1/16
Expediente Nº: EXP202307313
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 31 de julio de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a CURENERGÍA
COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. (en adelante, la parte
reclamada), mediante el Acuerdo que se transcribe:
<<
Expediente N.º: EXP202307313
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes:
HECHOS
PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 13 de abril de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra CURENERGÍA COMERCIALIZADOR DE ÚLTIMO
RECURSO, S.A.U. con NIF A95554630 (en adelante, la parte reclamada o
Curenergía). Los motivos en que basa la reclamación son los siguientes:
La parte reclamante manifiesta que fue cliente de Curenergía hasta el año 2021, que
posteriormente con fecha 12 de abril de 2022 contacto por e-mail con dicho
comercializador del último recurso de electricidad (***EMAIL.1) para darse de alta de
nuevo con Curenergía.
Añade que Curenergía ya tenía los datos del suministro por haber sido anteriormente
cliente de dicha empresa por lo que en el área de atención al cliente vía telefónica solo
le pidieron algunos de sus datos para confirmar si eran los mismos (potencias, número
de cuenta y teléfono), mientras que los otros datos (DNI, nombre, dirección postal) no
los proporcionó.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/16
En la confirmación de los datos que le solicitaron, recibió un correo de ***EMAIL.1
indicando que "Le confirmo que acabo de enviar a su correo electrónico la póliza con
firma electrónica".
Asimismo, recibió un correo electrónico de "***EMAIL.2" para que firmara
electrónicamente el contrato PDF, remitido por Iberdrola Clientes.
Así las cosas, el reclamante señala que Curenergia cedió sin su consentimiento todos
sus datos (DNI, IBAN, Nombre, apellidos, dirección) a Iberdrola Clientes para que
formalizará el contrato de suministro de electricidad con esta última, no habiendo
mantenido nunca ningún tipo de relación con Iberdrola Clientes.
Junto a la notificación se aporta la siguiente documentación:
Correo electrónico de fecha 12 de abril de 2023, dirigido por el reclamante a
***EMAIL.3, donde se indica lo siguiente:
<<Tuve ente contrato Referencia del contrato de suministro (CURENERGÍA
COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U.): ***TELÉFONO.1 con
CURENERGIA que actualmente está con otra comercializadora. Lo quería volver a
poner con CURENERGIA en PVPC>>.
Contestación de Curenergía Clientes de fecha 12 de abril de 2023:
<<Le confirmamos que hemos recibido su correo electrónico y que hemos iniciado las
gestiones necesarias para responderle lo antes posible>>.
Correo electrónico de Curenergía Clientes de fecha 12 de abril 2023 dirigido al
reclamante:
<<Para realizar la gestión que solicita es necesario que me indique, si es tan amable,
los siguientes datos: El nombre de la comercializadora con la que está en la
actualidad. Si es usted el titular que consta en la actualidad o si va a cambiar. Cuenta
bancaria en la que desea domiciliar el pago. Teléfono de contacto. Potencia contratada
en cada uno de los tramos, punta y valle. Si desea recibir la correspondencia por
correo ordinario o electrónico y dirección.
Correo electrónico del reclamante de fecha 12 de abril de 2023:
<<El nombre de la comercializadora con la que está en la actualidad: NATURGY Si es
usted el titular que consta en la actualidad o si va a cambiar: MISMO TITULAR Cuenta
bancaria en la que desea domiciliar el pago: ***PAGO.1 Teléfono de contacto:
***TELÉFONO.2 Potencia contratada en cada uno de los tramos, punta y valle: Sin
cambios: PUNTA 0,100 kW y VALLE 0,700 kW Si desea recibir la correspondencia por
correo ordinario o electrónico y dirección: POR EMAIL ***EMAIL.4>>
Correo electrónico de Curenergía Clientes de fecha 12 de abril, 13:10 dirigido al
reclamante:
<<Le confirmo que acabo de enviar a su correo electrónico la póliza con firma
electrónica para que si está conforme y los datos son correctos le pido que siga estos
sencillos pasos: Recibirá un mail con un link al documento para que pueda visualizarlo
desde su dispositivo. Al hacer clic en el enlace le redirigirá a una web, donde deberá
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/16
permitir el acceso pulsando sobre el check "Empezar". Esta pantalla sólo le aparecerá
en su primer acceso. Accederá a la plataforma para visualizar el PDF con la oferta y, al
final del documento podrá aceptar la oferta o rechazarla>>.
