al RGPD, el responsable del tratamiento estará obligado a adoptar en todo
momento las medidas que sean razonables para garantizar que sean exactos los
datos personales que recoja o trate de cualquier otra forma.

La actividad o las medidas que el responsable debe desplegar o adoptar a fin de
garantizar la exactitud de los datos no pueden traducirse en exigencias
desproporcionadas, pero sí son exigibles medidas “razonables”, lo que hace preciso
valorar la finalidad y el contexto del tratamiento. En ese sentido, mientras el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/47

considerando 39 del RGPD alude a las “medidas razonables para garantizar que se
rectifiquen o supriman los datos personales que sean inexactos” el artículo 5.1.d) del
RGPD conecta la exactitud de los datos con los fines para los cuales son objeto de
tratamiento.

La Audiencia Nacional señalaba en su Sentencia de 27/02/2008, (Recurso 210/2007)
que “El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo
resulta necesario que los datos se recojan para su tratamiento de acuerdo con una
serie de criterios (principio de proporcionalidad) y que los mismos se empleen para
finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino
que también exige que quien recoge y trata datos de carácter personal garantice y
proteja que la información sometida a tratamiento no sea inexacta y esté puesta al día.
El incumplimiento o vulneración del principio de veracidad puede tener importantes
consecuencias para el afectado.” (El subrayado es nuestro)

A mayor abundamiento el artículo 5.2. del RGPD incorpora el principio de
responsabilidad proactiva en virtud del cual el responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1 (por lo que ahora
interesa, en el apartado d) y capaz de demostrar su cumplimiento. El principio de
proactividad transfiere al responsable del tratamiento la obligación, no solo de
observar los principios que presiden el tratamiento, también la de poder demostrar
dicho cumplimiento.

Cabe mencionar el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP
173-, emitido durante la vigencia de la Directiva 95/46/CE derogada por el RGPD, pero
cuyas reflexiones son aplicables en la actualidad, que entiende que la “esencia” de la
responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar
medidas que, en circunstancias normales, garanticen que en el contexto de las
operaciones de tratamiento se cumplen las normas en materia de protección de datos
y en tener disponibles documentos que demuestren a los interesados y a las
Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento
de las normas que regulan el derecho fundamental a la protección de datos de
carácter personal.

En párrafos anteriores se ha señalado que, de acuerdo con el artículo 3
(“Formalización de contratos de tarifas de acceso y de adquisición de energía”) del
R.D. 1435/2002 el consumidor puede optar por contratar la energía y “el acceso a las
redes” a través de un comercializador y que, en tal caso, el comercializador sólo podrá
contratar con el distribuidor el acceso a las redes en calidad de mandatario del
consumidor.

El comercializador entrante es en esos casos el único interlocutor del cliente ante el
distribuidor, lo que explica que el artículo 3 del R.D. 1435/2002 disponga que el
comercializador “traspasa al distribuidor los datos necesarios para el suministro”. (El
subrayado es nuestro) Los datos que el comercializador entrante “traspasa” al
distribuidor, son, como se ha indicado, los que el comercializador entrante ha recogido
de su cliente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/47

El artículo 3 del R.D. 1435/2002, además, nos recuerda que el comercializador
entrante, en este caso GAOLANIA, como responsable del tratamiento, está sometido a
las disposiciones del RGPD. En ese sentido dice:

“La recogida, tratamiento y traspaso de estos datos deberán observar en todo
momento las previsiones establecidas en la normativa sobre protección de datos de
carácter personal que resulte de aplicación.” (El subrayado es nuestro)

La remisión a las normas de protección de datos que hace el precitado artículo 3 del
R.D. 1435/2002 evidencia el interés en recordarle a los sujetos que operan en el sector
de la energía eléctrica que su normativa específica no es un argumento para dejar de
cumplir las obligaciones que les imponen las normas que regulan el derecho
fundamental a la protección de datos de carácter personal.

De la documentación obrante en el expediente se infiere que GAOLANIA no recabó ni
obtuvo de su cliente ningún documento que le permitiera comprobar o verificar que él
era el titular del CUPS y, más aún, se infiere que el cliente no le proporcionó siquiera el
dato del CUPS correctamente, toda vez que le indicó un número de CUPS distinto en
cada llamada.

La parte reclamada, en virtud del principio de exactitud que tiene la obligación de
observar, debía estar en condiciones de poder acreditar que los datos facilitados,
como consecuencia del cambio de comercializadora eran correctos y que el CUPS que
iba a tratar coincidía con el del punto de suministro para el cual su cliente solicitaba
contratar. Como mínimo, debía poder acreditar que el dato del CUPS sobre el que ha
efectuado las gestiones de cambio de comercializadora era efectivamente el correcto.

La reclamada solicitó el cambio de comercializadora sin verificar que los datos eran
exactos, para garantizar la exactitud del CUPS y sin adoptar ninguna otra medida
tendente a garantizar previamente que el CUPS que iba a facilitar a la distribuidora
estaba asignado su cliente, lo que supone una patente falta de diligencia a la hora de
dar cumplimiento al principio de exactitud, que requiere la adopción de medidas
tendentes a evitar el tratamiento de datos inexactos o erróneos, como contrastar con
su cliente la exactitud de los datos, lo que no hizo.

En este caso, el elemento culpabilístico de la infracción -cuya presencia es necesaria
para que nazca la responsabilidad administrativa sancionadora, al estar proscrita la
responsabilidad objetiva en nuestro ordenamiento jurídico- se concreta en la grave
falta de diligencia de GAOLANIA en el cumplimiento del principio de exactitud de los
datos.

El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se
comporta con la diligencia exigible, que se determinará atendiendo a las circunstancias
concurrentes como el especial valor del bien jurídico protegido y la profesionalidad del
sujeto infractor.

Aplicando la anterior doctrina, la Audiencia Nacional, entre otras en Sentencias de
fecha 14/02/2002, 20/09/2002 y 13/04/2005, exige a las entidades que tratan datos
una especial diligencia a la hora de llevar a cabo su uso o tratamiento, visto que atañe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/47

a la protección de un derecho fundamental de las personas a las que se refieren por lo
que los responsables del tratamiento deben ser especialmente diligentes y cuidadosos
a la hora de realizar operaciones con ellos y optar siempre por la interpretación más
favorable a la protección de ese derecho.

Esta absoluta falta de diligencia de GAOLANIA queda reflejada en el mero hecho de
que se le proporcionó un CUPS distinto en la llamada de (precisamente) verificación
de datos. Y que pese a que el número de CUPS no coincidía con el inicialmente
facilitado, no se realizó ninguna comprobación adicional y se procedió al cambio de
comercializadora, sin más.

Las consideraciones precedentes evidencian que GAOLANIA trató un dato personal
inexacto (el CUPS de la parte reclamante) y que, pese a que le incumbe la obligación
de cumplir el principio de exactitud y la carga de demostrar su cumplimiento, no ha
aportado ninguna prueba ni tampoco indicios de que hubiera articulado alguna medida
para hacer efectivo su cumplimiento. Más aún, el contenido de las llamadas de 27 y 28
de enero de 2023 revela una total falta de diligencia por parte de GAOLANIA.

Por tanto, se considera que los hechos conocidos son constitutivos de una infracción,
imputable a GAOLANIA SERVICIOS, por vulneración del artículo 5.1.d) del RGPD,
transcrito anteriormente.

IV Sobre el cambio de calificación jurídica efectuado en el trámite de propuesta de
resolución y las alegaciones aducidas al acuerdo de inicio

La propuesta de resolución de este procedimiento modificó la calificación jurídica de la
conducta recogida en el acuerdo de apertura del expediente sancionador. En el trámite
de propuesta se consideró oportuno sustituir la calificación inicial de vulneración del
artículo 6.1.a) del RGPD y calificar la actuación de la que se responsabiliza a
GAOLANIA como una vulneración del principio de exactitud establecido en el artículo
5.1.d), infracción tipificada en el artículo 83.5.a) del RGPD y considerada por la
LOPDGDD, a efectos de prescripción, (artículo 72.1.a) como una infracción muy grave.
Cambio de calificación jurídica que resulta ajustado a Derecho al permanecer
invariables los hechos en los que se basó la imputación contra la parte reclamada
recogida en el acuerdo de apertura. La parte reclamada no ha efectuado alegaciones a
dicho cambio de calificación jurídica.

