1/47
Expediente N.º: EXP202307472
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 23/04/2023 se interpuso reclamación ante la Agencia Española
de Protección de Datos por una posible infracción imputable a GESTERNOVA, S.A.
con NIF A84337849 (en adelante parte reclamada, GESTERNOVA o Contigo Energía).
Los hechos que se ponen en conocimiento de esta autoridad:
La parte reclamante manifiesta que el día 12/04/2023 recibió una llamada desde el
número ***TELÉFONO.1 en el número ***TELÉFONO.2. En dicha llamada, un
comercial, que no se identificó con su nombre ni con la empresa a la que
representaba, preguntó por la reclamante utilizando su nombre y apellidos y le ofreció
un servicio de energía. La parte reclamante sostiene que, tras expresar su falta de
interés, el comercial respondió que enviaría la oferta por correo electrónico. Añade que
la llamada tuvo una duración en torno a 10 segundos y que no facilitó dato alguno, por
lo que no entiende que pudiera tener su e-mail.
Posteriormente, la parte reclamante expone que unos minutos después, a las 18:38
horas, recibió un correo electrónico con el asunto "REVISE Y CONFIRME sus datos
para contratar electricidad con Gesternova". En este correo, firmado por el Servicio de
Atención al Cliente de GESTERNOVA, se le asignaba un código de solicitud y se
incluían todos sus datos personales, entre ellos, su nombre completo, dirección y
número de cuenta bancaria para la domiciliación de pagos, indicando “A continuación
le mostramos un resumen de los datos que nos ha proporcionado durante el proceso
de contratación”. La parte reclamante manifiesta que esto le causó sorpresa, ya que
nunca había facilitado estos datos ni mantenido una relación comercial con
GESTERNOVA.
La parte reclamante indica que, al día siguiente, 13/04/2023, a las 14:30, contactó con
Gesternova al número de atención al cliente indicado en el correo (913575264). En
una conversación de más de 28 minutos, primero habló con una empleada identificada
como A.A.A., quien le confirmó que la llamada inicial había sido realizada por un
comercial de SEVERAL ENERGY, S.L. (en adelante Several), una empresa
colaboradora externa de GESTERNOVA. Según A.A.A., GESTERNOVA "no tiene
control sobre lo que hacen los agentes o colaboradores externos". La parte reclamante
añade que advirtió a su interlocutora que había recibido un correo desde la dirección
contratació[email protected], con el logo de dicha entidad y con todos los enlaces
redirigidos a la misma, sin que la misma pudiera explicar cómo disponía de sus datos
personales y bancarios.
Posteriormente, la reclamante fue transferida a otra empleada, quien tampoco pudo
aclarar el origen de los datos, aunque anuló el precontrato y aseguró que escalaría la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/47
reclamación para proporcionar una respuesta. No obstante, la parte reclamante
expone que hasta la fecha no ha recibido ninguna comunicación adicional por parte de
GESTERNOVA.
Por otra parte, la parte reclamante indica que figura en la Lista Robinson, y que ha
llamado con posterioridad al número origen (***TELÉFONO.1) en varias ocasiones
habiendo obtenido como respuesta que el número se encuentra fuera de servicio.
Junto a la reclamación aporta:
. Correo electrónico dirigido el 12/4/2023 a las 18:38 desde
[email protected] a ***EMAIL.1, en el que figuran nombre, DNI,
teléfono, email, CUPS, dirección, últimos cuatro dígitos de la cuenta bancaria.
Adicionalmente figura el código de agente “***REFERENCIA.1” y el código de
contratación “***REFERENCIA.2”. El correo electrónico solicita revisar y confirmar
los datos para proceder a la contratación “de luz” con GESTERNOVA. En este
correo se indica “Oferta válida durante 3 días (en confirmaciones posteriores a
dicho plazo, los precios podrías ser revisados…”.
. Captura de pantalla de la llamada recibida el 12/04/2023, a las 18:32 horas, con
el número llamante ***TELÉFONO.1.
. Captura de pantalla que muestra varias llamadas realizadas al número
***TELÉFONO.1, según la reclamante realizadas desde el número de su marido.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 02/06/2023 se dio traslado de dicha reclamación a
GESTERNOVA, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.
En fecha 05/07/2023 se recibe contestación de la entidad reclamada. De ésta se
extrae el siguiente contenido:
La entidad reclamada comienza explicando la operativa seguida en la promoción de
sus productos y la captación de clientes, la cual describe como basada en el empleo
de agentes comerciales externos e independientes. Según sostiene, estos agentes no
trabajan en exclusiva para GESTERNOVA, sino que operan con diversas
comercializadoras en el mercado energético, lo que les permite proponer aquellas
tarifas que mejor se ajustan a las necesidades del cliente, de modo que el servicio que
prestan se configura como un asesoramiento al individuo a medida de su caso
particular, para lo que utiliza bases de datos propias o externas de individuos que
permiten ser contactados.
En esta primera fase, afirma que los agentes actúan como responsables del
tratamiento de los datos personales de los interesados, utilizando sus propios medios
y bases de datos, sobre las que la reclamada asegura no tener acceso ni control.
Sostiene que solo cuando un interesado manifiesta interés por una oferta concreta de
GESTERNOVA, los agentes pasan a actuar como encargados del tratamiento,
accediendo a un sistema proporcionado por aquella con un usuario autorizado, para
recoger los datos personales necesarios del solicitante con el fin de gestionar el inicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/47
del proceso de contratación de los productos de suministro energético con
GESTERNOVA.
La entidad resalta que no comparte bases de datos con estos agentes ni realiza
aportaciones de datos personales a su favor. Destaca que no puede tramitarse una
solicitud sin unos datos mínimos, de modo que la solicitud de oferta está ligada a la
comunicación de dichos datos, y que para garantizar los derechos de los interesados
cualquier solicitud de contratación queda sometida a un sistema de confirmación
explícita por parte del interesado, quien debe validar la oferta recibida mediante un
correo electrónico que GESTENOVA envía a la dirección facilitada por el interesado,
con carácter previo al inicio de cualquier proceso de tratamiento de los datos. Este
correo, según declara, avisa que, de no recibir respuesta en un plazo de tres días, los
datos serán automáticamente bloqueados y eliminados, incluye un mecanismo para la
rectificación de datos, identifica al agente que ha tramitado la solicitud y se facilitan los
medios directos de comunicación con la compañía.
En cuanto a los hechos objeto de la reclamación, confirma que el día 12/04/2023
remitió un correo electrónico a la dirección de la reclamante solicitando la confirmación
de sus datos para la verificación de una solicitud de contratación, no iniciándose la
contratación sin esta confirmación previa. Según indica, no tenía ninguna información
previa relativa a la reclamante y los datos contenidos en este correo, incluidos nombre,
DNI, número de cuenta bancaria y otros identificadores personales, fueron
proporcionados por el agente externo no exclusivo Several.
La parte reclamada niega haber tenido conocimiento previo de dichos datos antes de
su incorporación al sistema de gestión de ofertas y subraya que los mismos no fueron
utilizados ni tratados con otros fines debido a la falta de confirmación por parte de la
reclamante. Manifiesta que no hubo respuesta a la solicitud de confirmación, por lo
que en 3 días los datos fueron bloqueados de manera automática, y que la reclamante
no contactó con la entidad para aclarar ningún extremo. Aunque, GESTERNOVA
informa que pudo relacionar la llamada de un tercero al departamento comercial de la
que no tiene grabación, que, según las notas disponibles, se identificó como esposo
de la reclamante y realizó manifestaciones sobre el proceso de contratación
“centradas en el argumento de que, tras una llamada de unos segundos, le dijeron que
se iba a enviar una oferta y que lo que se le ha enviado es directamente un contrato
que aceptar, solicitando una aclaración”.
Manifiesta que, tras recibir la reclamación, procedió a requerir a Several información
relativa al origen de los datos de la reclamante y a las circunstancias de la llamada
comercial. En respuesta, Several únicamente aportó una transcripción de la
conversación telefónica mantenida con la reclamante, que consta reseñada en el
Hecho Probado Tercero.
Según GESTERNOVA “En la misma se deja constancia de que la Reclamante, en
cualquier caso, conoce al interlocutor y está de acuerdo en la recepción de la oferta de
Gesternova por la Reclamante, si bien se interpreta que puede haber una confusión
en cuanto al significado de la comunicación de Gesternova. Es decir, dando veracidad
a lo alegado por la persona que se identifica como su marido, parece haber entendido
que el mail de la oferta que pone revisa datos y confirma tu solicitud es un envío
encubierto de un contrato que sería vinculante por la mera aceptación del mail
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/47
Gesternova”.
Indica la reclamada que, tras las comprobaciones realizadas de confirmación de la
petición de oferta, se sugiere a Several que contacte con su cliente para aclarar la
situación, que esta entidad manifestó que le ha sido imposible contactar con la
reclamante y que ella era consciente de que la falta de confirmación suponía una
negativa y decaimiento de la oferta.
GESTERNOVA afirma haber revisado sus procedimientos internos, implementando
medidas adicionales para reforzar el cumplimiento normativo.
Entre estas medidas, menciona el envío a Several, en mayo de 2023, de un
argumentario actualizado que detalla las directrices que deben seguir los agentes en el
momento de la contratación.
(…)
Concluye que solo puede corroborar que la reclamante nunca contactó con
GESTERNOVA y que ésta tuvo noticia de la incidencia por una llamada realizada por
un tercero a su teléfono de atención al cliente.
En su respuesta, GESTERNOVA finaliza señalando las medidas adoptadas para
mitigar los riesgos para los derechos de los interesados, que incluye:
. Envío de una circular informativa a los empleados.
. Instrucción operativa para la realización de llamadas de telemarketing y proceso
de contratación a distancia por teléfono de acuerdo con el artículo 66 de la Ley
11/2022 de la General de Telecomunicaciones y Circular 1/2023, de 26 de junio,
sobre la aplicación del artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General
de Telecomunicaciones, con realización de auditorías sobre los procesos de
contratación.
. Modelo de control relativo a comunicaciones comerciales.
. Revisión del procedimiento de homologación de proveedores.
. Nuevo modelo de contrato con agentes no exclusivos para incorporar controles
relativos al tratamiento de datos como responsables del tratamiento.
. Plan de formación
La parte reclamada adjunta al escrito una copia del Contrato de Agencia suscrito el
19/07/2022 entre GESTERNOVA y Several, así como copia de los correos electrónicos
que ambas entidades se remitieron con motivo de la reclamación que ha motivado las
presentes actuaciones, cuyo contenido consta reseñado en los Hechos Probados
Séptimo y Octavo.
TERCERO: Con fecha 23/07/2023, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/47
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII de la LOPDGDD.
Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:
1.Por los Servicios de Inspección de la AEPD se verifica que, a fecha de realización de
la llamada de este expediente, la entidad Orange es el operador del número de la
reclamante (***TELÉFONO.2), quien confirma la recepción de la llamada en cuestión.
Según Orange, la línea se encuentra instalada en ***DIRECCIÓN.1, siendo su titular
B.B.B..
2. Con respecto al número reclamado (***TELÉFONO.1), el operador Aire Networks
del Mediterráneo, S.L.U. ha confirmado la existencia de la llamada de 12/04/2023, a
las 18:32 horas, con una duración de 83 segundos, y refiere que la titularidad de la
línea llamante correspondía a Leaddesk, S.L. Por su parte, esta entidad ha informado
de su condición de proveedor de servicios de telecomunicaciones de Voz sobre IP
(VoIP) y que el número referido en dicha fecha era utilizado por su cliente Business
Power Consultores, S.L.
3. En fecha 08/04/2024 se envió requerimiento, vía electrónica, a Business Power
Consultores, S.L., el cual resultó expirado por caducidad. Se envió, en fecha
26/04/2024, reiteración mediante vía postal a la dirección encontrada en la página de
Axesor, que resultó devuelta por “Desconocido”. Asimismo, en fecha 17/09/2024 se
reenvió reiteración a la dirección proporcionada por la AEAT, siendo notificada en
fecha 27/096/2024. No obstante, dicha entidad no ha facilitado a esta AEPD respuesta
alguna.
4. En ámbito de la investigación realizada por la AEPD, se requirió información a la
entidad Several, la cual en su contestación de 17/04/2024 indicó lo siguiente.
. En relación con la ejecución de filtrados previos a las llamadas a través de listas de
exclusión (Listas Robinson):
“Conforme a los protocolos internos aprobados, en nuestra operativa, no se
realizan consultas de listados de exclusión del tipo "Listas Robinson", pues los
contactos comerciales que realizamos se dirigen a contactos de bases de datos
propias, adquiridas mediante contratos de compraventa y certificados de legalidad
en su procedencia, o a contactos obtenidos de registros directos de interesados
en nuestra página web, donde se informa y se obtienen los logs y los
consentimientos oportunos.”
. En relación con los contactos mantenidos con la parte reclamante:
“En el caso de la hoy denunciante, y tras búsqueda en nuestro sistema, sólo
consta un contacto telefónico realizado en el mes de octubre de 2020, donde, a
resultas de una consulta realizada, se le informó en base a ese contacto previo
existente y exclusivamente sobre el producto consultado.
Del correo recibido por la hoy denunciante por parte de Gesternova, se deduce
que el contacto fue directo Gesternova se dirige a la denunciante en su condición
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/47
de responsable, sin informar de la procedencia u origen de los datos.”
. Adjunta, entre otros documentos, copia del Contrato suscrito el 19/07/2022 entre
GESTERNOVA y Several.
QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
GESTERNOVA es una empresa constituida en el año 2005, con un volumen de
negocios de 631.849.080 euros en el año 2023.
SEXTO: Con fecha 22 de enero de 2025, se acordó el inicio de procedimiento
sancionador a GESTERNOVA, por la presunta infracción de los artículos 6.1, 13 y 14
del RGPD, tipificadas en el artículo 83.5 del RGPD, y por infracción del artículo 48.1.b)
de la Ley 9/2014, de 9 de mayo, General e Telecomunicaciones (en adelante LGTel
9/2014), tipificada en el artículo 78.11 de la misma norma.