Correo electrónico de Iberdrola Clientes para el reclamante de fecha 12 de abril de
2023, 13:06 dirigido al reclamante:
<<Estimado/a A.A.A., Le agradecemos su interés en contratar con Iberdrola. Para ver
y firmar la oferta y sus condiciones, pinche el botón Ver documento de este correo
electrónico. Una vez abierto el documento, avance hasta la última página y seleccione
la opción Aceptar y Firmar. Después de firmarlo, recibirá una copia del documento en
su correo electrónico>>.
Contrato remitido por Iberdrola Clientes, S.A.U. al reclamante de fecha 12 de abril de
2023, donde figuran los siguientes datos:
<<CONTRATO DE SUMINISTRO DE ELECTRICIDAD PARTES CONTRATANTES
Empresa comercializadora: IBERDROLA CLIENTES, S.A.U. C.I.F.: A95758389
Domicilio Social: Plaza Euskadi 5, 48009 Bilbao Teléfono Atención al Cliente:
***TELÉFONO.3 / ***TELÉFONO.4 IBERDROLA CLIENTES, S.A.U. está autorizada
por la Dirección General de Política Energética y Minas del Ministerio de Energía,
Turismo y Agenda Digital para la actividad de comercialización de energía eléctrica y
gas natural. CLIENTE Apellidos y Nombre/Razón Social: A.A.A. NIF: ***NIF.1 Fecha
Nacimiento: DIRECCIÓN DE SUMINISTRO Dirección del suministro: ***DIRECCIÓN.1
CONDICIONES PARTICULARES PRODUCTOS Y SERVICIOS QUE SE
CONTRATAN Plan Estable Electricidad CONDICIONES DEL SUMINISTRO Tipo de
contrato: Normal Tensión: 1X230 V Tarifa de acceso: BT 2.0 TD Modo 1 Potencia
Contratada: Punta: 100 W Valle: 700 W CUPS: ***CUPS.1 Empresa Distribuidora:
UFD Distribución de Electricidad, S.A. Atención Averías de Red: XXXXXXXXX
CONDICIONES ECONÓMICAS PRECIO DE ELECTRICIDAD Término de Potencia
Punta: 34,504864 €/kW y año Término de Potencia Valle: 6,377714 €/kW y año
Término de Energía: 0,201984 €/kWh A los precios se añadirá el coste>>
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 1 de junio de 2023 como
consta en el acuse de recibo que obra en el expediente.
No se ha recibido respuesta a este escrito de traslado.
TERCERO: Con fecha 13 de julio de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/16
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
1. En relación con los hechos reclamados, los representantes de IBERDROLA
CLIENTES en contestación al requerimiento de esta Agencia, con fecha 6 de
octubre de 2023, realizan las siguientes manifestaciones:
El artículo 12.3 de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico,
establece dentro del marco de regulación de la separación de actividades, que “las
empresas distribuidoras y las empresas comercializadoras de referencia que
formen parte de un grupo de sociedades que desarrolle actividades reguladas y
libres en los términos previstos en la presente ley, no crearán confusión en su
información y en la presentación de su marca e imagen de marca respecto a la
identidad propia de las filiales de su mismo grupo que realicen actividades de
comercialización”.
Como consecuencia de la citada previsión, IBERDROLA CLIENTES y
CURENERGIA COMERCIALIZADORA DE ÚLTIMO RECURSO, S.A.U (en
adelante “CURENERGIA”) no mantienen ningún tipo de relación en el tratamiento
de los datos personales de sus clientes.
Cada una de las dos comercializadoras mantiene sus propios tratamientos, sin que
exista ningún tipo de confusión o permeabilidad entre ambos, de forma que cada
una de las comercializadoras únicamente trata la información de sus propios
clientes y no trata dato personal alguno de quienes no ostenten dicha condición.
Ambas entidades pertenecen al Grupo Iberdrola y ambas mantienen vínculos con
un mismo proveedor de servicios para la atención telefónica a los clientes de las
dos sociedades, que actúa como encargado del tratamiento de ambas sociedades.
En estos casos, el Grupo Iberdrola ha adoptado las medidas precisas para
garantizar el cumplimiento de las obligaciones relacionadas con la separación de
actividades. Las líneas de atención telefónica a los clientes de IBERDROLA
CLIENTES son distintas a las que CURENERGIA pone a disposición de sus
clientes, habiéndose establecido un sistema que permite al operador conocer si el
interesado ha solicitado la atención de una u otra entidad.
