İlgisiz Enerji Sözleşmesinde Kişisel Veri Kullanılması

1/30

 Procedimiento Nº: PS/00025/2019
938-051119

- RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y
en consideración a los siguientes

ANTECEDENTES

PRIMERO: D. A.A.A. (en adelante, el reclamante) presenta en la Agencia Española de
Protección de Datos (AEPD) en fechas 19 y 20 de septiembre de 2018 sendos escritos
en los que expone que EDP COMERCIALIZADORA, S.A.U., con NIF A95000295 (en
lo sucesivo, EDP o la reclamada) ha tratado sus datos personales (nombre, apellidos,
NIF, domicilio y número de teléfono móvil) sin su consentimiento vinculados a un
contrato de gas al que él es ajeno.

Con el escrito de 20/09/2018 aporta copia de un documento que lleva por rúbrica
“Notificación de impago” -al que el reclamante denomina “factura”-, emitido el
31/05/2018. El reclamante explica que tras recibir este documento contactó
telefónicamente con EDP e interpuso una reclamación por “facturarme servicios en el
punto de suministro situado en ***DIRECCION.1 …sin haber firmado ningún contrato
ni tener relación alguna con dicha dirección”.

El documento aludido - “Notificación de impago”- lleva en el apartado dedicado a
los datos del destinatario, lleva el nombre, dos apellidos y el domicilio del reclamante
(situado en ***LOCALIDAD.1). En el apartado “Datos del cliente”, constan, además del
nombre y apellidos del reclamante, su NIF y un número fijo que el reclamante afirma
que no le pertenece (***TELEFONO.1). En el apartado “Datos del contrato” -contrato
que es de luz y gas con el número 700005852279- consta la dirección del punto de
suministro: ***DIRECCION.1. En el lateral derecho del documento figura: “EDP
ENERGÍA, S.A.U. Plaza de la Gesta 2, 33007 Oviedo (…) CIF A-33543547”.

El reclamante declara que, unos días después de formular, mediante llamada
telefónica, reclamación ante EDP por la factura que había recibido, la entidad
reclamada le envió un contrato de servicios de gas y luz para que lo devolviera
firmado. Y añade que en ese documento -del que aporta una copia a esta Agencia-
constan, además de los datos personales ya reflejados en la “Notificación de impago”
antes descrita, el número de móvil desde el cual hizo la llamada telefónica de
reclamación a EDP.

En el documento contractual recibido, justo encima de las “Condiciones
específicas del contrato”, figura esta leyenda:

“El cliente contrata para el local de negocio o vivienda que se indica en el
encabezamiento, el suministro de gas con EDP COMERCIALIZADORA, S.A.U. y el
suministro de electricidad y/o los servicios complementarios con EDP ENERGÍA,
S.A.U. (en adelante, conjunta y/o individualmente, según proceda, referidas como
“EDP”) con arreglo a las Condiciones Específicas que se recogen a continuación y a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/30

las Condiciones Generales que figuran en anexo”. (El subrayado es de la AEPD)

En el lateral derecho del documento consta:

“EDP ENERGÍA, S.A.U. Plaza de la Gesta 2, 33007 Oviedo (…) CIF A-33543547
EDP COMERCIALIZADORA, S.A.U. C/General Concha, 20 48010 Bilbao (…)CIF A-
95000295”

SEGUNDO: A la vista de los hechos expuestos, la AEPD, en fecha 15/10/2018, en el
ámbito del expediente número E/07378/2018, al amparo del artículo 9 del Real
Decreto-Ley 5/2018, de medidas urgentes para la adaptación del Derecho español a la
normativa europea en materia de protección de datos -norma vigente desde el
31/07/2018 hasta su derogación por la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos y Garantías de los derechos digitales (LOPDGDD)- dio traslado
de la reclamación al DPD de la entidad reclamada y le solicitó que, en el plazo de un
mes desde su recepción, informara a esta Agencia de las circunstancias que habían
originado los hechos expuestos en la reclamación, de la decisión adoptada para poner
fin a la situación irregular provocada y procediera también a comunicar su decisión al
reclamante, debiendo acreditar ante esta Agencia la recepción de esa comunicación
por el destinatario.

El escrito en el que se daba traslado a la entidad reclamada de la reclamación se
firmó por la AEPD el 15/10/2018 y se notificó a EDP electrónicamente en la misma
fecha. La fecha de puesta a disposición en la sede electrónica y la fecha de aceptación
de la comunicación es el 15/10/2018, como lo acredita el certificado expedido por la
FNMT que obra en el expediente.

A su vez, la AEPD remitió al reclamante, en esa misma fecha, un escrito en el
que acusaba recibo de su reclamación y le informaba del traslado a la reclamada. La
notificación se efectuó por correo postal de fecha 17/10/2018 y resultó entregada el
27/10/2018.

EDP respondió a la solicitud de información a través de un escrito remitido a la
AEPD por correo certificado de fecha 15/11/2018, que tuvo entrada en el registro de
este organismo el 20/11/2018. El escrito lo firma el “Delegado de Protección de Datos”
“en representación de la mercantil EDP COMERCIALIZADORA, S.A., (…) y con CIF
A33543547” (dato erróneo pues ese NIF no pertenece a la entidad reclamada, sino
que pertenece a otra entidad del grupo)

En el escrito se hacen las siguientes manifestaciones con relevancia a los
efectos de la investigación:

- Que los datos personales del denunciante fueron facilitados a EDP,
por vía telefónica, en fecha 17/05/2018, por Dª B.B.B. quien efectuó el
cambio en la titularidad del contrato de gas y manifestó actuar en
representación del afectado.

- Se aporta una grabación de la conversación telefónica mantenida.
Las entidades reclamadas afirman que “Como se puede comprobar a partir
del minuto 7:56 del archivo de audio denominado 803818026680675 de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/30

grabación telefónica, de conformidad con la normativa en materia de
protección de datos vigente en la fecha de la conversación telefónica, EDP
informó correctamente sobre el tratamiento que se va a llevar a cabo de los
datos personales tanto de la Representante como de su representado (el
ahora Denunciante), en virtud de la tramitación del cambio de titularidad”.
(El subrayado es de la AEPD)

- Que durante la tramitación del cambio de titularidad -como se puede
comprobar en las grabaciones aportadas- EDP informó a D ª B.B.B. de
que el número de DNI del afectado se detectaba por el sistema como
erróneo y era precisa su verificación por el titular. Añade que, al día
siguiente, 18/05/2017, la persona que decía actuar en nombre del afectado
se puso de nuevo en contacto telefónico con EDP para completar los
trámites del cambio de titularidad y en el curso de esa conversación -cuya
grabación también se ha facilitado a esta Agencia- afirmó de nuevo que
actuaba en representación del reclamante.

- EDP dice que “ha guardado todas las cautelas exigibles tanto en lo
relativo a la contratación como en lo relativo a la obligación de información
establecida en materia de protección de datos”. Añade que entiende que el
motivo del requerimiento efectuado por la Inspección de la AEPD puede
deberse a que “…la Representante no haya trasladado adecuadamente al
Denunciante la información relativa tanto a los términos de la contratación
como de tratamiento de datos”.

- Manifiesta que, una vez recibido el requerimiento informativo de la
Inspección de Datos, se puso en contacto con el reclamante mediante carta
dirigida a su domicilio de fecha 15/11/2018 de la que nos facilita copia. En la
carta remitida al reclamante se hace constar que “…la contratación del
suministro eléctrico con EDP Comercializadora, S.A. (en adelante EDP) se
llevó a cabo por vía telefónica por Doña B.B.B. …” (el subrayado es de la
AEPD) Explicación que estimamos errónea por cuanto el documento
contractual que envió al reclamante y que éste ha facilitado a la Agencia
dice claramente que el cliente contrata el “suministro de gas” con EDP
Comercializadora, S.A.U., y el de electricidad con otra empresa del grupo,
EDP Energía, S.A.U.