En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se procedió a dar respuesta a las mismas según el orden
expuesto por GAOLANIA en la propuesta de resolución. Dichas alegaciones no se
recogen en la presente resolución al haberse llevado a cabo un cambio de calificación
jurídica de la conducta en la propuesta de resolución y versar sobre un artículo distinto
al imputado en esta resolución.

V Alegaciones a la propuesta de resolución

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/47

En relación con las alegaciones aducidas a la propuesta de resolución del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el orden
expuesto por GAOLANIA SERVICIOS:

PRIMERA: Relativa a la vulneración del principio de exactitud del tratamiento de datos
del artículo 5.1 RGPD.

GAOLANIA SERVICIOS insiste en que (i) existían medidas adoptadas para evitar los
hechos ocurridos y si se produjo el cambio efectivo fue principalmente por el error del
cliente de GAOLANIA al facilitar el dato del CUPS, así como la falta de información
completa del archivo SIPS que impidió detectar cualquier discordancia en la dirección
y; (ii) tras la llamada de verificación del día 27 de enero de 2023, GAOLANIA realizó
actuaciones tendentes al esclarecimiento de los hechos y posterior reposición del
suministro:

“(…) En este sentido, los hechos que obran en el expediente acreditan que la solicitud
del cambio de comercializadora fue empleando el CUPS inicialmente recogido y que
tras la llamada de verificación se produjo precisamente a la reposición del suministro.

Por tanto, al contrario de las conclusiones obtenidas por la Propuesta de Resolución,
(…) por el cliente, sin discrepancia en el SIPS consultado y sin rechazo por parte de la
distribuidora. De hecho, (…), tal y como consta en las actuaciones previas detalladas
por la Propuesta de Resolución. Es decir, (…).

Fue precisamente, tras la llamada de verificación del 27 de enero cuando el contrato
activo pasó a ser tramitado por el Departamento de Calidad y procedieron a realizar
varias actuaciones tendentes a una comprobación adicional.

Por este motivo, debemos resaltar que los hechos que ha considerado la Propuesta
de Resolución como conducta infractora derivan de una interpretación, dicho en
términos de estricta defensa, errónea por parte de la AEPD respecto al curso de los
acontecimientos ocurridos durante el cambio de comercializador y la incorrecta
interpretación de las actuaciones llevadas a cabo por mi representada. En
consecuencia, una correcta interpretación del curso de los acontecimientos determina
de la inexistencia de una conducta antijurídica por parte de mi representada.

En este punto, la cronología de los hechos, que inclusive aparece en la Propuesta de
Resolución, no coincide con la interpretación que hace la AEPD respecto al cambio de
comercializadora.

Y es en este punto, donde debemos reiterar de nuevo, que la llamada comercial inicial
realizada por el encargado, la posterior firma del contrato donde ahora sabemos que
figuraba el CUPS erróneo, y la solicitud del cambio de comercializadora, sucedió todo
ello en fecha de 26 de enero de 2023, siendo el mismo día aceptado por la
distribuidora sin rechazo por su parte y activado el día siguiente 27 de enero. Fue con
posterioridad, cuando ***EMPRESA.2 realizó una llamada de verificación el mismo 27
de enero, para confirmar con el cliente los datos de contratación donde se detectó un
dato distinto al inicialmente proporcionado por el propio cliente, que permitió investigar
los hechos. En consecuencia, en ningún caso fue solicitado el cambio de
comercializadora con conocimiento de la existencia de un CUPS erróneo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/47

Respecto al incumplimiento del apartado d) del artículo 5 del RGPD, (…) la clave para
entender infringido dicho precepto resultaría de dos cuestiones fundamentales: en
primer lugar, si mi representada disponía de medidas suficientes para el tratamiento
del dato entendiendo que este era correcto y exacto y, en segundo lugar, si una vez
detectado dicho error fue rectificado sin dilación los datos personales que habían sido
tratados de forma inexacta.

Respecto a estas dos cuestiones, resulta de la Propuesta de Resolución una
respuesta negativa por parte de la AEPD para fundamentar la sanción propuesta. Sin
embargo, como ya hemos adelantado y procedemos a exponer, ese pronunciamiento
de la Propuesta de Resolución deriva de una incorrecta interpretación del curso de los
hechos en el expediente, ya que en todo momento entiende que mi representada tenía
conocimiento de la discrepancia del CUPS antes de proceder al cambio de
comercializador.

(i) ***EMPRESA.2 realizó las comprobaciones mínimas exigibles para proceder al
cambio de comercializadora.

En primer lugar, no resulta controvertido que esta parte recabó, a través del encargado
de tratamiento mediante una llamada comercial previa, el CUPS facilitado por el propio
cliente de mi representada, cumpliendo las obligaciones asumidas entre el encargado
y el responsable del tratamiento. Así pues, el dato inexacto fue recogido por la
aportación voluntaria del cliente que, ofreció un CUPS erróneo y que correspondía al
reclamante.
Ahora bien, omite la Propuesta de Resolución, que una vez fue tratado el dato por
parte de mi representada se le envió al cliente la documentación contractual pendiente
de revisión y firma. Como indicamos en el apartado b) de la Alegación Segunda del
escrito de alegaciones presentado en fecha 6 de enero de 2025, es preciso la revisión
y firma de la documentación por escrito por parte del cliente. Es decir, el cliente
confirmó por escrito el CUPS facilitado en la llamada previa era correcto, procediendo
a la firma del contrato.

Del mismo modo, en dicho contrato de suministro electrónico el cliente confirma que
los datos aportados son completos y veraces: “ El cliente manifiesta haber leído y
entendido las Coberturas y Condiciones tanto particulares (las que figuran en la
página 1) como generales de este documento, en especial las condiciones
económicas que constan y declara estar conforme con ellas autorizando
expresamente a Gaolania Servicios S.L. a tramitar el cambio de suministrador ante la
compañía Distribuidora y acceder a los datos relativos al consumidor contenidos en el
sistema de intercambio de información para la gestión del cambio de suministrador.
Asimismo, declara que la información y los datos reflejados anteriormente son
completos y veraces” (página 4, último párrafo del contrato de suministro eléctrico
firmado por el cliente).

Así pues, el cliente dispuso de un documento precontractual para revisar y corregir el
error en el CUPS aportado inicialmente, y no solo no lo hizo, sino que mediante su
firma garantizó que la información era veraz y completa antes de proceder al cambio
de comercializadora. ***EMPRESA.2 disponía, por tanto, de una apariencia de
exactitud en el tratamiento del dato facilitado por el cliente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/47

Respecto a la llamada comercial donde se facilitó el CUPS por el cliente, en el escrito
de alegaciones de 6 de enero de 2025 citamos la Sentencia de la Audiencia Nacional
de fecha 12 de junio de 2020, a cuyo contenido nos volvemos a remitir, donde en el
supuesto examinado la comercializadora manifiesta que disponía de una grabación
del nuevo titular, teniendo una apariencia de veracidad los datos facilitados para el
cambio de comercializadora y alegó que no existía antijuricidad ni culpabilidad en su
conducta precisamente por esa apariencia de veracidad en la contratación, siendo la
grabación un elemento suficiente para tramitar el cambio de comercializadora. La
Audiencia Nacional anuló la sanción impuesta concluyendo que la conducta de la
comercializadora no fue constitutiva de infracción:

“Si la contratación se celebra telefónicamente es, con carácter general, suficiente para
entender desplegada la diligencia mínima exigible que se aporte una grabación de la
conversación telefónica mantenida entre la compañía que trata los datos y la persona
que otorga el consentimiento a la contratación y facilita como suyos datos personales
del afectado”.

Por tanto, la interpretación de la Audiencia Nacional aplicable al presente expediente,
determina que las medidas que disponía mi representada para garantizar la exactitud
del dato eran adecuadas y suficientes para la finalidad del tratamiento.