En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por
cada una de las infracciones imputadas, sin perjuicio de lo que resulte de la
instrucción, sería:
. Por la vulneración del artículo 6.1 del RGPD, 500.000 € (quinientos mil euros);
. Por la vulneración del artículo 13 del RGPD, 50.000 € (cincuenta mil euros);
. Por la vulneración del artículo 14 del RGPD, 50.000 € (cincuenta mil euros);
. Por la vulneración del artículo 48.1.b) de la LGTel 9/2014, 20.000 € (veinte mil euros);
Asimismo, se advirtió que la infracción, de confirmarse, podrá conllevar la imposición
de medidas, de acuerdo con lo establecido en el citado artículo 58.2 del RGPD.
SÉPTIMO: Notificado el citado acuerdo de inicio, GESTERNOVA solicitó ampliación
del plazo y copia del expediente, y, con fecha 20/01/2025 presentó escrito de
alegaciones en el que, en síntesis, manifestaba lo siguiente:
1. Sobre el rol de Responsable del Tratamiento de Several.
Señalan que ha quedado demostrado el rol de Several como Responsable del
Tratamiento durante la actividad consistente en promocionar por su cuenta y riesgo los
servicios energéticos de Contigo Energía (GESTERNOVA), conforme a lo indicado en
el Expositivo II del contrato de agencia. Solo cuando Several comunica los datos del
posible cliente a Contigo Energía y acredita el interés del mismo para recibir la oferta
comercial pasa a actuar como Encargado del Tratamiento para promover y concluir el
contrato en nombre y cuenta de Contigo Energía. Una vez Several cedió los datos de
la Reclamante y aportó la confirmación al envío de la oferta, adquirió la condición de
Encargado del Tratamiento de Contigo Energía.
Several tenía la condición de Responsable del Tratamiento en el momento de realizar
la llamada objeto de reclamación, así como de cualquier tratamiento de datos que se
hubiera realizado con anterioridad a la misma, correspondiendo a dicha entidad
acreditar el cumplimiento de las obligaciones aplicables a los Responsables del
Tratamiento según el RGPD y en el resto de normativa vigente.
En base a ello, invoca el principio de culpabilidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/47
Por otra parte, destaca que el contrato formalizado por ambas entidades es de
agencia, lo cual recalca que el elemento que califica la figura de un Agente Comercial
es su condición de intermediario independiente que actúa de forma autónoma, y cita
un precedente que GESTERNOVA considera similar, resuelto por esta AEPD con
archivo de actuaciones (EXP202305638).
El hecho de la llamada objeto de reclamación y los tratamientos de datos previos a la
misma, incluida la recogida de datos directamente de la interesada, fueron realizados
por Several en calidad de Responsable del Tratamiento independiente comporta que
no pueda ser imputable a Contigo Energía ninguna infracción del art. 13 del RGPD.
Asimismo, dado que la llamada objeto de reclamación fue realizada por Several en
virtud del servicio de asesoría energética que prestaba a la Reclamante en calidad de
Responsable del Tratamiento independiente, tampoco puede ser imputable a Contigo
Energía ninguna infracción del art. 48.1.b de la LGTel 9/2014.
Igualmente, por los hechos aquí descritos, no procede sancionar a Contigo Energía
por infracción del art. 6.1. del RGPD, dado que sí existía una base de legitimación para
el tratamiento de los datos de la Reclamante por su parte, esto es el consentimiento al
tratamiento de sus datos, tal y como se desprende de la grabación aportada.
2. Sobre la legitimación de Contigo Energía para el envío de la oferta comercial por
correo electrónico y la ausencia de infracción del art. 6.1 del RGPD
Señalan que la grabación de la llamada mantenida demuestra que los datos
personales de la Reclamante habían sido obtenidos previamente por Several como
prestador de un servicio de asesoría energética en el que actúa como Responsable
del Tratamiento de los datos de la Reclamante.
De la documentación aportada al expediente se desprende que GESTERNOVA el día
12/04/2023 envío a la dirección de correo electrónico de la reclamante ***EMAIL.1 un
correo electrónico de confirmación de datos para la verificación del inicio de la
contratación del producto "***PRODUCTO.1" de suministro de energía, correo que
contiene la identificación del agente ("***REFERENCIA.1"), y los siguientes datos de
la reclamante: nombre, DNI, teléfono, email, CUPS, dirección, últimos cuatro dígitos de
la cuenta bancaria.
Pues bien, en el proceso de contratación intervienen dos entidades: primero, la parte
reclamada GESTERNOVA en su condición de responsable del tratamiento; segundo,
Several en su condición de empresa colaboradora y encargada del tratamiento.
En cuanto al modus operandi de la contratación, de las actuaciones de investigación
se desprende que el mismo se lleva a cabo de la siguiente forma:
- El agente contacta con el/los posible/s cliente/s informando/les de la/s oferta/s,
lo que se conoce como llamadas de captación, informando al posible cliente de
la oferta y, habiendo mostrado interés por un producto de GESTERNOVA.
- Posteriormente, la confirmación de la solicitud de contratación por parte de
GESTERNOVA se realiza de manera directa por medio de un correo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/47
electrónico enviado por GESTERNOVA a la dirección de correo facilitada por el
interesado y se solicita la confirmación expresa de su interés en recibir la oferta
solicitada.
- por último, se le envía el contrato a fin de que sea firmado con la nueva
comercializadora.
3. Sobre el cumplimiento de diligencia debida de GESTERNOVA al contratar a sus
Agentes Comerciales y la ausencia de infracción por parte de Contigo Energía del art.
14 del RGPD
Respecto a la obligación de informar al interesado sobre “la fuente de la que proceden
los datos personales y, en su caso, si proceden de fuentes de acceso público” (art.
14.2.f del RGPD), resulta de aplicación la excepción recogida en el art. 14.5.a del
RGPD (que indica que las disposiciones de los apartados 1 a 4 del art. 14 del RGPD
no serán aplicables cuando el interesado ya disponga de la información), en tanto que
resulta razonable pensar que la Reclamante, al haber sido informada por parte de
Several que recibiría en su correo electrónico una comunicación con el asunto “Correo
Gesternova”, esta podría asumir que fue la propia Several la que le facilitó a Contigo
Energía (en esos momentos conocida como “Gesternova”), los datos necesarios para
enviar la oferta comercial por correo electrónico.
Se aporta como ANEXO V el correo electrónico enviado a la Reclamante por
[email protected] en fecha 12/04/2023, así como el documento adjunto al mismo,
“Condiciones Particulares”.
En este sentido, una vez acreditado que Contigo Energía facilitó a la Reclamante la
información correspondiente al tratamiento de sus datos personales, no resulta
imputable a Contigo Energía ninguna infracción de los arts. 13 y 14 del RGPD,
tipificados en el art. 83.5.a del RGPD, ambas tipificadas en el art. 83.5.b del RGPD.
4. Sobre las malas prácticas realizadas por Several.
Las prácticas empleadas por Several han dificultado en sobremanera la gestión de la
reclamación sobrevenida, en concreto: i) complicando indebidamente la entrega de
información necesaria para dar una respuesta a la Reclamante; ii) negándose a través
de su colaborador BUSINESS POWER CONSULTORES, S.L. a contestar a los
requerimientos de información de la Agencia; y iii) mintiendo a esta Agencia a la hora
contestar el requerimiento de información que recibieron.
Lógicamente la Agencia envió un requerimiento de información a BUSINESS POWER
CONSULTORES, S.L., en fecha 8 de abril de 2024, solicitando aspectos
fundamentales para la resolución del presente expediente.
Es necesario realizar un inciso para resaltar que lo anterior supone que el presente
procedimiento se encuentra viciado desde un punto de vista formal, en la medida en
que la AEPD ha iniciado el procedimiento sancionador de manera indebida, sin haber
agotado las vías necesarias para esclarecer los hechos, pues, como la propia Agencia
indica, las actuaciones de investigación previas siguen en curso.
En este caso, la reclamación fue admitida a trámite el 23/07/2023 y las actuaciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/47
previas de investigación se han prolongado hasta la notificación del inicio del
procedimiento sancionador, esto es, el 23/01/2025, tras el transcurso de exactamente
dieciocho meses, justo en el límite del plazo máximo legal.
El procedimiento sancionador se ha iniciado sin que la propia AEPD disponga de
información completa y concluyente sobre el rol de los intervinientes y la posible
responsabilidad de los mismos, al no haberse dado contestación por parte de
BUSINESS POWER CONSULTORES, S.L., a los requerimientos de esta Agencia.
Por tanto, ha quedado sobradamente acreditado que la AEPD no disponía de todos los
elementos necesarios para adoptar una decisión informada y la apertura del
procedimiento sancionador se ha debido al transcurso del plazo establecido, por lo que
el inicio es prematuro e improcedente y ello debe suponer el archivo de las
actuaciones y del presente expediente.
Se acredita que fue Several quien registró los datos de la Reclamante en los sistemas
de Contigo Energía. Ante este cúmulo de declaraciones falsas, así como todas las
malas prácticas por parte de Several (que hemos podido identificar), queda acreditado
que desde Contigo Energía se llevaron a cabo los controles adecuados sobre los
aspectos que estaban bajo su obligada vigilancia (exigir al Agente Comercial
acreditación del interés de los clientes en recibir una oferta comercial), siendo que
tanto la llamada comercial objeto de reclamación, como todos los tratamientos de
datos llevados a cabo previamente por Several, al realizarlos éste en calidad de
Responsable independiente, no se encuentran bajo el ámbito de actuación de Contigo
Energía y, por tanto, no se le puede imputar responsabilidad alguna por los
incumplimientos cometidos por Several.
5. Sobre el principio de prevalencia de la ley especial sobre la general, y la aplicación
de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico
Si bien esta representación considera debidamente acreditado que Contigo Energía
contaba con la habilitación jurídica suficiente para realizar el envío de la oferta
comercial al correo electrónico de la Reclamante, en el supuesto de que,
sorpresivamente, esta Agencia no considere el contenido de la conversación
mantenida con la Reclamante (cuya transcripción se aporta acompañada, además de
la grabación de la misma), de forma supletoria procedemos a exponer que el
tratamiento datos realizado por Contigo Energía y que consiste en el envío de la oferta
comercial por correo electrónico está regulado por lo establecido en la LSSI, siendo
que, cualquier infracción vinculada a esta práctica deba ser, en su caso, sancionada
por lo establecido en esta ley especial, en tanto en cuanto, ésta desplaza a la
aplicación del RGPD.
La LSSI establece, en su artículo 21, una prohibición general de “envío de
comunicaciones publicitarias o promocionales por correo electrónico u otro medio de
comunicación electrónica equivalente que previamente no hubieran sido solicitadas o
expresamente autorizadas por los destinatarios de las mismas”.
La Directiva ePrivacy introdujo en la Unión Europea el principio de “opt-in”, es decir, la
necesidad de contar con el consentimiento previo del destinatario para el envío de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/47
correos electrónicos con fines comerciales.
Ello implica que, en la materia que nos ocupa, resulta de aplicación el principio de
especialidad, en virtud del cual el principio de licitud del RGPD y la exigencia de
concurrencia de una de las bases de legitimación del tratamiento a las que se refiere el
artículo 6 del RGPD han de ceder ante la regla especial contenida en el artículo 21 de
la LSSI, toda vez que, en caso contrario, esta última norma quedaría vacía de
contenido.
Es decir, no habrá que acudir en primer lugar a la LOPD que traspone la Directiva
95/46/CE, sino a la normativa específica sobre la materia, en este caso el artículo 21
de la LSSI, que viene a ser trasposición del artículo 13 de la Directiva 2002/58/CE,
precepto que ha resultado infringido por la actora al no contar para la remisión de los
citados correos electrónicos con el consentimiento de sus destinatarios y no constar la
existencia de una relación contractual anterior, con los requisitos establecidos en el
artículo 21.2 LSSI que justifique el envío del mensaje, único supuesto que exime de la
obtención del consentimiento en estos supuestos.
Tal y como señala esta Agencia en sus Informes Jurídicos 173/2018 y 164/2018, este
criterio ha sido reiterado, entre otras, por las sentencias de la Audiencia Nacional (i)
1707/2010, de 29 de abril; (ii) 3986/2010, de 17 de septiembre y con referencia; y (iii)
3713/2016, de 16 de septiembre. En conclusión, citando de nuevo el Informe Jurídico
164/2018, “el régimen aplicable a las comunicaciones comerciales por medios
electrónicos, en cuanto normativa específica, prevalece frente al régimen general del
Reglamento de protección de datos, sin que la aprobación del mismo implique
obligaciones adicionales”.
A mayor abundamiento, la prevalencia de las disposiciones de la Directiva ePrivacy,
que es la norma –como ya se ha señalado– de la que deriva el artículo 21 de la LSSI,
frente al régimen del RGPD es algo que esta Agencia ya ha señalado incluso en otros
ámbitos.
Véanse, por ejemplo, los Informes Jurídicos 46/2021 y 40/2023 de esta Agencia,
referentes, respectivamente, al Anteproyecto de la Ley 11/2022, General de
Telecomunicaciones, y al artículo 66.1.b de la misma, regulador del derecho a no
recibir llamadas no deseadas con fines de comunicación comercial. Informe Jurídico
46/2021 “Por lo tanto, la Directiva 2002/58/CE y, consecuentemente, los preceptos del
presente anteproyecto que transponen dicha Directiva, vienen a configurar un régimen
especial, al que se someterían únicamente los tratamientos que la misma regula,
frente al régimen general de protección de datos que se recoge en el RGPD.