- Indica que “Doña B.B.B., ..manifestó actuar con su conocimiento y
en su representación, procediéndose al cambio de titularidad del suministro
correspondiente al domicilio sito en ***DIRECCION.1”. Añade que la
contratación se llevó a cabo “siguiendo todas las cautelas exigibles, y
dando cumplimiento al deber de información (…), siendo necesario que las
mismas pasen a formar parte de la base de datos de clientes para la
correcta gestión del contrato suscrito”.

En fecha 30/11/2018, de conformidad con lo dispuesto en el artículo 9.5 del Real
Decreto-Ley 5/2018, se firma el acuerdo de admisión a trámite de la presente
reclamación.

Al amparo del artículo 11 del Real Decreto-Ley 5/2018, una vez admitida a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/30

trámite la reclamación y antes de la adopción del acuerdo de inicio, en el marco de la
investigación previa, por el servicio de Inspección de esta Agencia se levanta
Diligencia de fecha 14/02/2019 en virtud de la cual se incorpora al expediente
E/7378/2018 la información general de la entidad, extraída del Registro Mercantil en
esa misma fecha: El capital social suscrito y desembolsado asciende a 1.487.898
euros. La sociedad dio comienzo a sus operaciones el 19/11/1.998.

TERCERO: Los hechos objeto de la presente reclamación quedan sometidos a las
disposiciones del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo,
de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos, que entró en
vigor el 25/05/2018.

La reclamada afirma que obtuvo los datos personales del reclamante y dio de
alta a su nombre un contrato de gas en fecha 17/05/2018, a través de una llamada
telefónica de una persona que dijo ostentar su representación.

Así pues, el tratamiento de los datos personales del afectado se inició antes de
que entrara en vigor el Reglamento (UE) 2016/679 -lo que acontece el 25/05/2018- y
cuando estaba aún vigente la Ley Orgánica 15/1999 de Protección de Datos de
Carácter Personal, LOPD. No obstante, la conducta de EDP en la que se concreta la
infracción, el tratamiento de los datos del reclamante vinculados a un contrato de gas
sin legitimación para ello, se ha mantenido en el tiempo hasta la actualidad o, al
menos, hasta el 15/11/2018 pues así está acreditado documentalmente.

La infracción de la que se responsabiliza a EDP participa de la naturaleza propia
de las denominadas infracciones permanentes, en las que la consumación se proyecta
en el tiempo más allá del hecho inicial y se extiende, vulnerando la normativa de
protección de datos, durante todo el periodo de tiempo en el que el dato es objeto de
tratamiento. En el presente caso, pese a que en la fecha en la que se inicia la
conducta infractora la norma aplicable era la LOPD, la normativa que resulta de
aplicación es la que está vigente cuando la infracción se consuma, porque es en ese
instante cuando se entiende cometida.

El Tribunal Supremo se ha pronunciado sobre la norma que ha de aplicarse en
aquellos supuestos en los que las infracciones se prolongan en el tiempo y ha habido
un cambio normativo mientras se cometía la infracción. La STS de 17/04/2002 (Rec.
466/2000) aplicó una disposición que no estaba vigente en el momento inicial de
comisión de la infracción, pero sí en los posteriores, en los que continuaba la conducta
infractora. La Sentencia examinó un supuesto que versaba sobre la sanción impuesta
a una Jueza por incumplimiento de su deber de abstención en unas Diligencias
Previas. La sancionada alegaba la no vigencia del artículo 417.8 de la LOPJ cuando
ocurrieron los hechos. La STS consideró que la infracción se había venido cometiendo
desde la fecha de la incoación de las Diligencias Previas hasta el momento en que la
Jueza fue suspendida en el ejercicio de sus funciones por lo que esa norma sí era de
aplicación.
En idéntico sentido se pronuncia la SAN de 16/09/2008 (Rec.488/2006)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/30

CUARTO: Con fecha 21/03/2019 la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo
83.5.a) del RGPD.

QUINTO: Con fecha 09/04/2019 se reciben en el Registro de la AEPD las alegaciones
de la reclamada al acuerdo de inicio del expediente sancionador en las que solicita
que se proceda al archivo de las actuaciones “por haber actuado …conforme a
Derecho” y, subsidiariamente, que la sanción se imponga en su cuantía mínima.

Aporta como prueba documental un CD con una grabación, de la que no consta
fecha, en la que una persona que se identifica con el nombre, apellidos y NIF del
reclamante, hace una llamada a EDP y manifiesta que le han cortado el suministro, al
tiempo que pregunta cuál es el importe adeudado añadiendo que le suena que son
140,77 euros. La entidad, después de preguntarle por el punto de suministro le informa
de que adeuda 170,80 euros y que puede pagar con tarjeta.

La reclamada, en apoyo de sus pretensiones, esgrimió en el escrito de
alegaciones al acuerdo de inicio los argumentos siguientes:

- Que “ha guardado todas las cautelas exigibles” y que la “contratación ha sido
en todo momento de buena fe por parte de EDP, cumpliendo en todo momento
con lo estipulado en la normativa vigente en materia de protección de datos”.
Añade que por las razones que alega -que detallamos más adelante- “la
relación contractual con el Denunciante es perfectamente válida, la recogida de
datos se realizó conforme a Derecho y el tratamiento de los datos del
denunciante es perfectamente válido”.

- Para el caso de que la AEPD no acuerde el archivo de las actuaciones, alega
que la sanción fijada en el acuerdo de inicio del expediente sancionador
vulnera el principio de proporcionalidad. Sostiene que no existió culpabilidad ni
antijuridicidad en su actuación y que “la sanción a imponer tendría que
corresponderse con una infracción leve, en su cuantía mínima”, pues, dice, “no
sólo no se aplicarían las supuestas agravantes, sino que serían de aplicación
la práctica totalidad de las atenuantes recogidas en el régimen sancionador”.

- Manifiesta que, como acreditó en el procedimiento E/7378/2018, “existe una
relación contractual válida” entre EDP y el reclamante. Afirma que la
legitimación del tratamiento de los datos del reclamante y la confirmación de
una relación contractual válida entre el reclamante y EDP se justifica por dos
extremos que la propia Agencia ha considerado probados en el acuerdo de
inicio si bien, respecto a ellos, afirmó también que eran irrelevantes desde el
punto de vista de la valoración que le compete hacer. A saber, “que los datos
del reclamante los obtuvo a través de la señora B.B.B. y que esta señora
afirmó en varias ocasiones, en el curso de las conversaciones telefónicas, que
actuaba en representación del reclamante”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/30

- Declara que estamos ante un ejemplo de mandato representativo regulado en
el Código Civil (artículos 1709-1739) lo que le lleva a afirmar con énfasis que
“…por ello no se ha infringido norma alguna por parte de EDP en la
contratación …”. Añade que el mandato puede ser verbal, “siempre que de las
circunstancias se pueda deducir la veracidad y concesión del mismo” y que
puede ser expreso o tácito, deducido de los actos propios del mandante. Esta
exposición doctrinal sobre el contrato de mandato la pone en conexión con
hechos tales como la grabación que adjunta a su escrito de alegaciones; lo que
para EDP constituye una ratificación de la contratación y del mandato. A tal
efecto invoca la STS, Sala Primera, de 09/01/1964, según la cual el mandante
que se aprovecha de los actos del mandatario ratifica el mandato tácitamente;
la prohibición de abuso de derecho (ex artículo 7.2 C.C.) -toda vez que, afirma,
el “Denunciante” habría disfrutado de los suministros prestados- y sería
también contrario a la buena fe que debe presidir el ejercicio de los derechos
(ex artículo 7.1 C.C.)

- Incide en que “las consecuencias de una posible actuación negligente por
parte de la señora B.B.B., …, no puede en ningún caso afectar a la validez
contractual, ..La relación contractual entre las partes queda perfeccionada y es
plenamente legítima”.

- Invoca el artículo 83 del Real Decreto 1955/2000, por el que se regulan las
actividades de transporte, distribución, comercialización, suministro y
procedimientos de autorización de instalaciones de energía eléctrica, en el que,
dice, se otorga al consumidor que esté al corriente del pago la facultad de
traspasar su contrato a otro consumidor que vaya a hacer uso del mismo en
idénticas condiciones. Insiste en que “el cambio de titularidad se produce bajo
las mismas condiciones contractuales, es decir, sin que el cambio pueda ser
considerado un alta nueva y por tanto una nueva contratación”.