Sin embargo, la Propuesta de Resolución sostiene que no es aplicable al caso que
nos ocupa (primer párrafo de la página 39). Resulta sorprendente que, ante la
innegable similitud de los fundamentos valorados por la Audiencia Nacional, la
Propuesta de Resolución considere que no es aplicable porque dicha sentencia anuló
una sanción de un hecho relativo a una suplantación de datos, cuando el caso que
nos ocupa es un error del nuevo titular. No entraremos a valorar el criterio que utiliza la
Propuesta de Resolución para rechazar su aplicación al presente supuesto, dado que
se fundamenta de nuevo en la creencia que mi representada disponía de una
discrepancia de dos datos CUPS recabados, cuestión que ya ha sido rechazada y que
no es conforme a los acontecimientos detallados en el presente expediente.

Sin embargo, esta parte no comprende que se acepte como prueba mínima de
diligencia una llamada de la persona que facilitó los datos en un caso de suplantación
de identidad y la Propuesta de Resolución no aplique dicha interpretación a un simple
error de buena fe por parte del cliente al facilitar el dato tratado.

Asimismo, pese a la diferencia del supuesto de hecho entre el caso que nos ocupa y
el caso examinado por la Audiencia Nacional, debemos recordar que la clave de la
Sentencia de la Audiencia Nacional de fecha 12 de junio de 2020, es precisamente
que la comercializadora cumple la diligencia mínima y por tanto, cumple con una
medida correcta para garantizar el tratamiento del dato si dispone de una grabación
telefónica.

Es decir, atendiendo al criterio de la Audiencia Nacional, ***EMPRESA.2 había
cumplido con la diligencia mínima exigible al disponer de la grabación telefónica del
cliente con el error del CUPS. Pero es que adicionalmente, mi representada obtuvo
una nueva confirmación de los datos por parte del cliente mediante la revisión y firma

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/47

de la documentación donde figuraba el dato tratado y realizó una consulta SIPS que
no arrojó información sobre la dirección que permitiera identificar un error en los datos.

Asimismo, pese a que la Propuesta de Resolución entiende una infracción del artículo
5 del RGPD por no disponer de medidas mínimas para garantizar la exactitud del dato,
es perfectamente apreciable que ***EMPRESA.2 disponía de medidas oportunas que
han sido ratificadas por la Audiencia Nacional y empleó de otras medidas adicionales
a las mínimas exigibles que tampoco permitieron detectar la inexactitud en el
tratamiento de datos.

Respecto a la consulta SIPS y la valoración realizada por la Propuesta de Resolución,
mi representada realizó una comprobación por el fichero SIPS, del que tiene acceso
de manera limitada sin acceso a la información completa que dispone la distribuidora.
Solicitada la información, tampoco hubo un rechazo ni ningún indicio relativo a la
existencia de un dato erróneo. De hecho, como indicamos en nuestro escrito de
alegaciones, la Recomendación IS/DE/014/21 de la Comisión Nacional de los
Mercados y de la Competencia (en adelante, “CNMC”) al establecer las buenas
prácticas parte de reconocer que existe en ocasiones desactualizaciones o reconoce
que el comercializador no dispone de toda la información por no recogerse en el SIPS.

En consecuencia, inclusive la CNMC conoce perfectamente que el uso de información
por la comercializadora antes de lanzar la solicitud de cambio de comercializadora es
limitado a través del SIPS e inclusive reconoce que las bases de datos de la
distribuidora pueden estar desactualizadas, lo que genera rechazos. Una prueba más
de que ***EMPRESA.2 no tiene acceso a cotejar la dirección del CUPS de forma
previa, estando muy limitada la información como hemos transcrito anteriormente.

Del mismo modo, el análisis que realiza la Propuesta de Resolución de la
Recomendación IS/DE/014/21 parte de un rechazo de la distribuidora que permita
identificar que se trata de un CUPS erróneo en la solicitud de la comercializadora. Sin
embargo, en el presente caso la Distribuidora no cotejó sus propias bases de datos y
tampoco rechazó la solicitud de cambio de comercializadora, sino que fue aceptada el
mismo día por lo que ***EMPRESA.2 no tuvo ninguna base o motivo para sospechar
de un error en el CUPS facilitado por su cliente (…).

(ii) ***EMPRESA.2 adoptó medidas para corregir el dato inexacto conforme al artículo
5 del RGPD.

El propio artículo 5 del RGPD prevé la obligación de corregir el dato inexacto sin
dilación: “Los datos personales serán: (…) exactos y, si fuera necesario, actualizados;
se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin
dilación los datos personales que sean inexactos con respecto a los fines para los que
se tratan («exactitud»)”.

Respecto a este punto, en base a los hechos que obran en el expediente, tampoco
puede calificarse la conducta de mi representada como antijurídica ya que, a sensu
contrario de la interpretación de la Propuesta de Resolución, ***EMPRESA.2 realizó
medidas y actuaciones adicionales tras la llamada de verificación del día 27 de enero
de 2023.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/47

Desde GAOLANIA SERVICIOS, la rectificación fue producida de manera simultánea:
(i) pausó la facturación en el punto de suministro para evitar cualquier perjuicio, (ii) se
realizó contacto con el encargado de tratamiento para recabar todas las explicaciones
y detalle de la fase contractual, (iii) se solicitó la reposición del suministro el mismo día
27 de enero de 2023 que fue aceptada el día 30 por la distribuidora (iv) el personal de
atención al cliente hizo seguimiento del expediente para confirmar la baja, ya que veía
retraso en la reposición efectiva por parte de la distribuidora.

Respecto al contrato con el cliente, el dato fue subsanado y no tuvo ninguna otra
incidencia.

Respecto al CUPS del reclamante, resulta sorprendente que pese a la rapidez de la
distribuidora para tramitar la activación donde fue realizado en menos de 24 horas,
existió un retraso en la reposición efectiva por parte de la distribuidora, lo que derivó
en las varias consultas efectuadas por el reclamante a esta parte.

En ese punto, cabe destacar que pese a que la Propuesta de Resolución hace
mención expresa a las respuesta otorgadas por esta parte al reclamante sobre la
gestión y las solicitudes complementarias por la reposición efectuadas a la
distribuidora en fecha de 6/02/2023 y 9/02/2023, inclusive el correo electrónico de
disculpa al reclamante por las molestias ocasionadas, lo cierto es que la AEPD omite
indicar que la reposición fue solicitada en primer término por mi representada en fecha
27 de enero de 2023, el mismo día que tuvo lugar la grabación de verificación.

La solicitud de desistimiento efectuada por ***EMPRESA.2 a ***EMPRESA.1
Distribución de fecha 27 de enero de 2023 fue adjuntada como DOCUMENTO Nº8 en
el escrito de alegaciones de fecha 6 de enero de 2025. Siendo un hecho esencial de la
actuación de mi representada, la Propuesta de Resolución no se pronuncia sobre este
extremo, limitándose a citar las posteriores solicitudes complementarias que tuvo que
hacer mi representada ante el retraso de la distribuidora en llevar a cabo la
reposición.”

En primer lugar, la reclamada alega que la solicitud de cambio, la firma del contrato
con el CUPS erróneo y la aceptación por la distribuidora ocurrieron el 26 de enero de
2023, y que fue al día siguiente, 27 de enero, cuando se realizó una llamada para
confirmar los datos recabados donde se detectó la discrepancia. Sin embargo, esta
secuencia de los hechos no exime de responsabilidad a GAOLANIA, sino que confirma
su falta de diligencia previa.