Por este motivo, las disposiciones del mismo serán de aplicación a todos los
tratamientos llevados a cabo dentro del ámbito de aplicación del derecho de la Unión y
que no estén regulados específicamente por la Directiva, tal y como se desprende del
ámbito de aplicación establecido en el artículo 2 del Reglamento y en los términos que
especifica su artículo 95. Asimismo, dicho carácter de norma especial es igualmente
predicable respecto de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales (LOPDGDD), cuyas
disposiciones deben ser tenidas en cuenta al constituir la ‘lex generalis’ aplicable para
garantizar el derecho fundamental a la protección de datos de carácter personal”.
En virtud de cuanto antecede, cabe concluir que, en tanto que la normativa específica
aplicable es la LSSI –y no el RGPD–, el régimen sancionador aplicable a la licitud del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/47
envío de las comunicaciones comerciales será el de la LSSI, por lo que no resultaría
conforme a derecho una sanción fundamentada en una infracción del art. 6 del RGPD
en lo que refiere al envío por parte de Contigo Energía de una oferta comercial por
correo electrónico.
FINALES. Sobre las circunstancias atenuantes aplicables al procedimiento de
referencia.
Manifiesta vulneración del principio de proporcionalidad que debe regir el
procedimiento sancionador.
Señalando que no se han valorado adecuadamente las siguientes circunstancias:
(i) la falta de imputabilidad y culpabilidad, en la medida en que el tratamiento de los
datos se encontraba bajo la responsabilidad de un tercero;
(ii) no se ha tenido en consideración que únicamente se ha visto afectado un único
interesado persona física;
(iii) no ha quedado acreditado perjuicio alguno para el titular de los datos, lo que
impide valorar la existencia de un daño efectivo que justifique la imposición de una
sanción de tan alta cuantía; y
(iv) esta parte ha colaborado activamente con la AEPD, facilitando en todo momento la
información y documentación requerida con el objetivo de esclarecer los hechos y
mitigar cualquier posible impacto sobre los derechos del afectado, lo anterior se
considera un elemento atenuante que debería reflejarse en la graduación de la
sanción, tal y como establece también el artículo 83.2.f del RGPD.
Y señala, que el artículo 83.2 del RGPD establece una serie de criterios esenciales
para la graduación de las sanciones administrativas, entre los que destacan:
i. La naturaleza, gravedad y duración de la infracción (artículo 83.2.a RGPD): en este
caso, solo se han visto afectados los datos personales de una única persona física,
por lo que el impacto ha sido mínimo y no continuado, ya que no se ha probado que la
conducta infractora haya persistido en el tiempo.
ii. El nivel de los daños y perjuicios sufridos por el afectado (artículo 83.2.a RGPD): la
falta de acreditación de un daño real o material debe ser un factor determinante a la
hora de graduar la sanción, puesto que el propio RGPD exige que se valore el impacto
efectivo sobre los derechos del interesado, sin que se haya demostrado que el
afectado haya sufrido ningún perjuicio económico, reputacional o de cualquier otra
índole.
iii. El grado de responsabilidad del responsable del tratamiento (artículo 83.2.b RGPD):
como ha quedado acreditado en las anteriores alegaciones, la responsabilidad no
recae sobre esta parte, por lo que la falta de culpabilidad y actuación negligente de un
tercero son factores que se deberían haber tenido en cuenta como elementos
atenuantes de la cuantía de las sanciones.
iv. Las medidas adoptadas para mitigar el daño (artículo 83.2.c RGPD): desde que
esta parte tiene conocimiento del presente expediente sancionador, se ha actuado con
la máxima diligencia, dando contestación a todos los requerimientos de información
remitidos y acreditando en todo momento la implementación de sus protocolos y
medidas de seguridad.
v. El grado de cooperación con la autoridad de control (artículo 83.2.f RGPD): la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/47
cooperación con la AEPD es un factor determinante que debe ser ponderado en la
graduación de las sanciones, y, en este caso, es incuestionable que la colaboración
por esta parte ha sido total, facilitando todo tipo de documentación requerida a la
mayor brevedad posible.
Expone una serie de circunstancias que entiende que deberían valorarse a la hora de
proponer una sanción para GESTERNOVA y que se detallan a continuación:
• La reclamación presentada no refleja la realidad de los hechos acontecidos, en tanto
que
i) la llamada objeto de reclamación fue recibida de su asesor energético, el cual le
asistía con aspectos vinculados al servicio de suministro de luz en su domicilio;
ii) ella misma solicitó recibir en su correo electrónico la información correspondiente a
una oferta comercial, comunicación que posteriormente fue objeto de reclamación.
• Al responder al requerimiento de información recibido, Several ha aportado a esta
Agencia declaraciones falsas con tal de ocultar su incumplimiento del RGPD, y redirigir
la responsabilidad hacia Contigo Energía.
Several ha actuado en calidad de Responsable del Tratamiento durante la recogida de
los datos de la Reclamante y la posterior realización de la llamada comercial.
En este sentido, el control y vigilancia del cumplimiento normativo en estas
actuaciones queda fuera de la responsabilidad de Contigo Energía.
• En relación con el punto anterior, varias de las infracciones que se imputan a Contigo
Energía corresponden a actuaciones que no están bajo su obligado control y
vigilancia, por lo que no se le puede atribuir responsabilidad sobre las mismas.
• Que en todo momento Contigo Energía actuó de buena fe, y con la diligencia debida,
en tanto que en todo momento ha seguido los controles establecidos en su protocolo
de contratación, dado que la comunicación comercial dirigida a la Reclamante se
realizó una vez Several acreditó que la misma estaba interesada en recibir la oferta
comercial.
• Que Contigo Energía ha tomado la decisión de actualizar los contratos con todos sus
Agentes Comerciales, de forma que los roles y responsabilidades respecto al
tratamiento de datos personales queden definidos de forma más expresa.
Se aporta como ANEXO X la nueva cláusula de protección de datos personales a
incluir en los contratos de agencia.
Que en caso de que esta Agencia mantenga que el envío por parte de Contigo Energía
de la comunicación electrónica no contaba con un fundamento jurídico, considere que
resultaría de aplicación la sanción establecida en la LSSI, en tanto que, tal y como se
ha expuesto en el presente escrito, al ser una ley especial desplaza de su aplicación al
RGPD, que es una ley general.
• En este procedimiento solo se han visto afectados los datos relativos a una persona
física.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/47
• Contigo Energía no ha accedido a ningún dato de categoría especial, sino que se han
limitado a los estrictamente necesarios para realizar una oferta comercial propia del
sector eléctrico.
• Por parte de Contigo Energía se puso fin al tratamiento de datos de la Reclamante
cuando transcurridas 72 horas, ésta no expresó su conformidad con la oferta comercial
enviada.
• Se ha colaborado en todo momento con esta Agencia Española de Protección de
Datos.
Solicita que se dicte resolución en la que se determine el archivo de las actuaciones,
por no haber cometido GESTERNOVA, ninguna infracción de la normativa vigente, o,
en su defecto, revise la multa propuesta, reduciendo su importe a la luz de las
circunstancias atenuantes expuestas.
Junto a su escrito de alegaciones, entre otra documentación, aporta:
. Grabación de la llamada telefónica realizada por un agente de Several a la
reclamante el 12/04/2022.
. Política de Privacidad de Several para usuarios de su web.
. Borrador de contrato de suministro eléctrico cumplimentado con los datos personales
de la reclamante y orden de domiciliación de recibos.
. Extracto del “Área de Agentes”, con el que GESTERNOVA manifiesta acreditar “que
los datos de la Reclamante fueron incluidos en el sistema por Several (Código de
agente: ***REFERENCIA.1), en fecha 12 de abril de 2023, a las 18:37, el mismo día y
a la misma hora en la que la Reclamante recibió la llamada comercial. Para mayor
detalle, el extracto indica que la dirección IP en la que se realizó esta comunicación de
datos es ***IP.1, cuyas coordenadas se encuentran en la zona centro de Granada, y
en concreto, en el mismo código postal en el que Several tiene sus oficinas. De esta
forma, se acredita que fue Several quien registró los datos de la Reclamante en los
sistemas de Contigo Energía”.
. Nueva cláusula de protección de datos personales a incluir en los contratos de
agencia. Incluye un apartado dedicado al “Régimen aplicable durante la ejecución del
contrato” con el contenido siguiente:
“Para la correcta prestación de los servicios de promoción de productos y servicios de
CONTIGO ENERGÍA, el AGENTE tendrá acceso a datos de carácter personal
responsabilidad de CONTIGO ENERGÍA y, además, comunicará a CONTIGO
ENERGÍA datos personales que ha recabado en calidad de Responsable del
tratamiento independiente. Sin perjuicio de las obligaciones legales que le
correspondan cuando actúe como Encargado del tratamiento, o como Responsable
del tratamiento, así como las que se recogen en la presente cláusula, el AGENTE se
compromete a respetar y acogerse a la Circular de Comunicaciones comerciales a
distancia que CONTIGO ENERGÍA establezca, copia de la cual se entrega con este
Contrato, y que el AGENTE declara conocer.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/47
I. Comunicación de datos personales recabados por el AGENTE como Responsable
del tratamiento a favor de CONTIGO ENERGÍA
En el marco del cumplimiento del objeto del CONTRATO DE AGENCIA, el AGENTE
comunicará los datos personales de aquellos potenciales clientes interesados en
contratar los productos y servicios a GESTERNOVA, S.A.
El AGENTE recabará los datos de estos potenciales clientes, en calidad de
Responsable del Tratamiento independiente de CONTIGO ENERGÍA, y en todo caso,
se compromete a cumplir las obligaciones establecidas en el Reglamento (UE)
2016/679 de relativo a la protección de las personas físicas en lo que respecta al
tratamiento de datos personales, (en adelante, “RGPD”), en la Ley Orgánica 3/2018,
de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos
digitales (en adelante, “LOPDGDD”) y en cualesquiera otras obligaciones legales
aplicables en materia de protección de datos.
Así mismo, y previo a comunicar los datos a favor de CONTIGO ENERGÍA, el
AGENTE garantiza que:
• ha comprobado que el interesado no está dado de alta en los sistemas de exclusión
publicitaria (Lista Robinson);
• los datos que comunicará a CONTIGO ENERGÍA se han obtenido de forma lícita e
informada, y cuenta con los consentimientos de los interesados necesarios para el
tratamiento de sus datos, y para su comunicación a CONTIGO ENERGÍA con
finalidades comerciales;
• ha proporcionado a los interesados la información relativa al tratamiento de datos
personales de conformidad con el artículo 13 del RGPD, y en caso de la realización de
llamadas comerciales, que ha cumplido con las “garantías adicionales” incluidas en el
artículo 6 de la Circular 1/2023 de la Agencia Española de Protección de Datos;
• ha grabado de forma íntegra las llamadas comerciales realizadas, y que cuenta con
las medidas adecuadas para su conservación;
• ha realizado las evaluaciones de impacto que correspondan, y que ha adoptado las
medidas de seguridad adecuadas conforme al análisis de riesgos efectuado, a los
efectos de asegurar la confidencialidad, integridad y disponibilidad de los datos;
El AGENTE garantiza que dispone, y en su caso conservará, evidencia del
cumplimiento de las obligaciones anteriores.
(…)
II. Tratamiento de datos personales por parte del AGENTE por cuenta de CONTIGO
ENERGÍA
Una vez el AGENTE hubiera comunicado los datos personales de los potenciales
clientes a CONTIGO ENERGÍA, para la realización de las actividades destinadas para
promover y concluir la contratación, el AGENTE tendrá la consideración de Encargado
del tratamiento de CONTIGO ENERGÍA, comprometiéndose a cumplir con las
obligaciones previstas en el Anexo III Acuerdo de Encargo de Tratamiento de Datos
Personales”.
OCTAVO: Con fecha 19 de diciembre de 2025 se formuló propuesta de resolución,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/47
proponiendo lo siguiente:
- Que se sancione a GESTERNOVA, S.A., con NIF A84337849, por las
infracciones siguientes con las multas que en cada caso se indican:
o Por la vulneración del artículo 6.1 del RGPD, tipificada en el artículo
83.5.a) del mismo Reglamento, con multa de 200.000 € (doscientos mil
euros);
o Por la vulneración del artículo 13 del RGPD, tipificada en el artículo 83.5
b) del mismo Reglamento, con multa de 20.000 € (veinte mil euros).
Ello arroja una cantidad total de 220.000 euros (doscientos veinte mil euros).
- Que se acuerde el ARCHIVO de las actuaciones seguidas contra la entidad
GESTERNOVA, S.A., por las presuntas infracciones de los artículos 14 del
RGPD y artículo 48.1.b) de la LGTel 9/2014.
- Que se ordene a GESTERNOVA, S.A. que, en virtud del artículo 58.2.d) del
RGPD, en el plazo máximo de seis meses, acredite haber procedido al
cumplimiento de medidas con el alcance expresado en el Fundamento de
Derecho XI de la propuesta de resolución.
La notificación de esta propuesta de resolución fue debidamente entregada a la parte
reclamada en la misma fecha del 19/12/2025 a través del servicio de Dirección
Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular
alegaciones.
NOVENO: Con fecha 07/01/2026, se recibió escrito de alegaciones a la propuesta de
resolución en el que GESTERNOVA solicita de nuevo el archivo del expediente. En
este escrito, básicamente, reitera sus alegaciones anteriores, en el mismo orden en el
que fueron expuestas en sus alegaciones a la apertura del procedimiento y
respondidas en la propuesta de resolución; excepto en lo relativo a la cuantía de la
multa propuesta, sobre la que nada alega GESTERNOVA en este nuevo escrito de
alegaciones, salvo su revisión por aplicación del régimen sancionador previsto en la
LSSI.