- Ante la exposición hecha por la Agencia en el acuerdo de inicio relativa a que
no se habían aportado pruebas de que el reclamante hubiera otorgado su
representación a la persona que afirmó actuar en su nombre (la señora B.B.B.)
ni de que la entidad desplegó la diligencia mínima exigible para verificar que
efectivamente su interlocutora tenía la representación que afirmaba ostentar
EDP contraargumenta que “no existe tal obligación” y que “el C.C. admite la
libertad de forma en la figura del mandato, pudiendo ser este verbal…”

SEXTO: Con fecha 18/11/2019 se abre un período de práctica de prueba en el que se
acuerdan, cómo únicas diligencias probatorias, la incorporación al PS/25/2019 de los
documentos que integran el expediente E/07378/2018 -cuya incorporación a tal fin ya
se anunció en el Acuerdo de Inicio del procedimiento-: Los escritos de reclamación; la
documentación generada por la AEPD; la respuesta de la reclamada a la solicitud de
información y la Diligencia de fecha 18/11/2019, levantada durante las actuaciones de
investigación previa, con la información obtenida en esa fecha a través de AXESOR
relativa al resultado de la actividad de la reclamada durante el ejercicio 2018-.
Asimismo, se dan por incorporadas al expediente sancionador las alegaciones de la
reclamada al acuerdo de inicio y sus documentos adjuntos.

SÉPTIMO: El 27/11/2019 se formula propuesta de resolución en los siguientes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/30

términos:

<<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a EDP COMERCIALIZADORA S.A., con NIF A95000295, por una infracción
del aartículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, con una multa
de 75.000,00 euros (setenta y cinco mil euros). (…)

SEGUNDO: Que, de conformidad con el artículo 58.2 del RGPD, se imponga a EDP
COMERCIALIZADORA, S.A.U., la ADOPOCIÓN DE LAS MEDIDAS que resulten
INDISPENSABLES para adecuar sus protocolos de contratación telemática a las
disposiciones que sobre la licitud del tratamiento de datos personales establece el
RGPD; en particular en las contrataciones a través de representante en las que debe
estar en condiciones de acreditar tanto la realidad de la representación otorgada por el
titular de los datos como la identidad de quien ostente en la contratación la condición
de representado. Asimismo, en caso de no tenerlas implementadas, deberá adoptarlas
en el protocolo de contratación presencial. Medidas que, en su caso, habrán de
adoptarse en el plazo de un mes computado desde la fecha en la que la resolución
sancionadora sea ejecutiva.>>

La propuesta de resolución se notificó electrónicamente a la reclamada siendo la
fecha de puesta a disposición el 26/11/2019 y la fecha de aceptación ese mismo día.

A tenor del artículo 73 de la LPACAP, el plazo para formular alegaciones es de
diez días computados desde el siguiente a la notificación.

OCTAVO: El 12/12/2019 tienen entrada en la sede electrónica de esta Agencia las
alegaciones de la reclamada a la propuesta de resolución en las que solicita que se
proceda al archivo del procedimiento por haber actuado, dice, conforme a Derecho.

En defensa de su pretensión la reclamada reitera las alegaciones hasta ahora
formuladas -al acuerdo de inicio del expediente sancionador y en el trámite informativo
previo- y, en síntesis, aduce los argumentos siguientes:

- Manifiesta en la alegación primera que “las evidencias presentadas por esta
representación marcan la actuación proactiva del representante en contratar en
nombre de su representado, ratificando éste la existencia del punto de
suministro y por lo tanto la existencia del contrato”. Considera que el
tratamiento que EDP ha hecho de los datos personales del denunciante es
legítimo pues a su juicio existe entre ambos una relación contractual válida.

- En su alegación segunda la reclamada sostiene que es víctima de una
situación de “indefensión jurídica” fruto de la actuación de la AEPD toda vez
que esta Agencia ha admitido “acreditado el origen de los datos, aportados en
la llamada en el momento de la contratación realizada por la Sra. B.B.B.,
resultándole sin embargo irrelevantes de cara a acreditar el debido tratamiento
de los mismos cuando -argumenta la reclamada- es precisamente ese punto lo
que justifica la legitimación del tratamiento de los datos del denunciante,
puesto que la existencia de una relación contractual válida entre las partes
queda confirmada”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/30

A propósito del documento sonoro que EDP aportó a esta Agencia anexo a sus
alegaciones al acuerdo de inicio, después de reproducir la valoración que de
esa prueba hizo la instructora del expediente en la propuesta de resolución,
añade las siguientes afirmaciones, pese a que ni en el documento sonoro
facilita una fecha y ni en él ni en ningún otro se justifica lo que ahora alega:
“Que esta representación no sólo indica que la grabación recoge el
consentimiento de la persona física que llama para proceder al abono de las
facturas, siendo recogida la fecha del a llamada el 10 de agosto de 2018, sino
que dicho pagador , es el hijo del Denunciante conociéndole a este último
como titular del contrato”. (El subrayado es de la AEPD)

La reclamada dice que, a su juicio, la “contratación por representación,.., se ha
realizado conforme a Derecho, no solo solicitando la documentación requerida
y obtenida la prueba de la contratación realizada, sino que la misma es
ratificada en un momento posterior”.

- En su alegación tercera trata de rebatir la total ausencia de diligencia en su
actuación que le atribuyó la propuesta de resolución y a ese respecto dice: “…
sin embargo, mi mandante actuó cumpliendo con los requisitos exigidos por la
normativa civil y mercantil, asegurando la identificación del anterior y nuevo
titular, así como de plasmar en soporte duradero la operación realizada” y
destaca -aparece escrito en negrilla- que la AEPD “no solo dificulta e inhibe el
tráfico jurídico, sino que anula completamente la figura del representante y del
mandato, no considerando este órgano administrativo estas operaciones
realizadas por terceros como actos legítimos”

- En la alegación cuarta -como respuesta a la afirmación que hace la propuesta
de resolución de que la entidad carece por completo de una protocolo de
actuación para las contrataciones telemáticas cuando la persona que facilita
los datos no es el titular, sino un tercero que afirma actuar en su nombre- dice:
“no estamos ante una contratación; que cuenta con un proceso de doble
verificación implementado para nuevas contrataciones” y que el supuesto
analizado supone “una mera modificación del titular del contrato ya suscrito
con anterioridad” lo que le lleva a afirmar que no resulta de aplicación “ni el
procedimiento de contratación” “ni la doble verificación supone una garantía
legal de obligada implementación por mi mandante”. Y concluye diciendo: “…la
AEPD exige la acreditación del otorgamiento de la representación a través de
un elemento probatorio a mi representada, como un deber de diligencia mínimo
necesario, exigencia que la normativa no recoge. Por ello, en este caso y que
la AEPD sancione por no cumplir con dicho requisito supondría una resolución
no conforme a Derecho”.

- En su alegación quinta declara: “Se están analizando las distintas
posibilidades viables, tanto técnica como operativamente hablando, para
reforzar los procedimientos de contratación cuando dichas gestiones son
tramitadas por un tercero en representación del titular”.

De las actuaciones practicadas han quedado acreditados los siguientes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/30

HECHOS

1.- D. A.A.A., con NIF ***NIF.1 y domicilio en ***LOCALIDAD.1 (***CCAA.1)
***DIRECCION.2, declara haber recibido en su domicilio el documento “Notificación de
impago” (al que él se refiere como “factura”) que lleva el anagrama de EDP y está
firmado el 31/05/2018. En el citado documento EDP le requiere el pago de una deuda
derivada de un contrato que él niega haber suscrito. Contrato al que afirma ser
totalmente ajeno y que corresponde a una dirección de suministro con la que no tiene
ninguna relación.

2.- En el documento mencionado en el Hecho 1, “Notificación de impago”, del que el
reclamante aportó una copia a la AEPD con su reclamación, le requieren el pago de
una deuda por importe de 79,81 euros derivada de un contrato de gas y luz.