Así, la llamada realizada el día 27 de enero carece de virtualidad para cumplir con el
principio de exactitud en el tratamiento de los datos que exige el RGPD puesto que, si
el contrato ya había sido tramitado y aceptado por la distribuidora el día anterior, dicha
llamada no constituye un mecanismo de verificación de los datos tratados, sino una
mera comprobación a posteriori o auditoría de calidad de un hecho consumado. Para
que exista una verdadera verificación que garantice la exactitud de los datos, el cotejo
de los datos tratados debería haberse producido antes de ejecutar la tramitación del
alta y el consecuente cambio del suministro del reclamado. Por tanto, llevar a cabo
una confirmación de datos cuando el cambio ya es efectivo en los sistemas de la
distribuidora es contrario la obligación que impone el art. 5.1.d) del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/47

Concretamente, en este caso, la confirmación de los datos por el cliente de
GAOLANIA a través de la firma del contrato el 26 de enero no libera a esta de su
deber de diligencia. Con la firma el cliente manifiesta su voluntad de contratar, pero no
sustituye el deber de garantizar la exactitud del CUPS. El hecho de que la propia
compañía requiriese realizar una comprobación telefónica el día 27 demuestra que la
firma del contrato no era considerada un mecanismo suficiente para garantizar la
exactitud del dato por parte de GAOLANIA.

En este sentido, y con respecto a la falta de información completa del archivo SIPS
que manifiesta GAOLANIA que impidió detectar cualquier discordancia en la dirección,
conviene recordar que el informe de la CNMC IS/DE/014/21 establece de manera
expresa que, cuando existan incoherencias o discrepancias entre la información
facilitada por el consumidor y la registrada en el SIPS, el comercializador debe
efectuar comprobaciones adicionales, como contactos posteriores, solicitud de
documentación complementaria u otras medidas equivalentes, antes de proceder al
cambio. Estas directrices reflejan un estándar de diligencia exigible al comercializador,
orientado a evitar errores previsibles y a garantizar la correcta identificación del punto
de suministro.

En este caso, se aprecia una falta de diligencia debida a partir del día 27 de enero,
cuando se constata la discrepancia entre el CUPS facilitado por el cliente en las dos
llamadas. El reclamante remitió correos electrónicos a la compañía desde el día 28 de
enero solicitando expresamente que no se modificase su suministro, lo que demuestra
que la gestión del error por parte de GAOLANIA no fue lo suficientemente rápida para
impedir el tratamiento indebido de datos una vez conocido.

Por otra parte, respecto a la manifestación por GAOLANIA de que la responsabilidad
recae exclusivamente en el cliente que facilitó un dato erróneo, cabe señalar que la
normativa de protección de datos impone al responsable del tratamiento un deber de
responsabilidad proactiva en el artículo 5.2 del RGPD, que incluye la obligación de
prever y mitigar los riesgos inherentes al tratamiento. También se recoge así en las
obligaciones generales que el artículo 24 del RGPD impone a los responsables del
tratamiento: “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del
tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos
y libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.”

En este caso que tener en cuenta que el código CUPS es una cadena alfanumérica de
gran longitud (20 o 22 caracteres) y complejidad, lo que lo convierte en un dato
altamente susceptible de contener errores, ya sean fruto de un descuido del cliente al
proporcionarlo, o de un posible error de captación por parte de los propios
trabajadores de GAOLANIA. Por tanto, la inexactitud de este dato no es una
circunstancia imprevisible, sino un riesgo que la reclamada debería tener en
consideración e implementar sistemas de control previos a la contratación que
garanticen la exactitud del dato. Por tanto, es la reclamada quien tiene la obligación de
verificar la exactitud de los datos antes de afectar derechos de terceros.

Por todo lo anteriormente expuesto, se desestima la presente alegación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/47

SEGUNDA: Análisis de las circunstancias que gradúan la sanción. La propuesta de
resolución omite todas aquellas circunstancias que atenúan la responsabilidad del
responsable de tratamiento.

GAOLANIA manifiesta lo siguiente: “(…) destacamos que el supuesto objeto del
presente expediente representa un hecho aislado y que no había ocurrido un supuesto
semejante ni tampoco existe un daño y perjuicio sufrido por el reclamante. Respecto a
la culpabilidad se resaltó la ausencia de antijuridicidad de la conducta de mi
representada y destacó todas las actuaciones llevadas a cabo para la reposición del
suministro, resaltando igualmente que el origen corresponde a un error humano del
cliente sin ninguna intención de perjudicar al reclamante.

(…) Pese a no entrar a valorar estos extremos, la Propuesta de Resolución ha incluido
como circunstancias que gradúan la sanción propuesta las siguientes:

(i) La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD).

En este punto, respecto a la duración de la supuesta infracción la AEPD establece que
el tratamiento del dato inexacto se produjo entre el 26 de enero de 2023 y el 7 de
marzo de 2023. Respecto a esta duración, debemos recordar que desde el día 27 de
enero de 2023, GAOLANIA SERVICIOS solicitó reposición a la empresa distribuidora
el mismo día que conoció del posible error del CUPS, según consta acreditado.

El retraso en la reposición fue originado por la distribuidora, ya que una vez solicitada
la reposición la comercializadora no puede realizar gestión adicional y los plazos
corresponden a la distribuidora. Sorprende que pese haber transcurrido menos de 24
horas para la activación, la distribuidora demoró durante más de un mes la reposición
efectiva. Pero como hemos indicado, ese retraso fue imputable a la distribuidora dado
que la comercializadora solicitó correctamente la reposición el día 27 de enero de
2023.

Respecto a la gravedad de la infracción, la Propuesta de Resolución indica que, al ser
una actividad básica del responsable, como es la comercialización de energía, es una
actividad principal del responsable y por tanto es una conducta grave. Trataremos este
punto en la alegación siguiente relativa a la circunstancia agravante apreciada.

Por otro lado, y tal como manifestamos en el escrito de alegaciones de 6 enero de
2025 ni siquiera el reclamante ha dirigido sus acciones frente a GAOLANIA
SERVICIOS pues el recurso de reposición se formuló exclusivamente contra
***EMPRESA.1 por no restituirle en las mismas condiciones que tenía antes del
cambio de comercializadora. Asimismo, es importante señalar que hay una total
ausencia de daño económico para el reclamante, ya que recuperó su contrato original
sin costes ni se le facturó el tiempo que estuvo activo con mi representada.

De forma adicional, tampoco se trata de una conducta que afecte a varios individuos
pues ya se ha trasladado en varias ocasiones el carácter excepcional de los hechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/47

ocurridos y tampoco existe, ni siquiera de forma provisional, una valoración de los
daños y perjuicios sufridos por el reclamante.

Respecto a la gravedad para la valoración de la infracción la Sentencia de la
Audiencia Nacional de 3 de octubre de 2024, en relación con el artículo 83.2.a del
RGPD, en un supuesto mucho más grave que el que acontece, descarta que pueda
aplicarse ya que:
“En cuanto al apartado a) la naturaleza, gravedad y duración de la infracción, teniendo
en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido. Esta circunstancia agravante que se refleja en la resolución
sancionadora no puede apreciarse como tal pues no están acreditados daños y
perjuicios concretos y tampoco existe un nº elevado de personas afectadas, ni la
cuenta corriente con la reclamante como titular ha persistido en el tiempo al ser objeto
de cancelación por la entidad bancaria”.

(ii) La intencionalidad o negligencia en la infracción (artículo 83.2, letra b), del RGPD).

La Propuesta de Resolución indica que estamos ante una grave falta de diligencia al
“no realizar ninguna comprobación adicional una vez se le proporcionó un CUPS
distinto en las dos llamadas con su cliente”.

Esta parte no entiende cómo ha llegado a tal conclusión. Resulta, a la vista de los
hechos, que tras la llamada de verificación del 27 de enero de 2023, al aparecer una
discrepancia entre los CUPS se procedió de forma activa a tomar varias medidas,
entre ellas la verificación con el encargado de tratamiento y la reposición del
suministro.

Por tanto, es rotundamente falso que GAOLANIA SERVICIOS no haya realizado
ninguna comprobación ni gestión adicional una vez se le proporcionó el CUPS distinto
en la segunda llamada.

Por otro lado, la Propuesta de Resolución no ha valorado que no existe ningún ánimo
de perjudicar al reclamante y que se adoptaron diligentemente todas aquellas
actuaciones conducentes a restituir el CUPS a su anterior titular y a su anterior
comercializadora.

De hecho, tampoco existe ninguna evidencia que pueda presumir que existe siquiera
un elemento de intencionalidad por parte del cliente de mi representada que facilitó el
CUPS erróneo, existiendo únicamente un error humano que no pudo ser detectado.