Después de una alegación previa, dedicada a exponer brevemente los antecedentes
del procedimiento, y una primera alegación relativa a la condición de responsable del
tratamiento que GESTERNOVA atribuye a la entidad Several, en las que se
reproducen literalmente los mismos argumentos contenidos en las alegaciones
formuladas a la apertura del procedimiento, GESTERNOVA plantea en sus
alegaciones a la propuesta de resolución las cuestiones siguientes:
1. Sobre la legitimación de GESTERNOVA para el envío de la oferta comercial por
correo electrónico y la ausencia de infracción del art. 6.1 del RGPD.
Considera que la propuesta de resolución emitida no valora correctamente las
evidencias aportadas, entre ellas lo estipulado en el contrato suscrito con Several,
según el cual esta entidad recaba los datos bajo su cuenta y riesgo, en la condición de
responsable del tratamiento que conlleva la prestación de servicios propios de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/47
asesoría energética, para posteriormente comunicarlos a GESTERNOVA a través del
“Área de Agentes”, acompañando a modo de confirmación del interés de la
Reclamante en recibir una oferta de sus servicios la transcripción de la conversación
mantenida con la misma.
Según detalla, GESTERNOVA proporciona a sus agentes comerciales credenciales
para acceder al “Área de Agentes”, un sistema web dispuesto para que los agentes
puedan dar de alta los datos personales de aquellas personas que están interesadas
en contratar con dicha entidad. Según explica, esta base de datos se nutre con la
información aportada por los propios agentes en flujos responsable–responsable.
Cuando un agente registra los datos del potencial cliente en el “Área de Agentes”, se
está produciendo una comunicación de datos, y es en ese momento en el que
GESTERNOVA asume el rol de responsable del tratamiento. Añade que, en este caso,
consta que los datos de la reclamante fueron incluidos en el sistema por Several
(Código de agente: ***REFERENCIA.1), en fecha 12 de abril de 2023, a las 18:37, el
mismo día y a la misma hora en la que la Reclamante recibió la llamada comercial.
Insiste en señalar que en ningún momento se puede indicar, tal y como sostiene la
AEPD, que Several llevase a cabo la llamada a la reclamante en nombre de
GESTERNOVA, cuestión que no se deduce ni se puede deducir en ningún momento
del contenido de la citada llamada, y que la transcripción de dicha llamada evidencia la
existencia de una relación previa de la reclamante con Several, en virtud de la cual
Several recabó sus datos y, posteriormente, los comunicó a GESTERNOVA para que
se enviase la tarifa por la que la potencial clienta había mostrado interés.
A este respecto, destaca GESTERNOVA que si no existe constancia de ningún
contacto previo entre la reclamante y Several es porque la AEPD nunca recibió la
información requerida a la entidad que realizó la llamada, Business Power
Consultores, S.L., vinculada a Several. Several, prestando su servicio de asesoría
energética, presentó a la Reclamante la tarifa de GESTERNOVA, pero podría haberle
presentado la de cualquier otra comercializadora con las que colabora. De hecho, el
Agente no actúa ni trabaja en régimen de exclusividad para Contigo Energía, pudiendo
así ofrecer a sus clientes los servicios de la comercializadora que mejor considere.
Este hecho desvirtúa por sí solo por la posibilidad de que el Agente pueda ser
considerado encargado de tratamiento de GESTERNOVA o que los datos los hubiese
recibido Several de la propia GESTERNOVA, la cual solo trata los datos de los
potenciales clientes en el momento del alta en el “Área de Agentes”.
Añade al respecto: “En este sentido, el único tratamiento que ha llevado a cabo
Contigo Energía consiste en el envío de la oferta comercial al correo electrónico de la
Reclamante, el cual, se ha realizado después de confirmar que estaba de acuerdo en
recibirla”.
2. Sobre las malas prácticas realizadas por Several
Invoca nuevamente los principios de indubio pro-reo y presunción de inocencia al
entender que el procedimiento se incoa sin haber esclarecido los hechos que
fundamentan la imputación, por la falta de respuesta de la entidad Business Power
Consultores, S.L. al requerimiento de información que le fue realizado por los Servicios
de Inspección de la AEPD, que ha impedido acreditar que esta entidad, que realizó la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/47
llamada a la línea de la reclamante, no tiene relación con GESTERNOVA y que está
vinculada a Several, con la que comparte domicilio. Considera que estas
circunstancias acreditan que la recogida de los datos de la reclamante se llevó a cabo
por Several, como responsable del tratamiento independiente de GESTERNOVA y
responsable de las infracciones de los artículos 6 y 13 del RGPD.
Por otra parte, reitera que Several mintió en su respuesta a la AEPD, cuándo informó
que el único contacto que mantuvo con la reclamante tuvo lugar en octubre de 2020 y
que, prueba de ello es la grabación de la llamada que consta incorporada a las
actuaciones, de la que puede extraerse que hubo otras llamadas y correos
electrónicos, lo que indica que Several ya contaba con los datos de la reclamante, a la
que identifica como clienta de sus servicios de asesoramiento energético, y que no es
GESTERNOVA el origen de dichos datos.
3. Sobre el principio de prevalencia de la ley especial sobre la general y la aplicación
de la LSSI.
Reitera GESTERNOVA que este supuesto se encuentra en el ámbito de aplicación de
la LSSI, y lo hace reproduciendo literalmente los argumentos ya expresados en su
escrito de alegaciones a la apertura del procedimiento sobre la aplicación de la citada
LSSI en virtud del principio de especialidad; para añadir que la AEPD ha negado sin
ningún razonamiento ni motivación que el correo electrónico remitido a la reclamante
no responde al concepto de comunicación comercial según la definición contenida en
dicha norma.
Considera dicha entidad que las comunicaciones comerciales no se limitan a la
publicidad, sino que también abarcan cualquier acto vinculado a la promoción o venta
de productos y servicios. En el presente caso, el correo enviado a la reclamante
contenía un documento que reflejaba la oferta económica de la contratación de estos
servicios, lo que evidencia que la comunicación está directamente relacionada con la
fase de promoción de los servicios de GESTERNOVA, pues presenta la oferta
económica y los términos y condiciones que deben ser revisados y confirmados para
formalizar la contratación. Por tanto, cumple plenamente con la definición legal de
comunicación comercial.
Respecto a que las comunicaciones comerciales no se limitan únicamente a actos
publicitarios, destaca la definición que hace el Real Decreto Legislativo 1/2007, de 16
de noviembre, por el que se aprueba el texto refundido de la Ley General para la
Defensa de los Consumidores y Usuarios, el cual establece en su artículo 27.c que,
“se entiende por comunicación comercial todo acto, conducta o manifestación, incluida
la publicidad, no meramente informativa, que se relacione directamente con la
promoción o venta de bienes y servicios”.
4. Sobre la adopción de medidas
Considera que sus protocolos de contratación y, por consiguiente, el tratamiento de
datos personales llevado a cabo por GESTERNOVA está plenamente ajustado a las
disposiciones que regulan la protección de datos de carácter personal.
Para sostener esta afirmación alega nuevamente que la recogida de datos de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/47
reclamante la realizó Several en calidad de responsable del tratamiento independiente
y que GESTERNOVA únicamente trató estos datos después de que Several, en un
flujo responsable-responsable, se los comunicara. Una vez le hubieron cedido los
datos de la Reclamante, atendiendo a lo indicado por ésta en la llamada telefónica que
aportó Several como evidencia, GESTERNOVA procedió al envío de la oferta
comercial al correo electrónico que la propia Reclamante confirmó.
No obstante, lo anterior, si bien entiende que dicha entidad que no existen infracciones
de los artículos 6 y 13 del RGPD que deban ser corregidas, señala que se ha tomado
la decisión de actualizar los contratos con todos sus agentes comerciales de forma
que los roles y responsabilidades respecto al tratamiento de datos personales queden
definidos de forma más expresa. Añade que aportó como Anexo X de las Alegaciones
al Acuerdo de Inicio de Procedimiento Sancionador la nueva cláusula de protección de
datos personales a incluir en los contratos de agencia.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: La reclamante es usuaria de la línea de telefonía móvil número
***TELÉFONO.2.
SEGUNDO: Con fecha 19/07/2022, las entidades GESTERNOVA, dedicada a la
comercialización de energía eléctrica, y Several formalizaron un contrato de agencia,
en virtud del cual esta última se compromete a promover la comercialización, venta,
contratación y renovación de los productos ofertados por aquella comercializadora. Del
contenido de este contrato, que se declara reproducido en este acto, cabe destacar lo
siguiente:
“(…)”.
TERCERO: Con fecha 12/04/2023, a las 18:32 horas, la reclamante recibió en su línea
de telefonía número ***TELÉFONO.2 una llamada con origen en la línea
***TELÉFONO.1, con una duración de 83 segundos. La transcripción de esta llamada,
cuya grabación ha sido aportada a las actuaciones por GESTERNOVA, es la siguiente:
“[R] ¿Sí?
[A] Hola, muy buenas, ¿C.C.C.?
[R] Si, soy yo.
[A] ¿Qué tal? Mira, soy D.D.D.. Soy el chico que le lleva el contrato de la luz, que tiene
en ***DIRECCIÓN.1. Correcto, ¿verdad?
[R] Sí, sí.
[A] Mira, te comento, es que había subido… Le enviamos la notificación al correo
porque había subido el precio del kilovatio, ¿vale? Ahora … Vamos, el mes pasado, en
marzo. Entonces, ahora, para aplicarle el descuento de… de la tarifa, estamos
enviando de nuevo a los clientes al correo electrónico la… la nueva, que se le
quedaría el precio a 0,23.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/47
[R] Vale, pues, ¿me lo mandan por correo, por favor?
[A] Vale, sí. ¿Es este que tenemos de “***EMAIL.1”, ¿verdad?
[R] Eso es, eso es.
[A] Exacto. Pues mira, yo te lo voy a enviar, ¿vale?, y es, vamos, el mismo
procedimiento. Te metes en el correo, que te va a poner “Correo Gesternova”, ¿vale?
Que te… que es el nombre este de la tarifa que estamos enviando. Cuando te metes
dentro…
[R] Ya, pero es que…
[A] Dime, dime.
[R] No, pero bueno, esto lo… Me… Me llamáis mucho, diciendo que sois de mi
asesoría energética, y cosas así, y yo no tengo nada que ver con este tipo de cosas,
entonces…
[A] Pero…
[R]…yo soy muy consciente de… dime, dime.
[A] Sí, pero me refiero, que el correo a donde le enviamos la última actualización,
¿no?
[R] Vale, pues mándemelo al correo, perfecto, ya lo miro yo.
[A] Vale, vale, pues en eso quedamos. Venga C.C.C., gracias.
[R] Muchas gracias, eh. Adiós.
[A] Venga, buenas tardes”.
CUARTO: En la misma fecha del 12/04/2023, a las 18:38 horas, la reclamante recibió
un correo electrónico con el asunto "REVISE Y CONFIRME sus datos para contratar
electricidad con Gesternova", remitido desde la dirección
[email protected] a ***EMAIL.1. En este correo, firmado por el Servicio
de Atención al Cliente de GESTERNOVA, se le asignaba un código de solicitud y se
incluían todos sus datos personales (entre ellos, su nombre completo, DNI, dirección
de correo electrónico y teléfono), datos de suministro (CUPS), datos de instalación
(dirección completa y datos de contacto para la gestión -nombre y teléfono de la
reclamante), datos de pago (cuatro últimas cifras de la cuenta bancaria para la
domiciliación de pagos) y producto contratado (nombre del producto, potencias punta y
valle, precio). Previamente al detalle de esa información se indica “A continuación le
mostramos un resumen de los datos que nos ha proporcionado durante el proceso de
contratación. Para que podamos comenzar a tramitar su solicitud debe confirmar que
los siguientes datos son correctos”. Adicionalmente figura el código de agente
“***REFERENCIA.1” y el código de contratación “***REFERENCIA.2”. El correo
electrónico solicita revisar y confirmar los datos para proceder a la contratación “de
luz” con GESTERNOVA. En este correo se indica “Oferta válida durante 3 días (en
confirmaciones posteriores a dicho plazo, los precios podrías ser revisados…”.
QUINTO: La reclamante no respondió al correo electrónico reseñado en el Hecho
Probado Cuarto.
SEXTO: Con fecha 23/04/2023, la reclamante formuló reclamación ante esta AEPD
con motivo de los hechos reseñados en los Hechos Probados Tercero y Cuarto,
manifestando que no facilitó ningún dato personal con ocasión de la llamada telefónica
recibida en fecha 12/04/2023.
SÉPTIMO: Con motivo de la reclamación formulada por la reclamante ante la AEPD,
las entidades GESTERNOVA y Several trataron el asunto en diversos correos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/47
electrónicos, de los que cabe destacar lo siguiente:
1. Correo electrónico remitido por GESTERNOVA a Several, de fecha 13/04/2023,
en el que se indica: “Necesitamos la llamada de esta contratación con urgencia…
En paralelo, el cliente indica que le dijeron que no se preocupara que la
mandarían la oferta por correo y directamente le mandaron el revisa y confirma,
¿podéis contactar con él para aclarar la gestión realizada?”.
Y correo de respuesta al anterior, enviado desde la dirección ***EMAIL.2 al
destinatario ***EMAIL.3 el día 14/04/2023, en el que se indica: “Intentamos
contactar con el cliente y no contesta. Me dice el comercial que efectivamente le
envió el revise y confirma para que viera la oferta y si le interesaba que lo
confirmase y si no que no le diera a nada. Pero el cliente no ha confirmado nada”.
2. Correo electrónico dirigido el día 15/06/2023 desde GESTERNOVA a varias
personas de Several, con el asunto “Reclamación presentada por C.C.C.”, en la
que se solicita información concreta sobre la reclamación:
“. Fuente de obtención de los datos del cliente así como legitimación para el
tratamiento de dichos datos en nombre y por cuenta de Gesternova. En su caso,
incluid por favor el soporte documental que acredite dicha base de legitimación
(por ejemplo, contrato, consentimiento dado por el cliente, etc.).
. Llamadas previas realizadas con dicho cliente en nombre y por cuenta de
Gesternova.