En el documento se facilitan los siguientes “Datos del contrato”: Como “Tipo de
contrato”, “Plan fórmula gas + luz”; como “Nº Cta./Contrato” el 70000852279; como
“Dirección de Suministro” “***DIRECCION.1”.

En el documento figuran como “Datos del cliente”, además del nombre y dos
apellidos del reclamante, su domicilio, ubicado en localidad distinta del punto de
suministro; su NIF y un número de teléfono fijo del cual el reclamante niega ser titular,
***TELEFONO.1.

3.-Obra en el expediente, aportada por el reclamante, la copia del “Contrato de
energía y/o servicios”, que EDP le envió a su domicilio. Al pie del documento, en el
apartado destinado a la firma de la entidad, consta “EDP ENERGÍA, S.A.U. y/o EDP
COMERCIALIZADORA, S.A.U.”

Encima de la rúbrica “Condiciones específicas del contrato” figura esta leyenda:

“El cliente contrata para el local de negocio o vivienda que se indica en el
encabezamiento, el suministro de gas con EDP COMERCIALIZADORA, S.A.U. y el
suministro de electricidad y/o los servicios complementarios con EDP ENERGÍA,
S.A.U. (en adelante, conjunta y/o individualmente, según proceda, referidas como
“EDP”) con arreglo a las Condiciones Específicas que se recogen a continuación y a
las Condiciones Generales que figuran en anexo”. (El subrayado es de la AEPD)

4.- El “Contrato de energía y/o servicios” aportado por el reclamante, descrito en el
Hecho probado 3, ofrece la siguiente información:

- En el apartado “Cliente”: como “Titular del contrato”, “D. A.A.A.”; como
“Dirección” “***DIRECCION.2 ***LOCALIDAD.1 ***CCAA.1”. En el apartado
“NIF” el ***NIF.1. Y en el apartado “Teléfono 1” el número de móvil
***TELEFONO.2. La casilla “Teléfono 2” y “Fax” no contiene ningún dato.
Tampoco consta el teléfono fijo que figuraba en el documento de notificación de
impago (ver Hecho probado 2)

- En el apartado “Datos del suministro”, la “Dirección del suministro
(***DIRECCION.1” y los números de CUPS de electricidad y de gas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/30

- En el apartado “Nº Cta. Contrato” “70000852279 Fórmula Gas+Luz”
- En el apartado “Duración y facturación” “Fecha de emisión: 18.05.2018”

5.- El reclamante ha declarado que, después de recibir en su domicilio la “factura” -el
documento “Notificación de impago”- hizo la correspondiente reclamación ante EDP
mediante llamada telefónica desde su teléfono móvil. Explicó que unos días más tarde
recibió en su domicilio el ejemplar del contrato para el punto de suministro sobre el que
versó la notificación de impago y su reclamación, a fin de que lo firmara. Subraya que,
sin su consentimiento, el documento contractual recibido incorpora su número de
teléfono móvil, número desde el cual hizo la reclamación telefónica a EDP.

6.- EDP, en el marco del E/7378/2018, en su respuesta a la solicitud informativa de la
Agencia, afirmó que los datos personales del reclamante le fueron facilitados en fecha
17/05/2018, por vía telefónica, por D ª B.B.B. “quien manifiesta actuar en condición de
representante del Denunciante (en adelante la “Representante”) durante la tramitación
del cambio de titularidad del suministro correspondiente al domicilio sito en
***DIRECCION.1” (el subrayado es de la AEPD)

7.- EDP, en el marco del E/7378/2018, remitió a esta Agencia un CD que contenía dos
documentos (1 y 2) El documento 1 está integrado por dos archivos de audio (i)
803818026680675 y (ii) 803818026680926.
7.1. En el audio (i) del documento 1, la persona que efectúa la llamada solicita hacer
un cambio de titular y se identifica como “antiguo titular”. La teleoperadora dice: “Díga-
me primero, si es tan amable, DNI del titular vigente ahora mismo, el suyo”. La llaman-
te dice: “Vale, es un CIF, es una empresa, ¿vale? B24292534”. El nombre de la empre-
sa que facilita es “Obras y pavimentaciones hidráulicas”. Como dirección de suministro
que se desea cambiar de titular se facilita la ***DIRECCION.1. La señora B.B.B. se
identifica como “representante” del antiguo titular del contrato y afirma ser la responsa-
ble de Administración de la empresa.
En el minuto 2:38 la teleoperadora dice: “Dígame ahora el nombre del nuevo titular”. El
diálogo es el siguiente:
- “A.A.A. (…)”
- “¿DNI de don A.A.A.?”
- “***NIF.1”
- “***LETRA.1 de ***LOCALIDAD.2, ¿verdad?”
- “Espere un momentito, porque me ha escrito una ***LETRA.1 pero parece una ***LE-
TRA.2. Y como me lo ha escrito él. A ver, que te lo confirmo ahora mismo…***LE-
TRA.1.”
- “Dígame el teléfono de don A.A.A.…”
- “***TELEFONO.2”
En el minuto 5:21 de la grabación se escucha: “Siendo las 16 y 51 horas del día 17 de
mayo de 2018 doña B.B.B. ha llamado y quiere contratar con EDP para lo cual proce-
demos a realizar la siguiente grabación de conformidad. ¿Está usted de acuerdo?
- Sí
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/30

-Doña B.B.B., con DNI ***NIF.2 como administradora y en representación del titular
A.A.A., con DNI ***NIF.1, teléfono ***TELEFONO.2, acepta la oferta de EDP para la
dirección ***DIRECCION.1, que consiste en un plan fórmula gas+ luz …para el CUPS
de luz (…) con un CUPS de gas (…) En su nombre y de su representando, tras supe-
rar los análisis de riesgo de la operación, haremos las gestiones necesarias para acti-
var los contratos de acceso, momento a partir del cual entrará en vigor el nuevo con-
trato quedando resuelto el anterior (…) ¿Está conforme con la anterior información Y
condiciones de los contratos?
- Sí
- (…) Sus datos personales y los de su representado serán tratados para la gestión de
estos contratos por EDP Energía, S.A.U., con CIF A 33543547 y EDP Comercializado-
ra, S.A.U., con CIF A 95000295 (…)
En el minuto 8:35 de la grabación la llamante dice:
-“Sí, te quiero preguntarte una cosa. Respecto a lo de la validez del cambio, bueno,
realmente no me preocupa, porque él lleva ya de alquiler bastantes meses y no va a
pasar nada…, pero, realmente, la siguiente factura ¿ya le va a llegar a nombre de él.”
7.2. En el audio (ii) del documento 1, la teleoperadora comunica a doña B.B.B. “…,
verá, es que como hemos tenido problemas con el documento nacional de identidad,
¿podría confirmarme que exactamente fue una M?, porque me ha dado erróneo el sis-
tema. A lo que responde doña B.B.B.: pues no, porque está escrito de la mano.
- Claro es que podemos probar que sea una H. Pero claro, sin confirmar…no deja de
ser un documento nacional de identidad y podemos cometer un error grave…Queda
en volver a llamar.