Frente a la posición de la Propuesta de Resolución que trata de una negligencia grave
en virtud de un análisis e interpretación errónea, la postura de esta parte siempre ha
mantenido que sí existen controles internos y funcionan. En ese sentido, fueron
adoptadas medidas internas que permitieron detectar el error en el tratamiento del
dato y proceder a rectificar el dato del cliente y proceder a la reposición del
reclamante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/47

En adición, esta parte manifiesta que existen varias circunstancias que atenúan la
responsabilidad de una eventual infracción de ***EMPRESA.2 y que no han sido
valoradas ni en el Acuerdo de Incoación ni en la Propuesta de Resolución:

(iii) Cualquier medida tomada por el responsable del tratamiento para paliar los
daños y perjuicios sufridos por los interesados.

En nuestro primer escrito de respuesta al requerimiento de fecha 14 de junio de 2023
ya se indicaron todas las medidas que realizó ***EMPRESA.2, partiendo de la
flexibilización de la norma que prevé “cualquier medida” adoptada por el responsable
de tratamiento.

En este punto, se realizó llamada al cliente una vez tramitado el cambio para verificar
de nuevo todos los datos (dpto. de calidad), tras la discordancia en el CUPS se
adoptaron de oficio investigación interna para esclarecer los hechos con el encargado
de tratamiento, solicitando toda la información pertinente. Asimismo, se procedió de
forma inmediata a la reposición del punto de suministro y finalmente inclusive se envió
una disculpa por escrito al reclamante por lo sucedido.

(iv) Toda infracción anterior cometida por el responsable del tratamiento.
Respecto a este apartado, el Acuerdo de Incoación ni la Propuesta de Sanción no
refiere que no existe ningún tipo de infracción anterior cometida por ***EMPRESA.2, ni
tiene en cuenta dicha circunstancia para graduar la sanción impuesta.

(v) El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos.
***EMPRESA.2 no solo ha colaborado y facilitado toda la información relativa a los
hechos desde la primera notificación de la reclamación planteada, sino que también
adoptó medidas de oficio tras detectar el error para restituir el CUPS a su titular y
evitar así posibles consecuencias, sin que se le haya dado trasladado o facturado el
consumo al reclamante y quedando la controversia resuelta a favor del reclamante.

(vi) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos como consecuencia de la comisión de
la infracción.

Asimismo, el artículo 76.2 de la LOPD también prevé que podrá tenerse en cuenta,
entre otros, la posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción. Pese a que no se trata de la conducta del reclamante per se,
sí resulta aplicable por analogía a la conducta del cliente de ***EMPRESA.2, por ser el
tercero que aportó incorrectamente el CUPS de un tercero y verificó tales datos por
escrito en el contrato.

Pese a que su origen se trata en un error de un tercero, el Acuerdo de Incoación ni la
Propuesta de Sanción no ha tenido en cuenta este extremo en relación con la
antijuricidad y culpabilidad de la conducta, pero es que tampoco ha tenido en cuenta
esta circunstancia para al menos atenuar la responsabilidad de ***EMPRESA.2.

Por último, tampoco se ha producido ningún beneficio económico para ***EMPRESA.2
a consecuencia de los hechos imputados. Es más, no solo no se ha obtenido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/47

beneficio, sino que los costes de peajes, cargos correspondientes al periodo que el
reclamante estuvo de alta no fueron facturados ni repercutidos ni al reclamante ni al
cliente de ***EMPRESA.2. Tampoco fue facturado el consumo correspondiente al
periodo que estuvo dado de alta.

De todo lo anterior, queda acreditado que ni el Acuerdo de Incoación ni la Propuesta
de Sanción no atendido correctamente las circunstancias del expediente a título
individual, especialmente todas aquellas que atenúan la responsabilidad y que
directamente influye en la determinación de la cuantía de multa propuesta.

Resulta especialmente relevante que la ausencia de valoración de los extremos
relativos a la graduación que sería aplicable a mi representada ha derivado que la
Propuesta de Sanción vuelva a incurrir en una omisión de las circunstancias
atenuantes de la responsabilidad de ***EMPRESA.2 que deben ser valoradas para
graduar la sanción.”

En primer lugar, GAOLANIA manifiesta que: “(…) ni siquiera el reclamante ha dirigido
sus acciones frente a GAOLANIA SERVICIOS pues el recurso de reposición se
formuló exclusivamente contra ***EMPRESA.1 por no restituirle en las mismas
condiciones que tenía antes del cambio de comercializadora. Asimismo, es importante
señalar que hay una total ausencia de daño económico para el reclamante, ya que
recuperó su contrato original sin costes ni se le facturó el tiempo que estuvo activo con
mi representada”

Esta Agencia desea recordar que el concepto de daño en el RGPD es amplio y no se
limitan a los daños económicos. Así, el considerando 75 establece expresamente que
los riesgos para los derechos y libertades de las personas físicas pueden provocar
daños y perjuicios tanto materiales como inmateriales, citando concretamente entre
dichos daños la pérdida de control sobre sus datos personales.

En este mismo sentido se ha pronunciado el TJUE en su reciente Sentencia de 4 de
septiembre de 2025 (Asunto C-655/23), señalando que la mera pérdida de control
constituye un daño inmaterial indemnizable, sin necesidad de que exista un perjuicio
financiero tangible:

«59. En segundo lugar, como ha señalado la Comisión Europea en sus
observaciones escritas, unas situaciones, como las que se invocan en el litigio
principal, relativas a un «daño para la reputación» como consecuencia de una
violación de la seguridad de los datos personales o a una «pérdida de control»
sobre tales datos, figuran expresamente entre los ejemplos de posibles daños
y perjuicios que se relacionan en los considerandos 75 y 85 del RGPD.

60. En particular, el Tribunal de Justicia ha subrayado que de la lista ilustrativa
de los «daños» o los «perjuicios» que pueden sufrir los interesados que figura
en el considerando 85, primera frase, del RGPD se desprende que el legislador
de la Unión quiso incluir en estos dos conceptos, en particular, la mera
«pérdida de control» sobre los propios datos personales de esos interesados
como consecuencia de una infracción de dicho Reglamento, aun cuando no se
haya producido concretamente un uso indebido de los datos en cuestión. Tal
pérdida de control puede bastar para causar «daños y perjuicios inmateriales»,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/47

en el sentido del artículo 82, apartado 1, de dicho Reglamento, siempre que
ese interesado demuestre que ha sufrido efectivamente tales daños y
perjuicios, por mínimos que sean, sin que ese concepto de «daños y perjuicios
inmateriales» requiera la demostración de la existencia de consecuencias
negativas tangibles adicionales».

Por tanto, la ausencia de daños económicos probados no elimina la existencia de un
perjuicio inmaterial derivado de la infracción del RGPD. Así, en el presente caso,
resulta evidente que el reclamante sufrió una pérdida de control sobre sus datos,
viéndose obligado a realizar gestiones para revertir un cambio de comercializadora
que no había consentido. Esta pérdida de control sobre su propio contrato de
suministro es un daño inmaterial en los términos señalados por el TJUE.

En segundo lugar, respecto a la siguiente manifestación de GAOLANIA: “Pese a que
su origen se trata en un error de un tercero, el Acuerdo de Incoación ni la Propuesta
de Sanción no ha tenido en cuenta este extremo en relación con la antijuricidad y
culpabilidad de la conducta, pero es que tampoco ha tenido en cuenta esta
circunstancia para al menos atenuar la responsabilidad de ***EMPRESA.2.” Nos
remitimos a lo contestado en la primera alegación, donde ya se ha manifestado que el
hecho de que el dato inexacto provenga de un error del cliente no exime la
responsabilidad de GAOLANIA, ya que es esta quien, como responsable del
tratamiento, tiene la obligación legal de cumplir con el principio de exactitud del artículo
5.1.d) del RGPD, debiendo prever la posibilidad de que existan errores en la
comunicación del CUPS. Es GAOLANIA la que tiene que prever mecanismos efectivos
de verificación de la exactitud, sin que pueda culparse del deber de diligencia al
cliente.