Los operadores tienen instrucciones expresas relacionadas con la prohibición de
acceso cruzado a las bases de datos de las entidades, de modo que en caso de
que el interesado se haya puesto en contacto a través del número telefónico de
CURENERGIA, está expresamente prohibido acceder a las bases de datos de
IBERCLI, así como de facilitarle cualquier tipo de información relacionada con esta
entidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/16
En relación con el supuesto concreto objeto de reclamación, y teniendo en
consideración el contenido de la información incorporada al requerimiento, la
secuencia de los hechos es la siguiente:
• El día 12 de abril de 2023 el reclamante se puso en contacto con
CURENERGIA para la celebración de un contrato con la misma,
• Ese mismo día, CURENERGIA solicita del interesado una serie de
documentos, que le son remitidos por el reclamante. El comercial de
CURENERGIA informa al reclamante de que le va a remitir el contrato para su
firma.
• En esa misma fecha, se remite al reclamante el contrato, no obstante se
produce un error en la actuación del comercial y remite un contrato de IBERCLI
y no de CURENERGIA.
• El contrato con IBERCLI quedó sin efecto como consecuencia de la
contratación por el Reclamante del suministro con otra comercializadora el día
14 de abril de 2023.
De este modo, en el proceso de remisión del contrato al reclamante se produjo un
error por parte de la persona que atendió la petición, como consecuencia del cual
se produjo una confusión entre las dos entidades a las que prestaba servicios el
operador.
La subsanación de dicho error se produjo de forma inmediata, mediante la
anulación del contrato celebrado con IBERDROLA CLIENTES.
En relación con el proveedor de servicios para la atención telefónica de clientes
compartido entre, IBERDROLA CLIENTES y CURENERGIA, los representantes de
IBERDROLA CLIENTES manifiestan que no mantienen ningún tipo de relación en
el tratamiento de los datos personales de los clientes de cada una de las
entidades.
Cada una de las dos comercializadoras mantiene sus propios tratamientos, sin que
exista ningún tipo de confusión o permeabilidad entre ambos, de forma que cada
una de las comercializadoras únicamente trata la información de sus propios
clientes y no trata dato personal alguno de quienes no ostenten dicha condición.
En todo caso, dada la pertenencia al Grupo Iberdrola de ambas compañías, ambas
mantienen, en ocasiones, vínculos con un mismo proveedor de servicios. Así
sucede en el caso de la atención telefónica a los clientes de ambas sociedades,
que es desarrollada en ambos casos por un mismo proveedor del servicio de
contact center, que actuará como encargado del tratamiento de ambas sociedades.
Aportan copia del contrato suscrito por IBERCLI y UNÍSONO SOLUCIONES DE
NEGOCIO
Los representantes de la entidad aportan copia de instrucciones expresas
relacionadas con la prohibición de acceso cruzado a las bases de datos de las
entidades. Las líneas de atención telefónica a los clientes IBERCLI son distintas a
las que CURENERGIA pone a disposición de sus clientes, habiéndose establecido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/16
un sistema que permite al operador conocer si el interesado ha solicitado la
atención de una otra.
En esta guía figuran previsiones expresas relacionadas con la prohibición de
acceso por el operador, en caso de que el interesado se haya puesto en contacto
con el mismo a través del número telefónico de CURENERGIA, de acceder a las
bases de datos de IBERCLI, así como de facilitarle cualquier tipo de información
relacionada con esta entidad.
Para acreditar la evidencia de la anulación del contrato celebrado por error con
IBERDROLA CLIENTES. aportan pantallazo del sistema de IBERCLI donde se
evidencia la anulación del contrato celebrado por error con el reclamante
1. Los representantes de Curenergía indican lo siguiente el día 9 de octubre de 2023,
ante el requerimiento de esta Agencia:
En relación con el supuesto concreto objeto de reclamación, la secuencia de los
hechos es la siguiente:
• El día 12 de abril de 2023 D. A.A.A. (en adelante, “el Reclamante”) se
puso en contacto con CURENERGIA para la celebración de un contrato
con la misma,
• Ese mismo día, CURENERGIA solicita del interesado una serie de
documentos, que le son remitidos por el Reclamante. El comercial de
CURENERGIA informa al Reclamante de que le va a remitir el contrato
para su firma.
• En esa misma fecha, se remite al Reclamante el contrato, si bien se
produce un error en la actuación del comercial y remite un contrato de
IBERCLI y no de CURENERGIA.
• Inmediatamente después de recibirlo, el Reclamante se pone en contacto
con la entidad, indicando ese mismo día que el contrato remitido es de
IBERCLI y no de CURENERGIA. Desde CURENERGIA se da respuesta al
citado correo tan solo tres horas después, solicitando disculpas del
Reclamante e indicándole que se trata de un error.
• Finalmente, el día 13 de abril de 2023, es decir, sólo dos días después de
haberse producido el mencionado error, el Reclamante suscribe el contrato
de suministro eléctrico número ***CONTRATO.1 con CURENERGIA.