8.- El CD aportado por EDP a la Agencia en el marco del E/7378/2018, contienee dos
documentos. El documento 2 está, a su vez, integrado por dos archivos audio: (i)
803818026691798 y (ii) 803818026691972.
8.1. Audio (i) documento 2: La llamante dice:
-Hola buenos días. Ayer llamé para hacer un cambio de titularidad. Hicimos yo creo
que todo el proceso porque se hizo la grabación y tal. Pero al final no, bueno no cua-
draba porque el DNI del nuevo titular, …bueno la letra. No la teníamos clara al 100% y
no continuamos (…)
En el minuto 6:15 se escucha:
- “La dirección de envío de facturación. Domicilio. ¿Dónde quiere que se la remita-
mos? ¿Al suministro?”
-“Sí”
-“Perfecto. Dirección punto de suministro”.
8.2. Audio (ii) documento 2: En el minuto 2:44 de la grabación, se indica:
-“Son en este momento los 1 y 46 minutos de la tarde del día 18 de mayo de 2018.
Nos llama la señora B.B.B. … con DNI… y quiere contratar con EDP para lo cual pro-
cedemos a realizar la siguiente grabación de conformidad, ¿de acuerdo?”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/30

- “Sí”
- “Muy bien, la señora B.B.B. …con DNI … como representante y en representación
del titular, señor don A.A.A.…con DNI teléfono …. acepta la oferta de EDP para
el punto de suministro… “. Doña B.B.B. asiente a la pregunta.
En el minuto 6:32 se escucha:
- “El motivo por el que tenemos que realizar de nuevo la grabación es que si el DNI no
es válido la grabación no es válida”

9.- Obra en el expediente, aportada por EDP, copia de la carta que con fecha
15/11/2018, y en cumplimiento de la petición que hizo la AEPD en el escrito de
solicitud informativa (E/7378/2018), dirigió al reclamante. En ella afirma lo siguiente:
- Que la contratación del suministro eléctrico con EDP Comercializadora,
S.A.U., “se llevó a cabo por vía telefónica por Doña B.B.B., quien manifestó
actuar con su conocimiento y en su representación,..”
- “Que dicha contratación se llevó a cabo siguiendo todas las cautelas
exigibles…”.

10.- Obra en el expediente, aportado por EDP - alegaciones al acuerdo de inicio- la
grabación de una conversación telefónica, de la cual no se facilita fecha, mantenida
entre la entidad y una persona que se identificó con los datos del reclamante -nombre,
dos apellidos y NIF-. La persona que efectúa la llamada dice llamar para pagar una
factura pendiente, pues le han cortado el suministro.

El empleado de EDP le pregunta por el importe pendiente y responde: “me
suena que es 140,77 euros”. Después de preguntarle por el punto de suministro le
informan de que adeuda 170,80 euros y de que puede pagar con tarjeta.
Se interroga a quien efectúa la llamada por un número de teléfono y facilita el
***TELEFONO.2.

FUNDAMENTOS DE DERECHO

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.

II

El RGPD dedica el artículo 5 a los principios que deben regir el tratamiento y,
entre ellos, menciona los de “licitud, lealtad y transparencia”. El precepto dispone:

“1. Los datos personales serán:
Tratados de manera lícita, leal y transparente con el interesado;”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/30

(El subrayado es de la AEPD)

El artículo 6 del RGPD -bajo la rúbrica “Licitud del tratamiento”- detalla en su
apartado 1 los supuestos en los que el tratamiento de datos de terceros es
considerado lícito:

“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones. (…)”

Procede recordar que el artículo 5 del RGPD, después de aludir en su apartado
1 a los principios relativos al tratamiento de los datos personales -entre ellos, como se
expone en párrafos anteriores, al de “licitud”-, añade en el apartado 2:

“El responsable del tratamiento será responsable del cumplimiento de lo
dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)”
(El subrayado es de la AEPD)

La infracción del artículo 6.1 del RGPD se encuentra tipificada en el artículo 83
del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas
administrativas”, señala:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

Hay que indicar, además, que la Ley Orgánica 3/2018, de Protección de Datos
Personales y Garantía de los Derechos Digitales (LOPDGDD), a efectos de
prescripción, califica en su artículo 72.1.b) como infracción muy grave “El tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/30

de datos personales sin que concurra alguna de las condiciones de licitud del
tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”

III

Se atribuye a la reclamada en el presente procedimiento sancionador una
infracción del artículo 6.1 RGPD. La reclamada trató los datos personales del
reclamante sin legitimación. No ha podido acreditar que el tratamiento de datos
efectuado tuviera su base jurídica en alguna de las circunstancias que detalla el
artículo 6.1 del RGPD.

A.- Ha quedado acreditado a través de la documentación que obra en el expediente
administrativo –descrita en lo esencial en los Hechos Probados- que EDP trató los
datos personales del reclamante (nombre, apellidos, NIF, domicilio y número de
teléfono móvil) vinculados a un contrato de gas del que el afectado niega haber sido
parte y sin que la reclamada haya aportado documentación de ningún tipo de la que se
evidencie que el tratamiento de los datos estaba amparado en alguna de las
condiciones de licitud que el artículo 6.1 RGPD relaciona.

A tenor del artículo 6.1 del RGPD el tratamiento de los datos personales de
terceros debe de ser “lícito”, para lo cual debe, en principio, cumplir alguna de las
condiciones descritas en los apartados a) a f) del precepto.

B.- En el supuesto analizado, EDP atribuye al reclamante la condición de parte en el
contrato de gas para el punto de suministro ubicado en la ***DIRECCION.1. El
reclamante niega haber suscrito el citado contrato y niega conocer ese punto de
suministro. El reclamante está domiciliado en otra Comunidad Autónoma.

La reclamada afirma que el reclamante es parte en un contrato de suministro
energético de gas celebrado con ella a través de quien se identificó como su
representante, la señora B.B.B., dando a entender así que la base jurídica del
tratamiento es la ejecución del contrato (artículo 6.1.b, del RGPD).

Sin embargo, para amparar el tratamiento efectuado por EDP en el artículo
6.1.b) del RGPD es necesario que la condición de parte contratante del afectado
quede acreditada. La razón de ser de esta causa de legitimación del tratamiento es
precisamente que, en la medida en que el titular de los datos otorga el consentimiento
al contrato, consiente también que sus datos personales sean objeto del tratamiento
necesario para su ejecución y cumplimiento.

Así pues, la cuestión es determinar si EDP ha aportado pruebas que demuestren
que el afectado consintió contratar con esa entidad; lo que trasladado al supuesto que
nos ocupa consistirá en valorar si se han aportado pruebas de que la señora B.B.B.
ostentaba, efectivamente, la representación del reclamante o, en otras palabras, que
como afirma la reclamada el reclamante había convenido con la señora B.B.B. un
mandato representativo para que en su nombre contratara el suministro de gas.

EDP aduce que es prueba bastante para demostrar que el reclamante había
otorgado su representación a la señora B.B.B. para que suscribiera con ella, en su
nombre, un contrato de gas el documento sonoro que ha aportado a esta Agencia: un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/30

CD con las grabaciones de las conversaciones telefónicas mantenidas entre esa
entidad y una tercera persona (la señora B.B.B.) en las que ésta “manifiesta”
“reiteradamente” que ostenta la representación del reclamante para dar de alta a su
nombre ( o cambiar la titularidad del contrato de suministro que figuraba a nombre de
una sociedad en cuya representación actúa la señora B.B.B.) un contrato de energía
para el punto de suministro de la ***DIRECCION.1.

Las grabaciones remitidas a la Agencia por EDP (descritas en los Hechos
probados 7 y 8) hacen prueban, exclusivamente, de que una persona, la señora
B.B.B., manifestó insistentemente ostentar la representación del reclamante para
contratar en su nombre con EDP. Las citadas grabaciones, ni acreditan que el
reclamante otorgara su representación a la citada señora para contratar en su nombre
el suministro de gas ni aportan indicio alguno en tal sentido.

Ahora bien, las grabaciones remitidas por EDP (cuatro audios, de los que dos de
ellos integran el documento 1 y los restantes el documento 2 de los aportados con la
respuesta a la solicitud informativa) sí prueban cuál es el origen de algunos de los
datos personales del reclamante que EDP trató asociados a un contrato que él niega
haber celebrado: nos referimos a los datos de nombre, apellidos y DNI del reclamante.
Datos que, como se pone de manifiesto con la audición de las grabaciones, fueron
proporcionados por la señora B.B.B. a EDP.

Sin embargo, las grabaciones no explican cuál es el origen de otros datos del
reclamante que EDP también trató vinculados a un contrato al que el titular de los
datos personales es ajeno: su domicilio en ***LOCALIDAD.1, ***CCAA.1, que no
coincide, como ya se ha puesto de relieve, con el del punto de suministro y el número
de móvil del reclamante que EDP incorporó al ejemplar del contrato que envió a su
domicilio.