En tercer lugar, GAOLANIA manifiesta que la propuesta de resolución valora
incorrectamente la duración y gravedad de la supuesta infracción, dado que la
comercializadora solicitó la reposición del suministro el mismo 27 de enero de 2023,
siendo la distribuidora la responsable del retraso posterior; que no existieron daños
económicos para el reclamante ni afectación a múltiples interesados; y que no actuó
con negligencia ya que, tras detectar la discrepancia en el CUPS, se adoptaron
medidas inmediatas para aclarar y corregir el error, sin que existiera intencionalidad
alguna ni falta de diligencia.

Respecto a la gravedad de la infracción, las “Directrices 04/2022 para el cálculo de las
multas administrativas en virtud del RGPD”, indican que el RGPD establece que debe
prestarse la debida atención a las circunstancias que califican la gravedad de la
infracción en un caso individual. Cabe indicar que, en contra de la interpretación dada
por la reclamada, los apartados a), b) y g) del artículo 83 del RGPD no son
considerados, a los efectos de la imposición de la sanción, ni como agravantes ni
como atenuantes en sentido estricto, sino como circunstancias que deben tenerse en
consideración para valorar el punto de partida respecto de la gravedad de una
infracción. Es decir, la naturaleza, gravedad y duración de la infracción, la
intencionalidad o negligencia y las categorías de datos afectados son los elementos
que definen la infracción en sí misma

Para valorar la naturaleza, gravedad y duración de la infracción, las citadas Directrices
indican que debe evaluarse los siguientes elementos específicos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/47

a) La naturaleza de la infracción: debe revisarse el interés que la
disposición infringida pretende proteger y el lugar de la disposición
infringida en el marco de la protección de datos. En el presente caso, el
art. 5.1.d) del RGPD pretende garantizar que los datos personales
tratados por los responsables sean exactos y veraces, evitando errores
que puedan afectar a la correcta prestación del servicio o generar
consecuencias negativas para los interesados. Además, las Directrices
disponen que la autoridad de control podrá examinar en qué medida la
infracción prohibía la aplicación efectiva de la disposición y el
cumplimiento del objetivo que pretendía proteger. En el presente caso,
la infracción en cuestión impidió el objetivo perseguido por las
disposiciones infringidas, toda vez que el tratamiento de un CUPS
inexacto derivó en la tramitación de un cambio contractual no
autorizado, afectando directamente a la correcta identificación del punto
de suministro y al ejercicio de los derechos del reclamante respecto a la
gestión de su propio contrato.

b) La gravedad de la infracción, evaluada en función de las circunstancias
específicas:
i. La naturaleza del tratamiento, incluido el contexto en el que
se basa funcionalmente y todas las características del
tratamiento. Las citadas Directrices disponen que cuando la
naturaleza del tratamiento entrañe mayores riesgos, por
ejemplo, cuando se tomen decisiones o medidas con efectos
negativos para los interesados, como en el presente caso,
donde la utilización del CUPS de un tercero no cliente de la
parte reclamada derivó en que se tramitara un cambio de
comercializadora sin el consentimiento del reclamante, titular
del punto de suministro, alterando su situación contractual y
generando una modificación no solicitada en un servicio
esencial como es el suministro eléctrico. También disponen las
citadas Directrices que una autoridad de control puede
conceder más peso a este factor cuando exista un claro
desequilibrio entre los interesados y el responsable del
tratamiento, como en el presente caso.
ii. El alcance del tratamiento, con referencia al alcance local,
nacional o transfronterizo del tratamiento llevado a cabo y la
relación entre esta información y el alcance real del tratamiento
en términos de asignación de recursos por parte del
responsable del tratamiento. Las citadas Directrices explican
que este elemento pone de relieve un factor de riesgo real,
vinculado a la mayor dificultad del interesado y de la autoridad
de control para frenar las conductas ilícitas a medida que
aumenta el alcance del tratamiento. Cuanto mayor sea el
alcance del tratamiento, mayor será el peso que la autoridad
de control pueda atribuir a este factor. En el presente caso, se
trata de un tratamiento nacional.
iii. La finalidad del tratamiento: Las citadas Directrices explican
que la autoridad de control también puede considerar si la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/47

finalidad entra dentro de las denominadas actividades básicas
del responsable del tratamiento. Y que cuanto más central sea
el tratamiento en las actividades principales del responsable o
del encargado del tratamiento, más graves serán las
irregularidades en este tratamiento. La autoridad de control
podrá conceder más peso a este factor en estas
circunstancias. En el presente caso, el tratamiento de datos
personales para tramitar cambios de titularidad y de
comercializadora constituye una actividad esencial y nuclear
de una empresa comercializadora de energía, por lo que
cualquier inexactitud en la identificación del punto de
suministro tiene un impacto directo en la correcta prestación
del servicio.
iv. El número de interesados concretamente, pero también
potencialmente afectados: Las citadas Directrices indican que
cuanto mayor sea el número de interesados implicados, mayor
será el peso que la autoridad de control pueda atribuir a este
factor. Y que, en muchos casos, también puede considerarse
que la infracción adquiere connotaciones «sistémicas» y, por lo
tanto, puede afectar, incluso en momentos diferentes, a otros
interesados que no hayan presentado reclamaciones o
informes a la autoridad de control. Y que, dependiendo de las
circunstancias del caso, la autoridad de control podrá
considerar la relación entre el número de interesados
afectados y el número total de interesados en ese contexto
(por ejemplo, el número de ciudadanos, clientes o empleados),
a fin de evaluar si la infracción es de carácter sistémico. En el
presente caso, aunque la incidencia afectó de forma directa
únicamente al reclamante, la utilización de un CUPS incorrecto
para tramitar un cambio contractual evidencia un riesgo
potencial de impacto sobre otros interesados si no se
refuerzan los controles internos relacionados con la
verificación de los datos esenciales del suministro. En este
sentido, la falta de verificación del CUP suministrado por los
clientes tiene capacidad de reproducirse en otros supuestos, lo
que le conferiría un cierto carácter sistémico a efectos de
valoración, en la medida en que el proceso afectado forma
parte de la operativa ordinaria de la parte reclamada.
v. El nivel del perjuicio sufrido y la medida en que el
comportamiento puede afectar a los derechos y libertades
individuales: las citadas Directrices indican que, de
conformidad con el considerando 75 del RGPD, el nivel de los
daños sufridos se refiere a los daños físicos, materiales o
inmateriales. En el presente caso, el reclamante sufrió un
perjuicio inmaterial en la medida en que el cambio de
comercializadora sin su consentimiento generó incertidumbre
y afectación a la correcta gestión de su suministro eléctrico y
la recuperación del contrato que venía disfrutando con su
comercializadora con carácter previo a dicho cambio.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/47

a) La duración de la infracción: las citadas Directrices disponen que, en
general, una autoridad de control puede atribuir más peso a una
infracción de mayor duración. Y señalan que una determinada conducta
podría haber sido ilícita también en el marco regulador anterior,
añadiendo así un elemento adicional para evaluar la gravedad de la
infracción. Y que cuanto mayor sea la duración de la infracción, mayor
será el peso que la autoridad de control pueda atribuir a este factor. En
el presente caso, ha quedado acreditado que la infracción ha tenido
lugar entre el 26 de enero de 2023 y el 7 de marzo de 2023, fecha en la
que se restableció el contrato original del reclamante.

En cuanto al carácter intencional o negligente de la infracción, en el presente caso
esta Agencia ya ha indicado en numerosas ocasiones que no considera que hubiera
existido voluntad de infringir por parte de GAOLANIA, sino que considera que ésta ha
actuado de forma gravemente negligente. Al respecto, las citadas Directrices indican
que, en función de las circunstancias del caso, la autoridad de control también podrá
ponderar el grado de negligencia. GAOLANIA es una gran empresa que debe velar por
los derechos y libertades de sus clientes y terceros, entre otros, el derecho
fundamental a la protección de sus datos personales. En el presente caso, esta
Agencia considera que no ha sido diligente a la hora de verificar que los datos
proporcionados para realizar un cambio de comercializadora sean correctos. En
especial, teniendo en cuenta que se trata no solo de una empresa de la que cabría
exigir una mayor profesionalidad, sino que es una entidad habituada al tratamiento de
datos personales. En este sentido, resulta muy ilustrativa, la SAN de 17 de octubre de
2007 (rec. 63/2006), la cual indica que “…el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del
grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto,
y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la
recurrente es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto”.