. Si han contactado con dicho cliente previamente en nombre y por cuenta de otra
entidad cliente suya.
. Script o argumentario utilizado actualmente para contactar con los clientes.
. Cualquier otra información que consideréis necesaria para esclarecer los
detalles del incidente”.
Y respuesta al correo anterior, dirigida el día 16/06/2023 por el DPD de Several a
GESTERNOVA, informando que, “analizada la información disponible, y como
encargados del tratamiento, tan solo podemos acreditar que en el proceso de
toma de contacto” se ha respetado la normativa de protección de datos
personales.
3. Comunicación de GESTERNOVA, de fecha 21/06/2023, en la que se solicitan
información adicional sobre la reclamación. En esta comunicación se indica:
“Desde hace más de 15 días, les hemos venido solicitando una relación
descriptiva de los hechos concretos y evidencias relativo a una reclamación de la
AEPD. Sin embargo, la comunicación recibida, y emitida por su DPO, no alude o
explica su actuación, de promoción y generación de la oferta comercial relevante.
Además, deja sin respuesta nuestro requerimiento específico, sobre cuestiones
cruciales que permitan aclarar los datos y su origen, así como los detalles del
tratamiento, que en la fase pre-contractual realizan como encargados de
tratamiento de GESTERNOVA.
(…)
Para poder dar respuesta al requerimiento realizado por la AEPD, le solicitamos
que… nos informen sobre los siguientes detalles: • Tipología de datos de los que
SEVERAL ENERGY disponía de la reclamante como agente no exclusivo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/47
ejecutando labores de asesoramiento de productos de suministro energético y en
qué condición jurídica los trataba (en nombre propio o por cuenta de un tercero). •
Identificación del origen de cada uno de los datos incorporados en la oferta
generada y enviada a la reclamante. • Cronograma y descripción de las
comunicaciones con el sujeto afectado que SEVERAL ENERGY realizó de forma
previa con la reclamante. • En la medida en que en el proceso de contratación
hubiese intervenido sub-agentes, evidencia del acuerdo de encargo del
tratamiento suscrito por SEVERAL ENERGY con el mismo. • Cualquier otra
circunstancia relevante del tratamiento de datos del sujeto afectad
De acuerdo con el apartado 8 de la cláusula octava del contrato de agencia
suscrito el 19 de julio de 2022 (el “Contrato”), le solicitamos que, en relación con
la actividad que realizan, faciliten asimismo evidencias de los distintos tipos de
legitimación posible de la aportación de los datos para la realización de nuestras
ofertas comerciales.”
Adicionalmente ordenan a Several la suspensión de actividades comerciales en el
marco del contrato.
En respuesta a la anterior comunicación, en fecha 23/06/2023, Several remite un
correo electrónico a la dirección [email protected], en el que se ponen de
manifiesto las controversias que ambas entidades mantienen respecto del caso de
la reclamante y su resolución. Several manifiesta que no se le han proporcionado
los datos solicitados.
4. Correo electrónico, de fecha 26/06/2023, remitido por GESTERNOVA a Several,
en el que reitera su pregunta sobre “cuál es el origen de los datos de la
reclamante, que Several tenía en su poder y conocía antes de realizar la llamada
comercial identificada por dicha reclamante”.
5. (…)
6. Correo electrónico dirigido el día 28 de junio de 2023 por el DPD de Several al
DPD de GESTERNOVA, que incluye el siguiente texto en relación con la
reclamación:
“Partiendo ya desde un punto en el que entendemos que la cooperación y la
coordinación entre ambos son básicos para una defensa de este asunto, tras
hablar con mis representados (Several Energy), y obtener la información relativa a
categoría de datos tratados, base de legitimación y evidencias de las que
disponemos, estoy en condiciones de informaros de lo siguiente que pueda ser
utilizado como argumento de respuesta al requerimiento de la AEPD:
1. Nuestro sistema de recogida de datos en origen, en este caso
concreto y por razones absolutamente desconocidas por nuestro
administrador de sistemas, no ha conservado el "log" referente a la hoy
denunciante. Esto nos coloca en una situación donde no hay una base de
legitimación de consentimiento expreso.
2. No obstante, lo anterior, y conforme a la conversación de la que
disponemos, de ésta se deduce, de boca de la hoy denunciante, de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/47
existencia de una conversación previa, que ampararía un interés legítimo de
la entidad y conforme a LSSI, un contacto legal.
3. De la conversación de la que disponemos, también se llega a
evidenciar que es la propia denunciante la que acaba solicitando el envío de
las condiciones ofertadas, lo que reforzaría igualmente ese supuesto interés
legítimo.
4. Que de la conversación tampoco se deduce que exista una situación
de vulneración de derechos y libertades, y así, la afectada, en ningún
momento llega a protestar o a solicitar que no vuelva a ser contactada.
5. (…)”.
OCTAVO: Con fecha 31/05/2023, GESTERNOVA remitió un correo electrónico a
Several, desde la dirección ***EMAIL.3 al destinatario E.E.E., acompañando el
“consentimiento legal modelo que debe constar en todas las grabaciones”. En el anexo
se plasma el argumentario que debe seguir el agente de Several, según el cual debe
advertir al interesado que la conversación será grabada para “que quede constancia
en su interés en contratar el suministro de luz con Gesternova Energía” y solicitar su
consentimiento; confirmar los datos para poder validar el contrato; así como describir
la oferta y condiciones del contrato, pidiendo al cliente la conformidad con las mismas.
Se añade: “El responsable del tratamiento es Gesternova Energía, la cual tratará sus
datos para atender su solicitud y gestionar la relación contractual. Podrá conocer el
resto de finalidades del tratamiento de sus datos, así como la forma en la que pueden
ejercer sus derechos en materia de protección de datos a través de la Política de
Protección de Datos.
Para la finalización de este contrato le vamos a remitir un email al correo electrónico
que nos has facilitado, para que nos confirme la contratación y al que deberá aceptar
el hipervínculo. ¿De acuerdo?”.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/47
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjuntos
de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;
La figura del “responsable del tratamiento” se define en el artículo 4.7 del RGPD como
“la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o
junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión
o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.
En el presente caso, de la investigación practicada resulta acreditada la existencia de
un tratamiento de datos personales, de acuerdo con lo establecido en los artículos 4.1
y 4.2 del RGPD, realizado por la parte reclamada.
III
Contestación a las alegaciones al acuerdo de inicio
En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:
1. Sobre el rol de Responsable del Tratamiento de Several
Afirma la parte reclamada, que tanto la llamada objeto de la reclamación como los
tratamientos de datos previos a la misma fueron realizados por SEVERAL en calidad
de Responsable del Tratamiento independiente y que la recogida de datos
directamente de la interesada la realizó SEVERAL también en calidad de Responsable
del Tratamiento independiente a GESTERNOVA.
Sobre esta cuestión, conviene precisar en primer término que nada en el contrato
formalizado por Several y Gesternova establece ese reparto de responsabilidades,
como bien queda reseñado en el Hecho Probado Segundo, en el que se recogen los
aspectos sustanciales del contrato sobre esta cuestión, según los cuales Several actúa
como encargada del tratamiento de GESTERNOVA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/47
Por otra parte, hay que señalar, que las Directrices del CEPD 07/2020 del Comité
Europeo de Protección de Datos (CEPD), Versión 2.0, adoptadas el 7 de julio de 2021
(en adelante Directrices 07/2020) destacan que los conceptos de responsable del
tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario
establecerlos en virtud de sus actividades concretas en el caso analizado:
“12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento»
son conceptos funcionales: su objetivo es asignar responsabilidades en función del
papel real de cada parte. Esto implica que la condición jurídica de «responsable del
tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en
principio en virtud de sus actividades concretas en una situación determinada y no en
función de la designación formal de un participante como «responsable del
tratamiento» o «encargado del tratamiento» (p. ej., en un contrato). Esto implica que la
asignación de la función de responsable o encargado debe derivar normalmente de un
análisis de los hechos o circunstancias del caso y, en consecuencia, no es
negociable.”
Asimismo, las referidas Directrices 07/2020 abogan por una interpretación amplia del
concepto de responsable del tratamiento con el fin de promover una protección eficaz
y completa de los interesados. En este sentido, prevén:
“14. Puesto que el objetivo último de la atribución de la función de responsable del
tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e
integral de los datos personales, el concepto de «responsable» debería interpretarse
de un modo suficientemente amplio, de manera que promueva, en la medida de lo
posible, una protección eficaz y completa de los interesados , con el fin de garantizar
la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar
lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga
una merma de las atribuciones del encargado del tratamiento.”
A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices 07/2020
destacan:
“20. (…) El responsable del tratamiento es quien decide determinados aspectos
esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede
establecerse en la normativa o deducirse de un análisis de los hechos o las
circunstancias del caso. Es necesario dirigir la atención a las actividades de
tratamiento concretas de que se trate y comprender quién las determina. Para ello,
primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el
tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un
fin concreto?».”
En el presente caso, GESTERNOVA actúa como responsable del tratamiento en tanto
que es quien define los fines y medios, de acuerdo con el artículo 4.7 del RGPD.
Por su parte, el artículo 4.8 del RGPD entiende por “encargado de tratamiento” “la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento”.
En este caso, SEVERAL actuaría como encargada del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/47
Las Directrices 07/2020 indican dos condiciones fundamentales para ser considerado
encargado del tratamiento:
“76. Para ser considerado encargado del tratamiento, es necesario reunir dos
condiciones fundamentales:
a) ser un ente independiente del responsable del tratamiento; y
b) tratar datos personales por cuenta del responsable.”
Ambas condiciones concurren en el supuesto analizado.
Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus
Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses:
“80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un
responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por
cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de
«delegación».”
Las referidas Directrices 07/2020 resaltan que nada impide que el encargado del
tratamiento (en este caso, SEVERAL) ofrezca un servicio previamente definido:
“84. Tal como se ha indicado previamente, nada impide que el encargado del
tratamiento ofrezca un servicio previamente definido, pero el responsable del
tratamiento debe adoptar la decisión final de aprobar el modo en que se efectuará el
tratamiento, al menos en lo relativo a los medios esenciales.”
Las previsiones respecto al encargado del tratamiento están recogidas en el artículo
28 del RGPD que estipula obligaciones concretas para el encargado del tratamiento,
directamente exigibles a este. En lo que aquí interesa, estacamos lo siguiente:
"1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiadas, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.
(…)
3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en
particular, que el encargado:
a) tratará los datos personales únicamente siguiendo instrucciones documentadas del
responsable…;
(…)
h) pondrá a disposición del responsable toda la información necesaria para demostrar
el cumplimiento de las obligaciones establecidas en el presente artículo, así como
para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por
parte del responsable o de otro auditor autorizado por dicho responsable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/47
En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará
inmediatamente al responsable si, en su opinión, una instrucción infringe el presente
Reglamento u otras disposiciones en materia de protección de datos de la Unión o de
los Estados miembros.
(…)”.
El cumplimiento de las obligaciones previstas en el artículo 28 del RGPD no es una
obligación meramente formal, sino que tiene un contenido material.
En el presente caso, la relación jurídica entre GESTERNOVA y SEVERAL figura en un
contrato suscrito entre ambas entidades el día 19 de julio de 2022 y consta en el
mismo que GESTERNOVA actúa como responsable del tratamiento y SEVERAL es el
encargado del tratamiento.
El contrato tiene por objeto la regulación de las condiciones bajo las cuales SEVERAL
prestaría servicios de captación de clientes y comercialización de los productos de
GESTERNOVA de acuerdo con las instrucciones y protocolos determinadas por esta
última, que es quien determina los fines y los medios.
En consecuencia, tal y como se ha determinado previamente, de acuerdo con el
carácter funcional de los conceptos de responsable y encargado del tratamiento, en
relación con los hechos que motivan la presente actuación sancionadora,
GESTERNOVA tiene la condición de responsable del tratamiento, mientras que
SEVERAL es el encargado del tratamiento.
2. Sobre la legitimación de GESTERNOVA para el envío de la oferta comercial por
correo electrónico, y la ausencia de infracción por parte de Contigo Energía del art. 6.1
del RGPD
Señala que la grabación de la llamada comercial demuestra que los datos personales
de la Reclamante habían sido obtenidos previamente por Several como prestador de
un servicio de asesoría energética en el que actúa como Responsable del Tratamiento
de los datos de la Reclamante.
Indican, que ante la evidencia aportada (por segunda vez) resulta evidente que
Contigo Energía estaba legitimado al envío de la oferta comercial, en tanto que
Several, durante la ejecución del servicio de asesoría energética que presta a sus
clientes (en calidad de Responsable del Tratamiento), obtuvo el permiso/solicitud de la
Reclamante para que esta pudiera recibir la oferta comercial a su correo electrónico.
Sostiene, que ha quedado acreditado que Contigo Energía envió la oferta comercial,
según lo consentido por la interesada, y que resulta de manifiesto el cumplimiento de
la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de 20
comercio electrónico (en adelante, “LSSI”), la cual es la norma aplicable al envío de
comunicaciones comerciales, en tanto que, siguiendo el principio que rige nuestro
ordenamiento jurídico de “ley especial desplaza a ley general”, ésta desplaza la
aplicación del RGPD.
Añade que el hecho de que la reclamante indicara su interés en recibir la oferta
comercial de “Gesternova”, así como el hecho de que no resulta de aplicación el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/47
RGPD para este supuesto, comporta que no pueda ser imputable a Contigo Energía
ninguna infracción del art. 6 del RGPD, tipificada en el art. 83.5.a del RGPD.
En el presente supuesto, tal como reconoce GESTERNOVA en su escrito de
contestación a esta Agencia de fecha 5 de julio de 2023, consta acreditado que el día
12 de abril de 2023 se remitió un correo electrónico a la dirección de la reclamante
solicitándole la confirmación de sus datos para la formalización de una contratación de
suministro de electricidad. Según indica, los datos contenidos en este correo, incluidos
nombre, DNI, número de cuenta bancaria y otros identificadores personales, fueron
proporcionados por el agente externo SEVERAL.