Las grabaciones evidencian además estos extremos: Que la aludida señora
B.B.B. -que a juicio de EPD actuó en representación del reclamante- solicitó que la
facturación le fuera remitida a su representado al domicilio del punto de suministro
-***DIRECCION.1- pero en ningún momento proporcionó otro domicilio que el
correspondiente al punto de suministro y facilitó únicamente como número de móvil de
la persona a quien dijo representar el ***TELEFONO.2.

Por tanto, de lo anterior hemos de concluir que no fue la señora B.B.B. quien
facilitó a EDP el dato del domicilio del reclamante -domicilio que nada tiene que ver
con el punto de suministro, pues está ubicado en otra Comunidad Autónoma,
***CCAA.1, en la localidad de ***LOCALIDAD.1, ***DIRECCION.2-, domicilio al que
EDP envió el documento denominado “Notificación de impago” descrito en los Hechos
Probados y más tarde una copia del contrato para que se la remitiera firmada.

Asimismo, el número de móvil del reclamante, ***TELEFONO.2, que EDP
incorporó al documento contractual que le envió a su domicilio, tampoco fue facilitado
por la señora B.B.B.. Recordemos la explicación que el reclamante ha ofrecido. Que
efectuó una reclamación telefónica ante EDP a través de su número de móvil y que el
resultado fue recibir de la entidad un documento contractual para que se lo devolviera
firmado en el que figuraba su número de móvil, desde el que hizo la llamada de
reclamación. Pues bien, en ese documento contractual, sorprendentemente, no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/30

aparecen ya ni el número de teléfono fijo que aparecía en la Notificación de Impago, el
***TELEFONO.1 -respecto al cual el reclamante manifestó en su escrito de
reclamación que no le pertenecía- ni tampoco el número de móvil que la señora
B.B.B. facilitó a EDP en el curso de las grabaciones como el número de teléfono de su
supuesto representado: ***TELEFONO.2.

Y finalmente, llama la atención que sea curiosamente este número de móvil
(***TELEFONO.2) el mismo que más tarde facilitará a EDP una persona que
contactará con la entidad a raíz de un corte en el punto de suministro y pregunta a
cuánto asciende el importe adeudado. Grabación que EDP ha aportado con su escrito
de alegaciones al acuerdo de inicio (ver Hecho probado 10) que a su juicio serviría
para justificar la licitud del tratamiento de datos sobre el que versa la reclamación que
nos ocupa.

En definitiva: EDP no ha facilitado a esta Agencia ningún documento que haga
prueba de la condición de representante del reclamante que la señora B.B.B. afirmó
ostentar cuando contactó telefónicamente con la entidad y cambió la titularidad del
contrato a nombre del reclamante, facilitando en ese acto el nombre, dos apellidos y
NIF de su supuesto representado. EDP tampoco ha acreditado cuál es la legitimación
para tratar otros datos del reclamante, como su domicilio o el teléfono móvil; datos que
la señora B.B.B. no proporcionó a EDP.

Cabe añadir a lo anterior otra circunstancia de gran significación. A la luz de la
documentación aportada por EDP -cuatro audios con las llamadas habidas entre esa
compañía y la señora B.B.B. los días 17 y 18 de septiembre de 2018 con el fin de
gestionar el alta del contrato a nombre del reclamante- se comprueba que en ningún
momento la entidad exigió que el tercero (la señora B.B.B.) que le proporcionó los
datos del reclamante y dijo ostentar su representación aportara algún documento que
acreditara ese extremo.

Tampoco se tiene conocimiento de que la entidad, antes de dar de alta el
contrato de suministro de gas a nombre del reclamante -y pese a que la legitimación
de EDP para tratar los datos personales del reclamante se sustentaba,
exclusivamente, en que habían sido facilitados por su supuesto representante- hubiera
adoptado alguna medida para verificar la realidad de esa representación.

Fuera contactando directamente con el titular de los datos o articulando algún
otro mecanismo, lo cierto es que EDP no ha demostrado que hubiera desplegado una
mínima diligencia en la comprobación de que, efectivamente, el titular de los datos
había otorgado su representación al tercero que se los facilitó (la señora B.B.B.).
Asimismo, tampoco consta que esta entidad tenga implementado un protocolo ad hoc.

C-. El respeto al principio de licitud que debe presidir el tratamiento de datos de
terceros y al que se refiere el artículo 6.1. del RGPD, lleva implícito que el responsable
sea capaz de demostrar su cumplimiento (principio de responsabilidad proactiva,
artículo 5.2 del RGPD)

En el presente caso -en el que la reclamada afirma que la licitud del tratamiento
se justifica en la existencia de un contrato en el que el afectado era parte- se traslada
al responsable del tratamiento de los datos personales la carga de la prueba de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/30

contratación; o al menos la carga de la prueba de que desplegó la diligencia que era
procedente para dar cumplimiento a tal obligación.

Nos remitimos al artículo 5.2 del RGPD. En términos parecidos se pronunciaba
la, actualmente derogada, Directiva 95/46, que se traspuso al ordenamiento interno
español a través de la Ley Orgánica 15/1999, de Protección de Datos (LOPD) y que
plasmó con toda claridad el Reglamento de desarrollo de la LOPD, aprobado por el
Real Decreto 1720/2007. Normas vigentes cuando EDP inició el tratamiento de datos
que es objeto de valoración en este expediente sancionador y que en la actualidad se
encuentran derogadas.

La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en supuestos
como el que aquí se plantea, ha venido considerado bajo la normativa anterior que
cuando el titular de los datos niega la contratación corresponde la carga de la prueba a
quien afirma su existencia, debiendo el responsable del tratamiento de datos de
terceros recabar y conservar la documentación necesaria para acreditar el
consentimiento del titular.

Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de
Derecho Cuarto: “Por otra parte es al responsable del tratamiento (por todas,
sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde
asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y
que esa persona que está dando el consentimiento es efectivamente el titular de esos
datos personales, debiendo conservar la prueba del cumplimiento de la obligación a
disposición de la Administración, encargada de velar por el cumplimiento de la Ley”.

D.- Invoca también EDP, en defensa de su declaración de que actuó con arreglo a
Derecho y respetó el principio de licitud cuando trató los datos del reclamante, que, el
cambio de titularidad del contrato de gas que gestionó la señora B.B.B. -en calidad de
representante de la sociedad que era la titular del contrato de energía para el punto de
suministro de ***DIRECCION.1- no le obligaba a acreditar que la presunta
representante ostentaba la representación del nuevo cliente y titular de los datos
tratados. Justifica tal afirmación en que el artículo 83 del Real Decreto 1955/2000
otorga al consumidor que esté al corriente del pago la facultad de traspasar su
contrato a otro consumidor que vaya a hacer uso del mismo en idénticas condiciones.
Y añade, además, que en el presente caso “el cambio de titularidad se produce bajo
las mismas condiciones contractuales, es decir, sin que el cambio pueda ser
considerado un alta nueva y por tanto una nueva contratación”.

En respuesta a tal alegato, a propósito de la supuesta norma habilitante para el
tratamiento efectuado (el R.D. 1955/2000), basta señalar que el artículo 6.1 del RGPD,
en su apartado c) contempla como uno de los supuestos de licitud del tratamiento que
éste sea necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento.

Ahora bien, la obligación en tal caso ha de venir impuesta por una norma con
rango formal de Ley. La exigencia de que la norma habilitante tenga el rango formal de
Ley también se establecía en la normativa de protección de datos anterior. Nos
referimos al artículo 10.2 del Reglamento de desarrollo de la LOPD, actualmente
derogado, pero vigente cuando EDP inició el tratamiento de los datos del reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/30

Sobre esa cuestión incidió en su momento la STC/292/2000 a propósito del
artículo 6.1, in fine, de la LOPD, que mencionaba la Ley como una excepción al
principio del consentimiento. El Tribunal Constitucional advirtió que una limitación a un
derecho fundamental o al ejercicio de las facultades que lo integran requiere que se
lleve a cabo a través de una Ley en sentido formal, sin que puedan introducirse
limitaciones o restricciones al contenido de un derecho de esa naturaleza a través de
una norma reglamentaria.