Negar la concurrencia de una actuación negligente por parte de GAOLANIA
equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente.
Obviamente, no se comparte esta perspectiva de los hechos, puesto que ha quedado
acreditada la falta de diligencia debida con carácter previo a la tramitación del cambio
de comercializadora, al no haberse verificado correctamente el CUPS proporcionado
por el cliente antes de cursar la solicitud, lo que dio lugar a la activación de una
operación sobre un punto de suministro incorrecto y sin el consentimiento del
reclamante.

Por otra parte, GAOLANIA alega que la AEPD no ha considerado, a la hora de graduar
las sanciones propuestas, la aplicación de todas las circunstancias atenuantes que se
dan, a su juicio, en las conductas objeto de este procedimiento.

En cuanto a la afirmación de GAOLANIA de que se procedió de forma inmediata a la
reposición del punto de suministro, debe precisarse que esta acción constituye una
obligación derivada del propio error que ha motivado el presente procedimiento. Tal y
como señalan las directrices citadas, “en caso de infracción, el responsable o el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/47

encargado del tratamiento debe hacer todo lo que esté a su alcance para paliar las
consecuencias de la violación para los individuos afectados”. Es decir, la reposición no
puede considerarse un acto voluntario de diligencia, sino el cumplimiento de una
obligación de corrección y mitigación impuesta por la normativa ante la vulneración del
principio de exactitud de los datos.

Respecto a que no existe ningún tipo de infracción anterior cometida por GAOLANIA,
las citadas directrices señalan al respecto lo siguiente: “la ausencia de infracciones
anteriores no puede considerarse un factor atenuante, ya que el cumplimiento del
RGPD es la norma. Si no se han cometido infracciones anteriores, este factor puede
considerarse neutro.”

En cuanto a la cooperación de GAOLANIA con esta Agencia facilitando la información
relativa a los hechos desde la primera notificación de la reclamación, no se considera
atenuante. La contestación al trámite de traslado de la reclamación es una facultad
que beneficia al propio reclamado porque le da la oportunidad de llevar a cabo las
manifestaciones que considere oportunas frente a la reclamación formulada. No
obstante, la información aportada posteriormente en el marco de las actuaciones
previas de investigación responde al cumplimiento de una obligación legal imperativa y
no a una colaboración voluntaria que pueda considerarse un atenuante.

En este sentido, el artículo 58.1.a) del RGPD confiere a la Agencia poderes de
investigación, facultándola expresamente para “ordenar al responsable y al encargado
del tratamiento, y, en su caso, al representante del responsable o del encargado, que
faciliten cualquier información que requiera para el desempeño de sus funciones”. Por
lo que atender a los requerimientos de información formulados por esta Agencia
durante la fase de investigación constituye una obligación del reclamado, cuyo
incumplimiento está tipificado como una infracción en el artículo 83.5.e) del RGPD: “el
incumplimiento de una resolución o de un requerimiento de la autoridad de control”.

También, el artículo 72.1.ñ) de la LOPDGDD califica como infracción muy grave a los
solos efectos de la prescripción la obstrucción o la negativa a facilitar información
requerida por la autoridad, determinando el plazo de prescripción de tres años para
este tipo de conductas, lo que implica el carácter obligatorio de prestar colaboración.

Por último, esta Agencia desea señalar que no puede considerarse la falta de
beneficios obtenidos por parte de GAOLANIA como una atenuante. La Sentencia de la
Audiencia Nacional, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por otro
lado, que debe apreciarse como atenuante la no comisión de una infracción anterior.
Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la
imposición de la multa administrativa, entre otras, la circunstancia "e) toda infracción
anterior cometida por el responsable o el encargado del tratamiento". Se trata de una
circunstancia agravante, el hecho de que no concurra el presupuesto para su
aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni
permite, como pretende la actora, su aplicación como atenuante”. Aplicado al presente
procedimiento sancionador, la falta del presupuesto para su aplicación respecto del art.
76.2.c) de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no
permite su aplicación como atenuante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/47

Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto
en el artículo 83.2.k) del RGPD, según el cual las multas administrativas se impondrán
teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las
circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar
una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios.

Si a esto se añade que las sanciones deberán ser en cada caso individual efectivas,
proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD,
admitir la ausencia de beneficios como una atenuante, no solo es contrario a los
presupuestos de hecho contemplados en el artículo 76.2.c), sino también contrario a lo
establecido en el artículo 83.2.k) del RGPD y a los principios señalados.

Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que
inciden efectivamente en su cuantificación. En todo caso, las multas administrativas
establecidas en el RGPD, conforme a lo establecido en su artículo 83.2, se imponen
en función de las circunstancias de cada caso individual y no se estima que la
ausencia de beneficios sea un factor de graduación adecuado y determinante para
valorar la gravedad de la conducta infractora.

Por último, cabe hacer referencia a la jurisprudencia que menciona GAOLANIA como
la “Sentencia de la Audiencia Nacional de fecha 3 de octubre de 2024” con número de
referencia “ECLI: ES:AN:2024:4885” para cuestionar la aplicación del artículo 83.2.a)
del RGPD, esta Agencia debe señalar que dicha sentencia no puede ser localizada
una sentencia con el párrafo mencionado por ese número de referencia ni fecha que
señala la reclamada. No obstante, cabe señalar que esta Agencia no está de acuerdo
con la aplicación del supuesto párrafo atribuido a la Audiencia Nacional al presente
supuesto. La presente resolución se fundamenta en los criterios actuales y vigentes de
las Directrices 04/2022 sobre el cálculo de las multas administrativas, que establecen
una metodología específica para valorar la gravedad de la infracción según su
naturaleza. Así, una sentencia de la Audiencia Nacional de 2024 revisaría resoluciones
sancionadoras anteriores a la adopción de las mencionadas directrices, por lo que no
cabe invocar una sentencia que no tiene en cuenta los criterios que se rigen a nivel
europeo en la actualidad. Además, como ya se ha analizado anteriormente,
GAOLANIA insiste en considerar los elementos del artículo 83.2.a) como
circunstancias agravantes, cuando las Directrices 04/2022 los consideran como
elementos que permiten valorar el punto de partida respecto de la gravedad de una
infracción

Por todo lo anteriormente expuesto, se desestima la presente alegación.

TERCERA: El agravante valorado por la propuesta de resolución ya ha sido incluido
para valorar la infracción.

GAOLANIA prosigue su escrito de alegaciones señalando que: “En estrecha relación
con el punto anterior, debemos indicar que, al no entrar a valorar el contenido del
apartado tercero del escrito de alegaciones de 6 de enero de 2025, la Propuesta de
Sanción tampoco se pronuncia sobre los argumentos esgrimidos frente a los
agravantes apreciados en el Acuerdo de Incoación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/47

No obstante, la Propuesta de Resolución considera como agravante a efectos de
graduar la sanción: “La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): La
evidente vinculación entre la actividad empresarial de GAOLANIA SERVICIOS y el
tratamiento de datos personales. Para su actividad GAOLANIA SERVICIOS se
desenvuelve como comercializadora de energía eléctrica necesita tratar datos de
carácter personal, lo que repercute en el nivel de riesgo que entrañan los tratamientos
que lleva a cabo, tanto para clientes como para terceros”.

Sin embargo, la vinculación de la actividad principal de ***EMPRESA.2, como es la
comercialización de servicio de energía y la consideración que el tratamiento de datos
personales se circunscribe dentro de las actividades básicas del Responsable de
Tratamiento conforme a la directrices 4/2022 del Comité Europeo de Protección de
Datos (CEPD) ya ha sido valorado por la Propuesta de Resolución como circunstancia
para valorar la naturaleza y gravedad de la infracción, por lo que no puede ser
igualmente valorada como una circunstancia agravante.