De este modo, en el proceso de remisión del contrato al reclamante se produjo
un error por parte de la persona que atendió la petición, como consecuencia
del cual se produjo una confusión entre las dos entidades a las que prestaba
servicios el operador.
La subsanación de dicho error se produjo mediante la celebración del contrato
solicitado a CURENERGIA.
QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
Curenergía es una gran empresa constituida en el año 2008, y con un volumen de
negocios de 2.177.703.000 euros en el año 2022.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/16
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Obligación Incumplida
Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del
artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/16
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.
Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala
que:
“1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;
“11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen”.
En el presente caso, resulta acreditado que la parte reclamada, vulneró el artículo 6.1
del RGPD. toda vez que realizó el tratamiento de los datos personales de la parte
reclamante (NIF, domicilio, código universal de punto de suministro, correo electrónico,
número de móvil, datos bancarios), sin legitimación para ello. Los datos personales
fueron incorporados por Curenergía a los sistemas de información de Iberdrola
Clientes, sin que haya acreditado que dispusiera de base legal para la recogida y el
tratamiento posterior de sus datos personales por parte de Iberdrola Clientes, tal como
se acredita en que los datos del reclamante fueron incorporados en el contrato
remitido por Iberdrola Clientes, S.A.U. al reclamante de fecha 12 de abril de 2023,
donde figuran los siguientes datos:
<<CONTRATO DE SUMINISTRO DE ELECTRICIDAD PARTES CONTRATANTES
Empresa comercializadora: IBERDROLA CLIENTES, S.A.U. C.I.F.: A95758389
Domicilio Social: Plaza Euskadi 5, 48009 Bilbao Teléfono Atención al Cliente:
***TELÉFONO.3 / ***TELÉFONO.4 IBERDROLA CLIENTES, S.A.U. está autorizada
por la Dirección General de Política Energética y Minas del Ministerio de Energía,
Turismo y Agenda Digital para la actividad de comercialización de energía eléctrica y
gas natural. CLIENTE Apellidos y Nombre/Razón Social: A.A.A. NIF: ***NIF.1 Fecha
Nacimiento: DIRECCIÓN DE SUMINISTRO Dirección del suministro: ***DIRECCIÓN.1
CONDICIONES PARTICULARES PRODUCTOS Y SERVICIOS QUE SE
CONTRATAN Plan Estable Electricidad CONDICIONES DEL SUMINISTRO Tipo de
contrato: Normal Tensión: 1X230 V Tarifa de acceso: BT 2.0 TD Modo 1 Potencia
Contratada: Punta: 100 W Valle: 700 W CUPS: ***CUPS.1 Empresa Distribuidora:
UFD Distribución de Electricidad, S.A. Atención Averías de Red: XXXXXXXXX
CONDICIONES ECONÓMICAS PRECIO DE ELECTRICIDAD Término de Potencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/16
Punta: 34,504864 €/kW y año Término de Potencia Valle: 6,377714 €/kW y año
Término de Energía: 0,201984 €/kWh A los precios se añadirá el coste>>
Dicho contrato fue remitido a través de la dirección de correo ***EMAIL.5, dirección no
perteneciente a la parte reclamada y correspondiente a una entidad distinta que no
participó en el proceso de contratación con la parte reclamante, lo cual manifiesta el
tratamiento indebido de los datos.
En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya
acreditado que cuente con la habilitación legal para ello.
A este respecto, y esto es lo esencial, la reclamada no acredita la legitimación para la
cesión de los datos de la parte reclamante a Iberdrola Clientes.
La parte reclamada manifiesta ante el requerimiento de esta Agencia con fecha 9 de
octubre de 2023 que Curenergía e Iberdrola Clientes tienen subcontratado el servicio
de atención al cliente a la misma entidad.
Ambos operadores pueden acceder a las bases de datos de clientes de ambas
entidades de forma simultánea, pero tienen instrucciones expresas de que cuando se
recibe una llamada por un teléfono de una de las entidades no acceder ni facilitar
información relativa a la otra.
La parte reclamada afirma que los hechos objeto de la reclamación se debió a un error
del comercial, el cual quedo subsanado tras haberles comunicado el afectado lo
sucedido. No obstante, dicha circunstancia no desvirtúa que el tratamiento indebido se
haya producido, ni subsana la falta de legitimación al realizar dicho tratamiento.
En este sentido, el artículo 6.1 RGPD dice que el tratamiento “será lícito si es
necesario para la ejecución de un contrato en el que el interesado es parte”.
Por tanto, Curenergía, ha reconocido la existencia de una actuación incorrecta en la
gestión de los datos de la parte reclamante, cuya consecuencia fue que una entidad
ajena a la operación tuviera acceso a los datos personales de la parte reclamante sin
consentimiento de ésta.