Manifiesta que, tras recibir la reclamación, procedió a requerir a SEVERAL información
relativa al origen de los datos de la reclamante y a las circunstancias de la llamada
comercial. En respuesta, SEVERAL aportó una transcripción de la conversación
telefónica mantenida con la reclamante, argumentando que esta constituía evidencia
suficiente de un interés legítimo para contactar con ella.
Sin embargo, GESTERNOVA afirma desconocer el origen de los datos de la
reclamante sometidos a tratamiento para el envío del correo electrónico antes
indicado, no existiendo ninguna evidencia de que tales fueran facilitados por la
reclamante y tratados con su consentimiento. Interesa destacar que la reclamante
únicamente fue advertida sobre el envío de una oferta.
Sostiene que esos datos los recaba SEVERAL que tiene sus propias bases de datos,
ignorándose como se obtuvieron los datos de carácter personal de la parte
reclamante, sin que conste ninguna evidencia al respecto. Esta circunstancia viene a
agravar la responsabilidad de GESTERNOVA en orden a garantizar el cumplimiento de
los principios de protección de datos personales.
La condición de SEVERAL como encargado del tratamiento al gestionar datos
personales a través del sistema web proporcionado por GESTERNOVA manifiesta la
responsabilidad de esta última como responsable del tratamiento, ya que dicha
relación contractual, regulada por el artículo 28 del RGPD, obliga a GESTERNOVA a
supervisar las actividades del encargado y garantizar que los datos tratados cumplan
con los principios de licitud y trazabilidad.
No consta ningún contacto previo de la reclamante solicitando los servicios de Several,
ninguna actuación de Several como responsable, solo una llamada en la que se
comenta el envío de una oferta de servicios, que posteriormente y de forma sorpresiva
para la reclamante se canalizada a través de los sistemas de Gesternova,
materializada en el envío de un correo a la reclamante cumplimentada con los datos
de la reclamante que ésta niega haber facilitado.
Al permitir el acceso al sistema para la gestión de datos, GESTERNOVA asume un
control funcional sobre las operaciones realizadas en su nombre y no puede alegar
desconocimiento sobre el origen de los datos incorporados al sistema, siendo su deber
implementar mecanismos efectivos para verificar su legitimidad.
La propia entidad GESTERNOVA ha manifestado que los agentes de SEVERAL
acceden a un sistema proporcionado por aquella con un usuario autorizado, para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/47
recoger los datos personales necesarios del solicitante con el fin de gestionar el inicio
del proceso de contratación de los productos de suministro energético con
GESTERNOVA.
Dicho tratamiento, sin estar debidamente legitimado para ello, implica una falta de
licitud en el tratamiento de los datos personales de la parte reclamante y, en
consecuencia, una presunta vulneración del artículo 6.1 del RGPD.
3. Sobre el cumplimiento de diligencia debida de GESTERNOVA, S.A. al contratar a
sus Agentes Comerciales, y la ausencia de infracción del art. 14 del RGPD
El artículo 14 del RGPD se refiere a la información que se debe facilitar a los
interesados cuando los datos personales no se hayan obtenido de ellos, sino de otras
fuentes.
El artículo 14 RGPD establece que cuando los datos personales de un interesado no
se hayan recogido directamente de él, el responsable del tratamiento debe
proporcionar una serie de informaciones esenciales para garantizar la transparencia.
Entre ellas, se incluyen la identidad y los datos de contacto del responsable del
tratamiento, los fines del tratamiento, la base jurídica, las categorías de los datos
tratados, la procedencia de los datos y los derechos que asisten al interesado, entre
otros aspectos.
Dicho artículo obliga a que esta información deba proporcionarse en un plazo
razonable, a más tardar en el plazo de un mes y en el primer contacto con el
interesado, o antes de que los datos sean comunicados a un tercero. Tiene como
objetivo principal garantizar que los interesados reciban la información necesaria
cuando sus datos personales son obtenidos de terceros. Este requisito pretende evitar
que los interesados queden en una posición de vulnerabilidad al desconocer cómo, por
quién y con qué finalidad se están utilizando sus datos. El artículo 14 asegura que los
derechos del interesado no se vean menoscabados por la falta de información,
estableciendo que el responsable del tratamiento debe actuar de manera proactiva
para proporcionar toda la información relevante en tiempo y forma.
En el presente caso, sin embargo, no existe evidencia alguna según la cual los datos
personales de la reclamante procedan de una base de datos personales externa a
GESTERNOVA, de modo que la imputación de la infracción de este artículo 14 debe
archivarse.
Lo que sí consta acreditado, como ya se ha indicado, es la incorporación de los datos
de la reclamante a los sistemas de información de GESTERNOVA sin que esta entidad
haya acreditado haber facilitado a la misma previamente la información prevista en el
artículo 13 del RGPD.
4. Sobre las malas prácticas realizadas por Several
Señala, que la AEPD no disponía de todos los elementos necesarios para adoptar una
decisión informada y la apertura del procedimiento sancionador se ha debido al
transcurso del plazo establecido, por lo que el inicio es prematuro e improcedente y
ello debe suponer el archivo de las actuaciones y del presente expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/47
Hay que destacar que en el momento que se inició el presente procedimiento
sancionador, esta Agencia disponía de los elementos necesarios para iniciar el mismo,
dado que ha quedado acreditado que GESTERNOVA en su condición de responsable
del tratamiento debe supervisar el tratamiento, lo que incluye la realización de
inspecciones y auditorías para comprobar que el encargado cumple con sus
obligaciones.
Las cuestiones a las que se refiere esta alegación de GESTERNOVA no forman parte
de los hechos considerados para fundamentar las infracciones imputadas.
5. Sobre el principio de prevalencia de la ley especial sobre la general, y la aplicación
de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico
GESTERNOVA señala que el tratamiento datos realizado que consiste en el envío de
la oferta comercial por correo electrónico está regulado por lo establecido en la LSSI,
siendo que, cualquier infracción vinculada a esta práctica deba ser, en su caso,
sancionada por lo establecido en esta ley especial, en tanto en cuanto, ésta desplaza
a la aplicación del RGPD, por lo que no resultaría conforme a derecho una sanción
fundamentada en una infracción del art. 6 del RGPD en lo que refiere al envío por
parte de Contigo Energía de una oferta comercial por correo electrónico.
La parte reclamada alega que Ley 34/2002, de 11 de julio, de servicios de la sociedad
de la información y de comercio electrónico (en adelante, “LSSI”), es la norma
aplicable al envío de comunicaciones comerciales, en tanto que, siguiendo el principio
que rige nuestro ordenamiento jurídico de “ley especial desplaza a ley general”, ésta
desplaza la aplicación del RGPD.
No obstante, esta alegación debe rechazarse por cuanto el indicado correo electrónico
no responde al concepto de “comunicación comercial” regulado en la LSSI, en la que
se define como “toda forma de comunicación dirigida a la promoción, directa o
indirecta, de la imagen o de los bienes o servicios de una empresa, organización o
persona que realice una actividad comercial, industrial, artesanal o profesional”.
FINALES. Sobre las circunstancias atenuantes aplicables al procedimiento de
referencia.
Dejando al margen las cuestiones alegadas por GESTERNOVA relacionadas con el
fundamento de las imputaciones y otras alegaciones sustantivas, en base a las que
solicita la reducción de los importes de multa propuestos, las cuales no guardan
relación con lo establecido en los artículos 83.1 y 2 del RGPD y 76 de la LOPDGDD,
dicha entidad considera que las sanciones a imponer deben graduarse atendiendo a
los siguientes factores:
. Únicamente se ha visto afectado un único interesado persona física;
. GESTERNOVA no ha accedido a datos personales de categorías especiales, sino a
los estrictamente necesarios para realizar una oferta comercial.
. El grado de cooperación con la autoridad de control y las medidas adoptadas para
mitigar el daño, por cuanto ha facilitado todo tipo de documentación requerida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/47
Esta última cuestión no puede ser tenida en cuenta en la medida en que contestar a
los requerimientos de información enviados desde esta Agencia no es encuadrable en
esta circunstancia atenuante.
En cuanto a las dos circunstancias primeras, esto es, la afectación a un único
interesado y la categoría de los datos personales tratados, nos remitimos a lo
expresado en los Fundamentos de Derecho VII y X, en los que se gradúan las multas
a imponer por las infracciones de los artículos 6.1 y 13 del RGPD, reduciendo las
cuantías de multas determinadas en el acuerdo de apertura del procedimiento.
IV
Contestación a las alegaciones a la propuesta de resolución
Las alegaciones ahora formuladas reproducen, en lo sustancial y en el mismo orden
en que fueron expuestas, las ya presentadas en la fase inicial del procedimiento, las
cuales fueron expresamente valoradas y contestadas en la propuesta de resolución,
por lo que nos remitimos y ratificamos en lo ya manifestado en dicha propuesta, cuyos
argumentos constan reproducidos en el Fundamento de Derecho que precede.
Sin perjuicio de lo anterior, se estima oportuno realizar determinadas precisiones.
1. Después de una alegación previa, dedicada a exponer brevemente los
antecedentes del procedimiento, y una primera alegación relativa a la condición de
responsable del tratamiento que GESTERNOVA atribuye a la entidad Several, en las
que se reproducen literalmente los mismos apartados contenidos en las alegaciones
formuladas a la apertura del procedimiento, GESTERNOVA insiste (i) en la existencia
de legitimación para el envío a la reclamante de la comunicación comercial por correo
electrónico de la que trae causa el procedimiento, (ii) en la ausencia de infracción del
artículo 6 del RGPD, todo ello en base a los mismos argumentos que valoró en sus
escritos de alegaciones anteriores y (iii) en las malas prácticas realizadas por Several.
Se refiere, en concreto, a la recogida de los datos personales de la reclamante por
Several bajo su propia cuenta y riesgo, como prestador de servicios de asesoramiento
energético que no actúa como agente exclusivo, los cuales fueron posteriormente
comunicados a GESTERNOVA a través del “Área de Agentes”, como un flujo de
información realizado de responsable a responsable. Sobre esta base, niega que la
llamada a la reclamante se realizase por Several en nombre de GESTERNOVA y
añade que esto hubiese podido acreditarse si la AEPD hubiese obtenido la información
requerida a la entidad que realizó dicha llamada, la cual está vinculada a Several.
Al realizar este planteamiento GESTERNOVA no tiene en cuenta el concreto
tratamiento de datos que se sanciona, consistente en el registro de los datos
personales de la reclamante en sus propios sistemas de información y en la utilización
de esos datos para el envío de un correo electrónico con el propósito de que ésta
confirme la contratación de los servicios de suministro de luz que aquella presta.
Según ha manifestado GESTERNOVA en su escrito de alegaciones, la confirmación
de la solicitud de contratación se realiza de manera directa por medio de un correo
electrónico enviado por la propia GESTERNOVA a la dirección de correo facilitada por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/47
el interesado y se solicita la confirmación expresa de su interés en recibir la oferta
solicitada.
En este caso, este correo de confirmación se remite a la reclamante en fecha del
12/04/2023, a las 18:38 horas, con el asunto "REVISE Y CONFIRME sus datos para
contratar electricidad con Gesternova", remitido desde la dirección
[email protected] a ***EMAIL.1. En este correo, firmado por el Servicio
de Atención al Cliente de GESTERNOVA, se le asignaba un código de solicitud y se
incluían todos sus datos personales (entre ellos, su nombre completo, DNI, dirección
de correo electrónico y teléfono), datos de suministro (CUPS), datos de instalación
(dirección completa y datos de contacto para la gestión -nombre y teléfono de la
reclamante), datos de pago (cuatro últimas cifras de la cuenta bancaria para la
domiciliación de pagos) y producto contratado (nombre del producto, potencias punta y
valle, precio). Previamente al detalle de esa información se indica “A continuación le
mostramos un resumen de los datos que nos ha proporcionado durante el proceso de
contratación. Para que podamos comenzar a tramitar su solicitud debe confirmar que
los siguientes datos son correctos”. Adicionalmente figura el código de agente
“***REFERENCIA.1” y el código de contratación “***REFERENCIA.2”. El correo
electrónico solicita revisar y confirmar los datos para proceder a la contratación “de
luz” con GESTERNOVA. En este correo se indica “Oferta válida durante 3 días (en
confirmaciones posteriores a dicho plazo, los precios podrías ser revisados…”.
Este concreto tratamiento se realiza en el marco del contrato suscrito por
GESTERNOVA con Several, que intervienen bajo la condición de responsable y
encargado del tratamiento, respectivamente, según la propia entidad GESTERNOVA
ha admitido. Siendo así, corresponde a GESTERNOVA acreditar que dicho tratamiento
de datos cumpla las exigencias previstas en el RGPD, conforme a lo establecido en su
artículo 5.2, según el cual “el responsable del tratamiento será responsable del
cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo
(Responsabilidad proactiva)”.
GESTERNOVA ha manifestado, tanto en su respuesta al trámite de traslado de la
reclamación como en su escrito de alegaciones a la apertura del procedimiento que
cuando un interesado manifiesta interés por una oferta concreta de GESTERNOVA los
agentes pasan a actuar como encargados del tratamiento, accediendo a un sistema
proporcionado por aquella con un usuario autorizado, para recoger los datos
personales necesarios del solicitante con el fin de gestionar el inicio del proceso de
contratación de los productos de suministro energético con GESTERNOVA.
Asimismo, manifestó que en el proceso de contratación intervienen dos entidades:
primero, la parte reclamada GESTERNOVA en su condición de responsable del
tratamiento; segundo, Several en su condición de empresa colaboradora y encargada
del tratamiento.