En este sentido, la Sentencia de la Audiencia Nacional de 3 de octubre de 2024 (ECLI:
ES:AN:2024:4885) pese a que se trata de otra circunstancia indebidamente empleada
como agravante, el Tribunal resuelve que en numerosas ocasiones se ha pronunciado
sobre este extremo, no siendo posible aplicar la circunstancia como agravación
cuando por si sola forma parte del propio tipo infractor.”

Respecto a que se considere como agravante el hecho de que la actividad de
GAOLANIA esté vinculada a la realización de tratamientos de datos personales, esta
Agencia desea señalar que el artículo 83.2 del RGPD dispone que “Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se tendrá
debidamente en cuenta: (…) k) cualquier otro factor agravante o atenuante aplicable a
las circunstancias del caso…”.

En este sentido, el legislador español ha considerado incluir en el artículo 76 de la
LOPDGDD que: “2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento
(UE) 2016/679 también podrán tenerse en cuenta:
(…)
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.”

Esta Agencia simplemente toma en consideración esa circunstancia, prevista por el
legislador, a la hora de decidir la imposición de la multa administrativa.

Cabe destacar que, por supuesto, no puede tener a los efectos de decidir la imposición
de una multa administrativa la misma consideración una infracción producida por una
persona física o una empresa pequeña no habituada al tratamiento de datos
personales, que una empresa como GAOLANIA, acostumbrada al tratamiento de
datos personales de cientos de clientes y no clientes. Por supuesto que se considera
que la infracción es más grave a los efectos de imponer una multa si el responsable
del tratamiento se encuentra entre los segundos, como es el caso de GAOLANIA. Así
lo ha señalado la Audiencia Nacional en su SAN 65/2017, de siete de febrero de dos
mil diecisiete, al recoger la doctrina del Tribunal Supremo, "en la valoración del grado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/47

de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso examinado, cuando la actividad de la recurrente es de
constante y abundante manejo de datos de carácter personal ha de insistirse en el
rigor y exquisito cuidado por ajustarse a las prevenciones legales al respecto".

Por todo lo anteriormente expuesto, se desestima la presente alegación.

CUARTA: Adopción de nuevas medidas internas adicionales.

GAOLANIA manifiesta que: “de conformidad con el escrito inicial de respuesta de 14
de junio, adoptó las siguientes medidas de control: “a) El Dpto. de Calidad realizará
llamadas de verificación a los clientes, antes de proceder al cambio de
comercializadora, para confirmar que los datos aportados por este son correctos (ver
ANEXO 3)”. De forma adicional, tras la Propuesta de Resolución, mi representada a
adoptado las siguientes medidas adicionales:
a) Verificación a través de SIPS y P0 en caso de error o falta de datos.
b) En caso de discrepancia o ausencia de datos en el archivo SIPS se
procede a detener la tramitación del contrato de forma automática, por lo que no
se procede a la solicitud de cambio de comercializadora hasta que proceda la
llamada de verificación.
c) Campaña especial de llamadas de verificación. En el supuesto de falta de
datos de SIPS que permita cotejar los datos facilitados por el cliente con los
existentes en la base de datos de la distribuidora, la incidencia creada de forma
automática por el sistema irá a una campaña especial de llamadas de verificación.
Es decir, el personal dispondrá de una campaña específica para realizar llamadas
por este motivo, de forma que no entren en cola de llamadas de verificación y la
tarea tenga prioridad.

A estos efectos, solicita esta parte que tenga por adoptado y acreditado la adopción de
medidas adicionales que garanticen el cumplimiento de lo dispuesto en el artículo
5.1.d) RGPD a fin de evitar que se reitere un supuesto o incidente como el de la
reclamación objeto del presente procedimiento sancionador.”

Habiéndose recibido en el escrito de alegaciones la información de que GAOLANIA ha
adoptado las medidas necesarias para que no se vuelvan a producir los hechos
determinantes de la infracción cometida, por parte de esta Agencia se acusa recibo del
mismo, sin que esta declaración suponga ningún pronunciamiento sobre la regularidad
o licitud de las medidas adoptadas.

Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio
de responsabilidad proactiva cuando señala que “El responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrarlo”. Este principio hace referencia a la obligación que recae en el
responsable del tratamiento no solo de diseñar, implementar y observar las medidas
jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea
acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el
ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además
capaz de demostrarlo.

Por todo lo anteriormente expuesto, se estima la presente alegación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/47

VI Tipificación de la infracción y calificación a los efectos de la prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)."

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679."

VII Sanción que se acuerda imponer a GAOLANIA

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/47

b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en el afectado,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/47

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de
GAOLANIA SERVICIOS fue de 172.191.969 € en 2023.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que procede graduar la sanción a imponer de acuerdo con las
circunstancias siguientes, contempladas en los preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(artículo 83.2, letra a), del RGPD): GAOLANIA SERVICIOS llevó a cabo el tratamiento
del número de CUPS vinculado a la reclamante desde el 26 de enero de 2023 hasta el
07 de marzo de 2023, fecha en que se tramitó el alta de la reclamante en su anterior
compañía, asignándoselo a un tercero, cliente suyo, sin verificar la exactitud de tal
dato.

Las Directrices 4/2022 del Comité Europeo de Protección de Datos (CEPD) para el
cálculo de las multas administrativas bajo el RGPD, adoptadas el 24 de mayo de 2023,
indican que la “finalidad del tratamiento” llevará a la autoridad de control a atribuir
mayor peso a la gravedad de la infracción.

Las Directrices precisan en ese sentido que “La autoridad de control también podrá
considerar si el tratamiento de datos personales se inscribe en las denominadas
actividades básicas del responsable del tratamiento. Cuanto más central sea el
procesamiento para las actividades principales del responsable o del encargado, más
graves serán las irregularidades en este procesamiento. La autoridad de control podrá
atribuir más peso a este factor en estas circunstancias.” (El subrayado es nuestro)

Teniendo en cuenta tales directrices, la gravedad de las irregularidades se manifiesta
habida cuenta de que la finalidad del tratamiento en el que se vulneró el RGPD se
enmarcaba en las actividades principales de GAOLANIA SERVICIOS, como es la
comercialización del servicio de energía eléctrica, en particular con ocasión del
contrato de suministro eléctrico con cambio de comercializadora que llevó a cabo.

- La intencionalidad o negligencia en la infracción (artículo 83.2, letra b), del RGPD):
La parte reclamada ha obrado con una grave falta de diligencia en el tratamiento que
realizó durante la actividad que es propia de su negocio, al no realizar ninguna
comprobación adicional una vez se le proporcionó un CUPS distinto en las dos
llamadas con su cliente.
Sobre el grado de diligencia que está obligada a desplegar en el cumplimiento de la
normativa de protección de datos, cabe citar la SAN de 17/10/2007 (recurso 63/2006),
que pese a haberse dictado bajo la vigencia de la anterior normativa resulta
plenamente aplicable. Se recoge en ella que “[...] el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/47

valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad
o no del sujeto, [...] (El subrayado es nuestro)

Nos remitimos a las consideraciones realizadas en este sentido en el Fundamento de
Derecho sobre el artículo infringido.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (artículo 76.2, letra b), de la LOPDGDD): La evidente vinculación entre la
actividad empresarial de GAOLANIA SERVICIOS y el tratamiento de datos
personales. Para su actividad GAOLANIA SERVICIOS se desenvuelve como
comercializadora de energía eléctrica necesita tratar datos de carácter personal, lo que
repercute en el nivel de riesgo que entrañan los tratamientos que lleva a cabo, tanto
para clientes como para terceros.

No se aprecia la concurrencia de circunstancias atenuantes.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6.1 del RGPD, permite proponer una sanción de multa administrativa de
30.000,00 euros.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos
RESUELVE:

PRIMERO: IMPONER a GAOLANIA SERVICIOS, S.L., con NIF B98717457, por una
infracción del Artículo 5.1.d) del RGPD, tipificada en el Artículo 83.5 del RGPD, una
multa de 30.000,00 euros.

SEGUNDO: NOTIFICAR la presente resolución a GAOLANIA SERVICIOS, S.L.

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/47

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es