A la vista de lo anterior, la parte reclamada no logra acreditar que se actuara
diligentemente y por consiguiente hubo un tratamiento ilícito de los datos personales
de la parte reclamante, contraviniendo con el ello el artículo 6 del RGPD.
En este sentido el Considerando 40 del RGPD señala:
“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a derecho, ya sea en el presente Reglamento, incluida la necesidad de cumplir la
obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un
contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia
del interesado con anterioridad a la conclusión de un contrato.”
Por lo expuesto, sin perjuicio de lo que resulte en la instrucción del procedimiento, se
desprende la existencia de un tratamiento ilícito de los datos personales de la parte
reclamante, consistente en la cesión de datos de esta a una entidad no autorizada, lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/16
cual conlleva un incumplimiento del principio de licitud previsto en el citado artículo 6.1
del RGPD.
III
Tipificación y calificación de la infracción
La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.
IV
Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/16
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/16
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a
imponer a la reclamada, como responsable de una infracción tipificada en el artículo
83.5.a) del RGPD, en una valoración inicial, se estiman concurrentes los siguientes
factores:
- La gravedad de la infracción teniendo en cuenta el alcance de la operación de
tratamiento, circunstancia prevista en el artículo 83.2.a) RGPD.
Circunstancia significativa en el supuesto examinado en el que incide que fue un
contrato de suministro de electricidad, al que la reclamada habría vinculado los datos
personales de la parte reclamante. En este sentido, la gravedad del alcance de la
operación se manifiesta en la cesión de los datos a un tercero que no estaba
autorizado y respeto a la cuál la parte reclamante no había prestado su
consentimiento.
- “La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales”, circunstancia prevista en el artículo 76.2.b) LOPDGDD en conexión
con el artículo 83.2.k) RGPD.
La actividad empresarial de la reclamada trata necesariamente datos personales,
siendo una de las compañías de luz más importantes de España. Esta característica
de su actividad empresarial repercute, reforzándola, en la diligencia que debe
desplegar en el cumplimiento de los principios que presiden el tratamiento de datos de
carácter personal y en la calidad y eficacia de las medidas técnicas y organizativas
que debe tener implementadas para garantizar el respeto del derecho fundamental.
La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que,
respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos
de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.”
Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 100.000
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/16
€ por la infracción del artículo 83.5 a) RGPD, calificada como muy grave a efectos de
la prescripción en el artículo 72.1b) de la LOPDGDD.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a CURENERGÍA
COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. con NIF A95554630, por la
presunta infracción del artículo 6.1) tipificada en el artículo 83.5.a) del citado RGPD.
SEGUNDO: NOMBRAR como instructor a D. B.B.B. y como secretaria a Dña. C.C.C.,
indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo
establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público (LRJSP).
TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por el reclamante y su documentación, los documentos
obtenidos y generados por la Subdirección General de Inspección de Datos.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería por la infracción del artículo 6.1 del RGPD,
tipificada en el artículo 83.5 a) del RGPD la sanción que correspondería sería una
multa por un importe de 100.000 euros (cien mil euros) sin perjuicio de lo que resulte
de la instrucción.
QUINTO: NOTIFICAR el presente acuerdo a CURENERGÍA COMERCIALIZADOR DE
ÚLTIMO RECURSO, S.A.U. con NIF A95554630 otorgándole un plazo de audiencia de
diez días hábiles para que formule las alegaciones y presente las pruebas que
considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el
número de procedimiento que figura en el encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% por la sanción que procede imponer
en el presente procedimiento, equivalente en este caso a veinte mil euros (20.000 €).
Con la aplicación de esta reducción, el importe la sanción quedaría establecida en
ochenta mil euros (80.000€), resolviéndose el procedimiento con la imposición de esta
sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de
conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una
reducción de un 20% del importe de la misma, equivalente en este caso a veinte mil
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/16
euros (20.000 €), por la infracción imputada. Con la aplicación de esta reducción, el
importe de la sanción quedaría establecido en ochenta mil euros (80.000 €) y su pago
implicará la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en sesenta mil euros (60.000 €).
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente, 80.000 euros o 60.000 euros, deberá hacerlo efectivo
mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a
nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK,
S.A., indicando en el concepto el número de referencia del procedimiento que figura en
el encabezamiento de este documento y la causa de reducción del importe a la que se
acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 18 de septiembre de 2024, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 60.000 euros haciendo uso de las dos
reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/16
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/16
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202307313, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a CURENERGÍA
COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
936-151024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es