El propio contrato suscrito por ambas entidades, de fecha 19/07/2022, en virtud del
cual Several se compromete a promover la comercialización, venta, contratación y
renovación de los productos ofertados por GESTERNOVA define su objeto en los
términos siguientes:
“PRIMERA. OBJETO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/47
1.1.- El AGENTE se compromete a promover y concluir en nombre y por cuenta de
GESTERNOVA la venta y contratación de sus productos a clientes”.
Y se añade:
“Para la realización de las actividades objeto de este contrato, el AGENTE deberá
acceder a datos de carácter personal responsabilidad de GESTERNOVA (en adelante,
los “Datos”). A estos efectos, el AGENTE tendrá la consideración de encargado del
tratamiento de GESTERNOVA, comprometiéndose a cumplir las siguientes
obligaciones, de acuerdo a la normativa de protección de datos, en lo que respecta al
tratamiento de datos personales y a la libre circulación de estos datos:
1º. Tratar únicamente los Datos conforme a las instrucciones que le facilite
GESTERNOVA, y no aplicarlos a un fin distinto del desarrollo de las actividades objeto
del presente contrato.
(…)
9º… cualquier recogida de Datos que realice el AGENTE por cuenta de
GESTERNOVA se efectuará utilizando los formularios y procedimientos
proporcionados por GESTERNOVA, de forma que se garantice que todos los clientes
y/o posibles clientes han sido informados y han consentido, en su caso, el tratamiento
de sus datos de carácter personal por parte de GESTERNOVA”.
Por tanto, no se trata de una comunicación de datos de responsable a responsable, de
un flujo de información de Several a GESTERNOVA, ambos interviniendo como
responsables, según defiende GESTERNOVA en este trámite, en contra de lo
estipulado en el contrato que regula la relación que les vincula y en contra de sus
propias manifestaciones.
En todo caso, aunque así lo admitiéramos, el tratamiento realizado por GESTERNOVA
con la incorporación de los datos a sus sistemas de información sin tener constancia
cierta de su origen y la conformidad de la reclamante resultaría igualmente ilícito, no
siendo posible admitir que ese tratamiento se hubiese llevado a cabo por
GESTERNOVA sin haberse asegurado de que Several disponía del consentimiento
para la comunicación de datos y su finalidad.
Sobre la existencia de legitimación para el tratamiento de datos personales realizado
ilícitamente por GESTERNOVA interesa destacar las cuestiones tratadas en los
diversos correos electrónicos que constan reseñados en el Hecho Probado Séptimo,
que muestran el interés de GESTERNOVA en conocer y documentar el origen de los
datos y la realidad de la contratación supuestamente pretendida por la reclamante,
todo ello con motivo de las actuaciones seguidas en esta AEPD con ocasión de la
reclamación formulada, sin que conste ninguna comprobación en tal sentido previa al
tratamiento de los datos.
Incluso, es en fecha 31/05/2023, ya iniciadas actuaciones por esta Agencia, cuando
GESTERNOVA se plantea remitir a Several el correo reseñado en el Hecho Probado
Octavo para impartirle instrucciones sobre aspectos tan esenciales como el
argumentario que debe seguir el agente, la grabación de la conversación telefónica
que acredite el consentimiento para la contratación y el tratamiento de datos o la
información que debe facilitarse al interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/47
2. Alega nuevamente GESTERNOVA que resulta de aplicación al presente caso el
régimen previsto en la LSSI, por el principio de prevalencia de la ley especial sobre la
general.
Sobre esta cuestión, GESTERNOVA, una vez más, se limita a reproducir literalmente
los argumentos contenidos en su escrito de alegaciones a la apertura del
procedimiento, añadiendo únicamente que la AEPD no ha explicado por qué el correo
electrónico remitido a la reclamante no responde al concepto de comunicación
comercial según la definición contenida en dicha norma, que no se limita a actos
publicitarios e incluye cualquier acto vinculado a la promoción o venta de productos y
servicios
Sin embargo, en este caso, el correo electrónico en cuestión nada tiene que ver con la
promoción de la imagen o servicios de una empresa que lleva a cabo una actividad
comercial, en el sentido expresado en la definición de comunicación comercial
recogida en la LSSI, ya reseñada en el Fundamento de Derecho anterior. No se trata
en este caso del envío de una comunicación comercial, sino del registro de los datos
en el sistema de información de GESTERNOVA y el uso de tales datos para enviar un
correo de confirmación de una supuesta contratación de suministro eléctrico, cuya
naturaleza se ajusta a la de una actuación contractual o precontractual, tal y como
refiere la misma GESTERNOVA en los correos electrónicos reseñados en los hechos
probados.
Siendo así, el presente procedimiento no trata de un supuesto regulado por la LSSI,
que no resulta, por tanto, de aplicación.
3. Sobre la adopción de medidas
Señala GESTERNOVA que ha decidido actualizar los contratos con todos sus agentes
y que ha modificado la cláusula de protección de datos a incluir en dichos contratos, si
bien nada ha acreditado sobre la efectiva implantación de nuevas medidas y el
alcance de las mismas.
4. Finalmente, interesa a esta AEPD destacar que GESTERNOVA, en su escrito de
alegaciones a la propuesta de resolución, nada alega respecto de los criterios
valorados para la determinación de los importes de la multa propuestos, que esta
resolución toma por válidos, salvo su revisión por aplicación del régimen sancionador
previsto en la LSSI, la cual, según se ha concluido anteriormente, no es aplicable en
este caso.
V
Obligación incumplida: infracción del artículo 6.1 del RGPD
El tratamiento llevado a cabo podría ser constitutivo de una infracción del artículo 6.1
del RGPD, Licitud del tratamiento, que dispone:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/47
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones”.
El Considerando 40 de la RGPD, dispone que «Para que el tratamiento sea lícito, los
datos personales deben ser tratados con el consentimiento del interesado o sobre
alguna otra base legítima establecida conforme a Derecho, ya sea en el presente
Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que
se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal
aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con
el que sea parte el interesado o con objeto de tomar medidas a instancia del
interesado con anterioridad a la conclusión de un contrato.»
El tratamiento de datos de carácter personal requiere la existencia de una base legal
que lo legitime.
De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen
otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con
la autorización de su titular, en particular, cuando sea necesario para la ejecución de
un contrato en el que el afectado es parte o para la aplicación, a petición de este, de
medidas precontractuales, o cuando sea necesario para la satisfacción de intereses
legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del afectado que requieran la protección de tales datos. El tratamiento
también se considera lícito cuando sea necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.
En el presente caso, de las manifestaciones de las partes y de la documentación
aportada al expediente se desprende que GESTERNOVA, el día 12 de abril de 2023,
envío a la dirección de correo electrónico de la reclamante ***EMAIL.1 un correo
electrónico de confirmación de datos para la verificación del inicio de la contratación
del producto "***PRODUCTO.1" de suministro de energía, correo que contiene la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/47
identificación del agente ("***REFERENCIA.1"), y los datos personales de la
reclamante que constan reseñados en el Hecho Probado Cuarto, entre ellos el
nombre, DNI, teléfono, email, CUPS, dirección, últimos cuatro dígitos de la cuenta
bancaria.
Pues bien, en el proceso de contratación intervienen dos entidades: primero, la parte
reclamada GESTERNOVA en su condición de responsable del tratamiento; segundo,
Several en su condición de empresa colaboradora y encargada del tratamiento.
En cuanto al modus operandi de la contratación, de las actuaciones de investigación
se desprende que el mismo se lleva a cabo de la siguiente forma:
- El agente contacta con el/los posible/s cliente/s informando/les de la/s oferta/s,
lo que se conoce como llamadas de captación.
- Posteriormente, la confirmación de la solicitud de contratación se realiza por
Several a través de los aplicativos de GESTERNOVA por medio de un correo
electrónico enviado a la dirección de correo facilitada por el interesado en el
que se solicita la confirmación expresa de su interés en recibir la oferta
solicitada. Several interviene bajo la condición de encargada del tratamiento,
en nombre y por cuenta de GESTERNOVA.
- por último, se le envía el contrato a fin de que sea firmado con la nueva
comercializadora.
De conformidad con lo señalado en el proceso de contratación llevado a cabo, por
GESTERNOVA afirma desconocer de donde salieron los datos de la reclamante
incluidos en el correo electrónico en el que se le envía la oferta. Sostiene
GESTERNOVA que esos datos los recaba Several, que tiene sus propias bases de
datos, y que ignora como se obtuvieron. Sin embargo, dicha afirmación no se
corresponde con la manifestación que realizó Several, según la cual “Several actúa
como encargado de tratamiento en la solicitud a partir de la aportación de los datos
para la generación de nuevas ofertas, así como renovaciones y oferta de productos a
clientes ya existentes adicionales al suministro eléctrico de Gesternova. Esta
prestación de servicios es realizada desde el servicio Web que Gesternova pone a su
disposición para que pueda facilitar y/o acceder a los datos necesarios para gestionar
la contratación o renovación de productos por parte de clientes de Gesternova.
Adjuntamos a este escrito copia del contrato de prestación de servicios entre
Gesternova y Several”
La condición de SEVERAL como encargado del tratamiento al gestionar datos
personales a través del sistema web proporcionado por GESTERNOVA manifiesta la
responsabilidad de esta última como responsable del tratamiento, ya que dicha
relación contractual, regulada por el artículo 28 del RGPD, obliga a GESTERNOVA a
supervisar las actividades del encargado y garantizar que los datos tratados cumplan
con los principios de licitud y trazabilidad. Al permitir el acceso al sistema para la
gestión de datos, GESTERNOVA asume un control funcional sobre las operaciones
realizadas en su nombre y no puede alegar desconocimiento sobre el origen de los
datos incorporados al sistema, siendo su deber implementar mecanismos efectivos
para verificar su legitimidad. Ello pone de manifiesto su responsabilidad directa en la
gestión de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/47
Dicho tratamiento, sin estar debidamente legitimado para ello, implica una falta de
licitud en el tratamiento de los datos personales de la parte reclamante y, en
consecuencia, una vulneración del artículo 6.1 del RGPD.
Por tanto, se considera que la conducta de la parte reclamada vulnera el principio de
licitud consagrado en el artículo 6.1 del RGPD, tipificada en el artículo 83.5 a) del
RGPD.
VI
Tipificación y calificación de la infracción del artículo 6.1 del RGPD
La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo
83.5 a) del RGPD, que considera que la infracción de “los principios básicos para el
tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,
6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del
citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones
los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica”.
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones
de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)
2016/679.
(…)”
VII
Propuesta de sanción por la infracción del artículo 6.1 del RGPD
A fin de establecer la multa administrativa que procede imponer han de observarse las
previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/47
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76,
“Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/47
supuestos en los que existan controversias entre aquellos y cualquier interesado.”
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa.
Procede cuantificar la sanción a imponer, considerando para ello que la multa que se
imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria,
conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos
principios, se considera, con carácter previo, el volumen de negocio de
GESTERNOVA, que en el ejercicio 2023 ascendió a 631.849.080 euros.
En primer término, se tiene en cuenta la categoría de la infracción cometida,
comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con
la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de
20 millones de euros o, tratándose de una empresa, con una multa por una cuantía
equivalente al 4% como máximo de su volumen de negocio anual. Según el citado
precepto, al establecer el importe máximo aplicable debe optarse por el límite de
mayor cuantía, de los dos fijados por la norma.
En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el
año 2023 a 631.849.080 euros, el importe de la multa que procede imponer estará
necesariamente situado entre 0,00 euros y 25.273.963 euros.
De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la
sanción a imponer en el presente caso por la infracción del artículo 6.1 del RGPD de la
que se responsabiliza a GESTERNOVA, tipificada en el artículo 83.5.a) del RGPD, se
estiman concurrentes los siguientes factores:
1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en
consideración las circunstancias siguientes:
. Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido”.
. Naturaleza de la infracción:
El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la
disposición infringida afecta a un principio básico del derecho a la protección de
datos personales, como es el de licitud y su violación entraña un riesgo importante
para los derechos de los interesados.
En este caso, la conducta de GESTERNOVA ha provocado, de forma directa, la
lesión del bien jurídico protegido por el artículo 6 del RGPD, impidiendo su
aplicación efectiva y el objetivo que pretende proteger.
. Gravedad de la infracción:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
39/47
. El alcance del tratamiento:
Interesa considerar que GESTERNOVA es una compañía que opera con
alcance nacional y que la infracción es consecuencia directa de las
debilidades apreciadas en los procesos de gestión de datos personales
dispuestos por la propia entidad, por lo que el riesgo que ello conlleva es alto.
La relación existente entre la infracción cometida y la asignación de recursos
que cabe exigir a GESTERNOVA para impedirla debe analizarse en base al
riesgo real y a su ámbito de actuación de alcance nacional.
. Número de interesados:
La infracción afecta a un único interesado, la parte reclamante.
. Artículo 83.2.b) del RGPD: “la intencionalidad o negligencia en la infracción”.
Se observa en la conducta de GESTERNOVA una negligencia grave, por
incumplimiento del deber de cuidado, más allá de lo que puede considerarse un factor
neutro asociado al elemento subjetivo de la culpabilidad.
Esta conclusión resulta de elementos objetivos de la conducta de GESTERNOVA,
obtenidos en base a todas las circunstancias de hecho que constan detalladas en los
Hechos Probados y Fundamentos de Derecho que preceden.
Conectado también con el grado de diligencia que GESTERNOVA está obligada a
desplegar en el cumplimiento de las obligaciones que le impone la normativa de
protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de
la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto
que analizamos. La sentencia, después de aludir a que las entidades en las que el
desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto”.
. Artículo 83.2.g) del RGPD: “las categorías de los datos de carácter personal
afectados por la infracción”.