En todo caso, y sin perjuicio de la exposición precedente, la norma reglamentaria
que invoca EDP tiene como presupuesto fáctico que el consumidor estuviera al
corriente del pago. Y como revela la audición de la grabación aportada con las
alegaciones al acuerdo de inicio -en la que una persona que se identifica con los datos
del reclamante contacta con EDP para preguntar por el importe adeudado ya que le
han cortado el suministro eléctrico- se adeudaban tres facturas.

Respecto a la segunda reflexión de la reclamada -que no se produjo un alta
nueva con los datos del reclamante sino una subrogación del reclamante en el
contrato anterior- se trata de una cuestión de naturaleza civil/mercantil sobre la que
esta Agencia no debe pronunciarse. Lo relevante a los efectos que nos ocupan es que,
con independencia de que estemos ante una subrogación o ante un nuevo contrato,
en ambos casos, el reclamante tendría, según viene sosteniendo la reclamada, la
condición de parte contratante. Y en cuanto tal, para hacer valer como base jurídica
del tratamiento el artículo 6.1.b) del RGPD, es imprescindible que el titular de los datos
hubiera otorgado a su pretendida representante el consentimiento para que actuara en
tal condición, extremo que en ningún caso se ha acreditado por EDP.

Esta Agencia reitera que ninguno de los documentos que EDP ha aportado
acredita lo que es sustancial en el asunto examinado: que el titular de los datos otorgó
a la señora B.B.B. su representación para que en su nombre gestionara el cambio en
la titularidad del contrato de electricidad del punto de suministro de ***DIRECCION.1.

La reclamada tampoco ha aportado documentos o indicios probatorios que
evidencien que la entidad, ante tal situación -una contratación telemática a través de
quien afirma ser el representante del titular de los datos-, desplegó la diligencia
mínima exigible para verificar que efectivamente su interlocutora tenía la
representación que afirmaba ostentar.

El respeto al principio de licitud, antes principio del consentimiento, que está en
la esencia del derecho fundamental de protección de datos de carácter personal, exige
acreditar que el titular de los datos consintió que un tercero en su nombre celebrara un
contrato con EDP o, al menos, que la responsable del tratamiento desplegó la
diligencia imprescindible para acreditar ese extremo. De no actuar así -y de no exigirlo
así esta Agencia, a quien le incumbe velar por el cumplimiento de la normativa
reguladora del derecho de protección de datos de carácter personal- el resultado sería
vaciar de contenido el principio de licitud y en particular el artículo 6.1 de la LOPD.

E.- Constatado que EDP trató los datos personales del reclamante y constatado
también que esta entidad no ha facilitado a la AEPD ningún documento que demuestre
que el reclamante otorgó su representación a la persona que celebró el contrato con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/30

ella y afirmó actuar en su nombre -lo que hubiera permitido estimar lícito el tratamiento
al amparo del artículo 6.1.b, del RGPD- se ha de valorar si intervino culpa de la
entidad reclamada o si omitió la diligencia que era procedente, atendidas las
circunstancias del caso, imprescindible para que la conducta analizada sea
subsumible en el tipo infractor del artículo 83.5. del RGPD.

Esto, porque rige en nuestro Derecho sancionador el principio de culpabilidad,
que impide imponer sanciones basadas en la responsabilidad objetiva del presunto
infractor. La presencia del elemento de la culpabilidad en sentido amplio, como
condición para que nazca la responsabilidad sancionadora, ha sido reconocida por el
Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las
sanciones administrativas participan de la misma naturaleza que las penales al ser
una de las manifestaciones del ius puniendi del Estado y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla.

La Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo
28, bajo la rúbrica “Responsabilidad”:

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.” (El subrayado es de la AEPD)

En el supuesto analizado no sólo está presente el elemento de la culpabilidad -
extremo que la reclamada niega en sus alegaciones al acuerdo de inicio- sino que se
aprecia una gravísima falta de diligencia de la reclamada que tiene una consecuencia
directa en la determinación del importe de la sanción a imponer.

En el cumplimiento de las obligaciones que el RGPD impone al responsable del
tratamiento éste debe desplegar la diligencia mínima que requieren las circunstancias
del caso. Es ilustrativa la SAN de 29/04/2020 -que, si bien se dictó en un asunto de
contratación fraudulenta y bajo la normativa anterior, es perfectamente extrapolable al
que nos ocupa- cuyo Fundamento Jurídico sexto dice:

“La cuestión no es dilucidar si la recurrente trató los datos de carácter personal
de la denunciante sin su consentimiento, como si empleó o no una diligencia
razonable a la hora de tratar de identificar a la persona con la que suscribió el
contrato”. (El subrayado es de la AEPD)

Por ello, incluso existiendo una conducta antijurídica, cuando el responsable del
tratamiento acredita haber actuado con la diligencia que las circunstancias del caso
exigen para cumplir las obligaciones impuestas por la normativa de protección de
datos, al estar proscrita la responsabilidad objetiva en nuestro Derecho Administrativo
sancionador, la AEPD procede al archivo del expediente.

En el supuesto que examinamos se constata que la entidad EDP no desplegó la
más mínima diligencia con el fin de estar en condiciones de probar que el titular de los
datos personales había otorgado su representación a la persona que afirmó actuar en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/30

su nombre en la contratación. La reclamada no verificó antes de gestionar el cambio
de titularidad del contrato de suministro de gas a nombre del reclamante si quien decía
actuar en su representación efectivamente la ostentaba.

Hasta tal punto es grave la falta de diligencia demostrada por EDP en el
supuesto que nos ocupa que las grabaciones de las conversaciones mantenidas entre
la entidad y la persona que se identificó como representante del reclamante ponen de
manifiesto que la supuesta representante no obtuvo el dato del DNI del afectado
mediante el cotejo del documento. Por el contrario, como la señora B.B.B. explicó en
la conversación con EDP cuya grabación obra en el expediente, el dato había sido
escrito a mano por la persona a quien decía representar. Llamativo es también que
pese a las incidencias surgidas en la contratación telefónica respecto a la letra del DNI
del representado -lo que obligó a que la señora B.B.B. tuviera que llamar una segunda
vez a EDP después de verificar la letra del documento- la reclamada siguió sin
articular alguna medida consistente destinada a verificar que efectivamente el titular de
los datos había otorgado su representación a la persona que intervino en la
contratación.

A la luz de las grabaciones que obran en el expediente y de lo alegado por EDP
en su defensa, se evidencia con nitidez que la entidad carece por completo de un
protocolo de actuación para las contrataciones telemáticas cuando la persona que
facilita los datos no es su titular, sino un tercero que afirma actuar en su nombre.
Carencia que, además, impide dar cumplimiento al principio de responsabilidad
proactiva.

A propósito del elemento de la culpabilidad en el marco del procedimiento
sancionador parece conveniente referirnos a la SAN de 30/05/2015 (Rec. 163/2014)
que ha destacado las diferencias que existen entre la atribución de responsabilidad a
una persona física y a una persona jurídica y conecta la “reprochabilidad” de una
determinada conducta a una “persona jurídica” con la circunstancia de que aquella
“hubiera dispensado o no una eficaz protección al bien jurídico protegido por la
norma”. El Fundamento de Derecho segundo de la citada Sentencia dice:

<<No obstante, el modo de atribución de la responsabilidad a las personas
jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que
son imputables a la conducta humana. De modo que, en el caso de infracciones
cometidas por personas jurídicas, aunque haya de concurrir el elemento de la
culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto
a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>>

EDP–habida cuenta del carácter de la actividad empresarial que desarrolla, que
lleva implícita el tratamiento de numerosos datos personales- tenía la obligación de
haber adoptado las medidas necesarias y oportunas para estar en condiciones de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/30

cumplir las obligaciones que están implícitas en el principio de licitud.