En el tratamiento de datos ilícito se encuentran implicados los datos personales de la
parte reclamante (entre ellos, su nombre completo, DNI, dirección de correo
electrónico y teléfono), datos de suministro (CUPS), datos de instalación (dirección
completa y datos de contacto para la gestión -nombre y teléfono de la reclamante) y
datos de pago (cuatro últimas cifras de la cuenta bancaria para la domiciliación de
pagos).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
40/47
2. Se considera el siguiente factor de graduación en calidad de agravante:
. Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra b) de la LOPDGDD:
“La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales”.
La actividad de la entidad presuntamente infractora se encuentra vinculada con el
tratamiento de datos de carácter personal tanto de clientes como de terceros,
realizados a gran escala y de forma continua. En la actividad de la entidad reclamada
es imprescindible el tratamiento de datos de carácter personal por lo que, dado su
objeto y volumen de negocio, la transcendencia de la conducta objeto de la presente
reclamación es innegable.
Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo
ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando
declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra
de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no
pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las
circunstancias concurrentes, tomando en consideración su volumen de negocio y su
vinculación con el tratamiento de datos personales atendiendo el número de personas
que prestan servicio como empleados en… y su actividad”.
A la hora de decidir la imposición de la multa administrativa, esta Agencia toma en
consideración esta circunstancia prevista por el legislador.
En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea
efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento
efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en
el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del
RGPD, permite fijar la sanción de multa administrativa en una cuantía de 200.000
euros (doscientos mil euros).
VIII
Obligación incumplida: infracción del artículo 13 del RGPD
El artículo 13 RGPD, relativo a la información que deberá facilitarse cuando los datos
personales se obtengan del interesado, establece que el responsable del tratamiento,
en el momento en que se obtengan datos personales, deberá proporcionar al
interesado información clara sobre aspectos como la identidad del responsable, los
fines y la base jurídica del tratamiento, los derechos del interesado y otros elementos
necesarios para garantizar la transparencia y la equidad en el tratamiento de datos.
Este artículo busca asegurar que los interesados conozcan de forma comprensible y
accesible cómo serán tratados sus datos personales y por quién.
El principio de transparencia consagrado en este artículo tiene como objetivo que los
interesados reciban toda la información relevante sobre el tratamiento de sus datos
personales desde el momento en que estos son recogidos. Ello permite a los
interesados ejercer sus derechos de manera efectiva y garantiza que el tratamiento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
41/47
los datos se realice de manera lícita. Este deber no es una mera formalidad, sino una
obligación esencial para proteger los derechos y libertades fundamentales de las
personas físicas en relación con sus datos personales.
En este caso, por la parte reclamada se habría infringido el artículo 13 del RGPD
debido a que durante la llamada comercial realizada por Several en nombre de
GESTERNOVA no se proporcionó a la reclamante la información requerida por el
citado artículo. Dado que Several actuó como encargado del tratamiento, es
GESTERNOVA quien determina los fines y medios del tratamiento, lo que establece su
responsabilidad directa en garantizar el cumplimiento de las obligaciones establecidas
en el RGPD.
Según ha informado GESTERNOVA cuando un interesado muestra interés por un
producto de GESTERNOVA los agentes acceden a un sistema proporcionado por
aquella para recoger los datos personales necesarios del solicitante con el fin de
gestionar el inicio del proceso de contratación de los productos de suministro
energético con Gesternova.
Tal y como se deduce de la documentación obrante en el expediente del presente
procedimiento, la reclamante no habría sido informada cuando el agente recogió sus
datos personales con la finalidad de gestionar el inicio del proceso de contratación de
aspectos esenciales como la identidad de GESTERNOVA como responsable del
tratamiento, la finalidad específica del tratamiento, la base jurídica para la recogida de
los datos, ni los derechos que podía ejercer. Además, GESTERNOVA tampoco habría
supervisado ni garantizado que SEVERAL cumpliera con este deber en el marco de
las actividades realizadas en su nombre.
Después de esa llamada se remitió un correo electrónico a la parte reclamante en el
que constaban los datos personales relativos a la misma que, obviamente, debieron
ser recabados con anterioridad, no habiéndose acreditado por GESTERNOVA que en
el momento de esa recogida de datos se hubiese informado a la interesada sobre los
extremos previstos en el citado artículo 13 del GPD. Tampoco en dicho correo se
facilita información alguna en materia de protección de datos personales.
El hecho de que los datos personales de la reclamante fueran utilizados
posteriormente por GESTERNOVA para enviar un correo electrónico con información
contractual reforzaría la imputación de dicha infracción. Al enviar dicho correo,
GESTERNOVA confirmó su control sobre los datos, lo que refuerza su posición como
responsable del tratamiento y su obligación de haber garantizado que la información
requerida en el artículo 13 hubiera sido proporcionada en el momento de la recogida
de los datos.
Por tanto, al no haber cumplido la obligación de facilitar la debida información en el
momento de la recogida de los datos personales de la parte reclamante, se ha
incumplido por la parte reclamada la obligación prevista en el artículo 13.
IX
Tipificación y calificación de la infracción del artículo 13 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
42/47
Los hechos expuestos vulneran lo dispuesto en el artículo 13 del RGPD, lo que
supone la comisión de la infracción tipificada en el artículo 83.5.b) del RGPD, que
dispone lo siguiente:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo
del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía:
(…)
b) los derechos de los interesados a tenor de los artículos 12 a 22;”
A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del RGPD, así como las que resulten contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72.1.h) de la LOPDGDD indica:
“Artículo 72. Infracciones consideradas muy graves.
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes: (…)
h) La omisión del deber de informar al afectado acerca del tratamiento de sus
datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento
(UE) 2016/679 y 12 de esta ley orgánica”.
X
Propuesta de sanción por la infracción del artículo 13 del RGPD
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD y 76 de la LOPDGDD, ya
reproducidos en el Fundamento de derecho VI.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa.
Conforme se ha detallado en el Fundamento de Derecho VII, tratándose de una
infracción tipificada en el artículo 83.5, que la norma sanciona con la mayor gravedad,
y considerando el volumen de negocio de GESTERNOVA, el importe de la multa que
procede imponer por la infracción del artículo 13 del RGPD estará necesariamente
situado entre 0,00 euros y 25.273.963 euros.
De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la
sanción a imponer en el presente caso por la infracción del artículo 13 del RGPD de la
que se responsabiliza a GESTERNOVA, tipificada en el artículo 83.5.a) del RGPD, se
estiman concurrentes los siguientes factores:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
43/47
1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en
consideración las circunstancias siguientes:
. Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido”.
. Naturaleza de la infracción:
El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la
disposición infringida afecta a un principio básico del derecho a la protección de
datos personales, como es el de transparencia y su violación entraña una
afectación grave para los derechos de los interesados.
. Gravedad de la infracción:
. Número de interesados:
La infracción afecta a un único interesado, la parte reclamante.
. Artículo 83.2.b) del RGPD: “la intencionalidad o negligencia en la infracción”.
Se observa en la conducta de GESTERNOVA una negligencia grave, por
incumplimiento del deber de cuidado, más allá de lo que puede considerarse un factor
neutro asociado al elemento subjetivo de la culpabilidad.
Conectado también con el grado de diligencia que GESTERNOVA está obligada a
desplegar en el cumplimiento de las obligaciones que le impone la normativa de
protección de datos puede citarse la SAN de 17/10/2007, ya señalada en el
Fundamento de Derecho VI.
2. Se considera el siguiente factor de graduación en calidad de agravante:
. Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra b) de la LOPDGDD:
“La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales”.
La actividad de la entidad presuntamente infractora se encuentra vinculada con el
tratamiento de datos de carácter personal tanto de clientes como de terceros,
realizados a gran escala y de forma continua. En la actividad de la entidad reclamada
es imprescindible el tratamiento de datos de carácter personal por lo que, dado su
objeto y volumen de negocio, la transcendencia de la conducta objeto de la presente
reclamación es innegable.
Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo
ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024, ya citada
en el Fundamento de Derecho VI.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
44/47
A la hora de decidir la imposición de la multa administrativa, esta Agencia toma en
consideración esta circunstancia prevista por el legislador.
En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea
efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento
efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en
el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD,
permite fijar la sanción de multa administrativa en una cuantía de 20.000 euros (veinte
mil euros).
XI
Obligación incumplida del articulo 48.1 b) de la LGTel 9/2014
El derecho a no recibir llamadas no deseadas con fines de comunicación comercial
está regulado en el artículo 66.1 de la Ley 11/2022, de 28 de junio, General de
Telecomunicaciones, relativo al “Derecho a la protección de datos personales y la
privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico
y de localización y con las guías de abonados”.
Según lo previsto en el segundo apartado de la Disposición final sexta, lo dispuesto en
el citado artículo 66.1.b) de la Ley 11/2022 no entrará en vigor hasta el 29 de junio de
2023:
“El derecho de los usuarios finales a no recibir llamadas no deseadas con fines de
comunicación comercial contemplado en el artículo 66.1.b) entrará en vigor en el plazo
de un año a contar desde la publicación de la presente ley en el «Boletín Oficial del
Estado». Hasta ese momento, los usuarios finales de los servicios de comunicaciones
interpersonales disponibles al público basados en la numeración podrán seguir
ejercitando el derecho a oponerse a recibir llamadas no deseadas con fines de
comunicación comercial que se efectúen mediante sistemas distintos de los
establecidos en el artículo 66.1.a) y a ser informados de este derecho.”
En el presente caso, la parte reclamante recibió una llamada comercial en la línea
***TELÉFONO.2 en fecha 12/04/2023. Por tanto, resulta de aplicación lo establecido
en la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (LGTel 9/2014), en
vigor cuando sucedieron los hechos.
El artículo 48.1.b) de la LGTel 9/2014, relativo al “Derecho a la protección de datos
personales y la privacidad en relación con las comunicaciones no solicitadas, con los
datos de tráfico y de localización y con las guías de abonados”, incluido en su Título III,
dispone lo siguiente:
“1. Respecto a la protección de datos personales y la privacidad en relación con las
comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones
interpersonales disponibles al público basados en la numeración tendrán los
siguientes derechos:
a) A no recibir llamadas automáticas sin intervención humana o mensajes de fax, con
fines de comunicación comercial sin haber prestado su consentimiento previo e
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
45/47
informado para ello.
b) A oponerse a recibir llamadas no deseadas con fines de comunicación comercial
que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a
ser informado de este derecho.”
Este precepto regula la protección de los usuarios frente a comunicaciones no
deseadas, estableciendo el derecho del interesado a oponerse a la recepción de
llamadas comerciales no automáticas. Así, el régimen establecido en esta norma
admite que los usuarios reciban llamadas no deseadas con fines comerciales siempre
que no se hubiesen opuesto a ello previamente.
En el presente caso no ha quedado acreditado que la parte reclamante se hubiese
opuesto a la recepción de este tipo de llamadas, en el que se encuadra la realizada en
fecha 12/04/2023, que motivo la imputación de infracción.
Por otra parte, la vulneración de lo establecido en el artículo 48.1.b) de la LGTel
9/2014 se encuentra tipificada como “infracción leve”, en el artículo 78.11) de dicha
norma, que considera como tal: “11. El incumplimiento de las obligaciones de servicio
público, de las obligaciones de carácter público y la vulneración de los derechos de los
consumidores y usuarios finales según lo establecido en el Titulo III de la Ley y su
normativa de desarrollo”.
Para las infracciones leves el artículo 83 de dicha norma establece un plazo de
prescripción de un año, contado desde el día en que se hubieran cometido,
interrumpiéndose el cómputo de dicho plazo con la iniciación del procedimiento
sancionador con conocimiento del interesado.
En este caso, considerando que la llamada comercial tuvo lugar en fecha 12/04/2023 y
que el inicio del presente procedimiento sancionador fue notificado a GESTERNOVA
en fecha 23/01/2025, resulta que la presunta infracción imputada se encontraba
prescrita antes del inicio del procedimiento.
XII
Adopción de medidas
Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se
relacionan en su artículo 58.2, apartados a) a j).
En este caso, procede imponer al responsable la adopción de medidas adecuadas
para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo
establecido en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad de
control podrá “ordenar al responsable o encargado del tratamiento que las
operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento,
cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La
imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
46/47
Por tanto, se ordena al reclamado que, en el plazo de seis meses a partir de la firmeza
de la resolución sancionadora que se dicte, adecúe los tratamientos objeto del
presente procedimiento a la normativa aplicable. En el texto de este acuerdo se
establecen cuáles han sido los hechos que han dado lugar a la vulneración de la
normativa de protección de datos, de lo que se infiere con claridad cuáles son las
medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o
instrumentos concretos para implementarlas corresponda a la parte sancionada, pues
es quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD. No obstante, en el presente caso, con independencia de lo anterior
procede que GESTERNOVA disponga lo necesario para que los tratamientos de datos
personales que realice cuenten con alguna de las bases legales que se señalan en el
artículo 6.1 del RGPD y que dicho tratamiento no se lleve a cabo sin previamente
haber facilitado a los interesados la información prevista en el artículo 13 del mismo
Reglamento.
Se advierte que no atender la orden impuesta por este organismo podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a GESTERNOVA, S.A., con NIF A84337849, por infracción de
los artículos 13 y 6.1 del RGPD, tipificadas respectivamente en los apartados b) y a)
del artículo 83.5 del RGPD, una multa de 20.000 € en el primer caso y de 200.000 € en
el segundo.
SEGUNDO: Proceder al ARCHIVO de las actuaciones seguidas contra la entidad
GESTERNOVA, S.A., por las presuntas infracciones de los artículos 14 del RGPD y
artículo 48.1.b) de la LGTel 9/2014.
TERCERO: ORDENAR a GESTERNOVA, S.A. que, en virtud del artículo 58.2.d) del
RGPD, en el plazo máximo de seis meses, acredite haber procedido al cumplimiento
de medidas con el alcance expresado en el Fundamento de Derecho XII de la
presente resolución.
CUARTO: NOTIFICAR la presente resolución a GESTERNOVA, S.A.
QUINTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
47/47
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es