En definitiva, la conducta de EDP, materializada en el tratamiento de los datos
personales del reclamante –nombre, dos apellidos, NIF, teléfono móvil y domicilio–
vinculados a un contrato energético de gas en el que él niega ser parte, sin que haya
acreditado esa condición del reclamante y sin que hubiera observado una mínima
diligencia en su actuación, vulnera el artículo 6.1.b, del RGPD, actuación subsumible
en el tipo sancionador del artículo 83.5 del RGPD.

IV

Los argumentos esgrimidos por la reclamante en sus diversos escritos -escritos
cuyo contenido se resume en los Antecedentes segundo, quinto y octavo, y a los que
hacemos mención en los Fundamentos precedentes de esta resolución- exigen hacer
algunas precisiones:

En defensa de su pretensión de archivo del expediente EDP hace diversas
alegaciones que giran en torno a una misma idea: la existencia de un contrato de
mandato representativo entre la señora B.B.B. y el reclamante para que la primera
celebrara en su nombre un contrato de energía con EDP. Mandato representativo que
para EDP es la base jurídica legitimadora del tratamiento que ha efectuado.

Para sustentar tal afirmación, la reclamada hace un sinfín de afirmaciones
carentes de toda consistencia jurídica. Dice, por ejemplo, que “existe una relación
contractual válida” entre EDP y el reclamante y justifica esa afirmación en dos
elementos que, manifiesta, la Agencia consideró probados en el acuerdo de inicio:
“que los datos del reclamante los obtuvo a través de la señora B.B.B. y que esta
señora afirmó en varias ocasiones, en el curso de las conversaciones telefónicas, que
actuaba en representación del reclamante”.

En las alegaciones a la propuesta de resolución EDP incide nuevamente sobre
esta cuestión para denunciar ahora la indefensión jurídica a la que esta Agencia le ha
sometido.

Así, manifiesta que “se encuentra en una situación de indefensión jurídica, ya
que la propia AEPD admite acreditada el origen de los datos, aportados en la llamada
en el momento de la contratación realizada por la Sra. B.B.B., resultándole sin
embargo irrelevantes de cara a acreditar el debido tratamiento de los mismos, cuando
es precisamente el punto de referencia que justifica la legitimación del tratamiento de
los datos del Denunciante, puesto que la existencia de una relación contractual válida
entre las partes queda confirmada.” Alegación segunda del escrito de alegaciones a la
propuesta de resolución. (El subrayado es de la AEPD)

Pues bien, en relación con esa “indefensión jurídica” que EDP sufre hemos de
precisar lo que sí dijo esta Agencia y lo que no dijo, pero EDP quiere atribuirle.

En el Fundamento Jurídico II de la propuesta de resolución apartado B (en la
presente resolución, Fundamento Jurídico III), se dice que las grabaciones remitidas
por EDP (Hechos probados 7 y 8) “hacen prueba, exclusivamente, de que una
persona, la señora B.B.B., manifestó insistentemente ostentar la representación del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/30

reclamante para contratar en su nombre con EDP.” Y a continuación se añade: “Las
citadas grabaciones, ni acreditan que el reclamante otorgara su representación a la
citada señora para contratar en su nombre el suministro de gas ni aportan indicio
alguno en tal sentido.” Y se continúa diciendo que las “grabaciones remitidas por EDP
(cuatro audios, de los que dos de ellos integran el documento 1 y los restantes el
documento dos de los aportados con la respuesta a la solicitud informativa) sí prueban
cuál es el origen de algunos de los datos personales del reclamante que EDP trató
asociados a un contrato que él niega haber celebrado: nos referimos a los datos de
nombre, apellidos y DNI del reclamante. Datos que, como se pone de manifiesto con
la audición de las grabaciones, fueron proporcionados por la señora B.B.B. a EDP.”
“Sin embargo, las grabaciones no explican cuál es el origen de otros datos del
reclamante que EDP también trató vinculados a un contrato al que el titular de los
datos personales es ajeno: su domicilio en ***LOCALIDAD.1, ***CCAA.1, que no
coincide, como ya se ha puesto de relieve, con el del punto de suministro y el número
de móvil del reclamante que EDP incorporó al ejemplar del contrato que envió a su
domicilio”

Como parece obvio, en tales párrafos no se afirma otra cosa que las grabaciones
de EDP demuestran que los datos del reclamante que fueron objeto de tratamiento por
la entidad (excepto su domicilio y su número de móvil) proceden o tienen origen en la
información que, a la luz de las grabaciones remitidas a la AEDP, le facilitó la señora
B.B.B.. Esto, en contraposición a otros datos del reclamante que EDP también trató
pero que no le facilitó la citada señora, pues no se mencionan en las grabaciones
aportadas: el domicilio del reclamante y su número de teléfono móvil.

Pretender -como hace la reclamante- que en tales párrafos esta Agencia está
reconociendo que fue el reclamante quien facilitó sus datos a la señora B.B.B. es de
todo punto inadmisible.

En definitiva, cuando la Agencia manifiesta que las grabaciones aportadas son
irrelevantes se está refiriendo a su falta de virtualidad para acreditar o aportar indicios
de que el reclamante otorgó su representación a la señora B.B.B.. En tanto esa
representación no se acredita ni se aportan indicios de su existencia, no es posible
aceptar, como la reclamante pretende, que existió una relación contractual válida entre
las partes.

La reclamada, en prueba de la pretendida validez de la relación contractual entre
EDP y el reclamante, ha invocado de nuevo la grabación que aportó como documento
adjunto a las alegaciones al acuerdo de inicio.

Respecto a esta grabación –que como ya subrayo en su momento la Agencia no
contiene fecha- EDP, sorprendentemente, aporta una novedosa información que, sin
embargo, no va acompañada de su necesaria prueba. Dice ahora la entidad en su
escrito de alegaciones a la propuesta -alegación segunda, párrafo tercero- que la
grabación es del 10/08/2019 (dato que no figura en la grabación sonora) y que “dicho
pagador, es el hijo del Denunciante conociéndole a este último como titular del
contrato”

La grabación aportada por EDP con el escrito de alegaciones al acuerdo de
inicio (Hecho probado décimo) -en la que la persona que llama y se identifica con los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/30

datos personales del reclamante pregunta a cuánto asciende la deuda, pues le han
cortado el suministro, tras lo que el operador telefónico de la reclamada le interroga
sobre el CUPS de la vivienda y le informa del importe pendiente de abono y de la
posibilidad de pago con tarjeta- no puede tener el efecto probatorio que EDP quiere
atribuirle.

Basta señalar a ese respecto que el tratamiento de los datos del reclamante sin
legitimación para ello se inicia en mayo de 2018; que en las grabaciones se indica que
el pago se hará a través de domiciliación bancaria, lo que parece que no ha ocurrido
dada la situación de impago existente y que el reclamante, que recibió en su domicilio
la notificación de impago ya conocía perfectamente el importe adeudado.

La entidad afirma también (alegación tercera de las alegaciones a la propuesta,
párrafo primero) que “actuó…asegurando la identificación del anterior y nuevo titular,
así como de plasmar en soporte duradero la operación realizada”

Afirmación interesante que demanda una precisión: la identificación no es la
base jurídica del tratamiento, sino que lo es el pretendido consentimiento del
reclamante a un mandato otorgado a la señora B.B.B.. Así pues, es cierto que en las
grabaciones aportadas por EDP la señora B.B.B., que afirma insistentemente que ella
es la representante del reclamante, facilitó a EDP, o en otras palabras, “identificó” ante
EDP a su pretendido representado y facilitó su nombre, dos apellidos y NIF.

Evidentemente EDP a través de la grabación aportada -en la que la supuesta
representante del reclamante lo identifica- conoce su nombre, apellidos y NIF. Pero la
cuestión relevante es otra: la acreditación de que la citada señora actuó en condición
de mandataria del reclamante porque así lo acordaron ambos, lo que exige acreditar
que el reclamante consintió esa representación.

Los diversos argumentos esgrimidos por EDP tienen el mismo elemento común.
Omiten intencionadamente cualquier referencia a lo que constituye el núcleo de la
conducta contraria al RGPD de la que se responsabiliza a la entidad: la prueba de que
el reclamante otorgó a la señora B.B.B. su representación para que interviniera en su
nombre en la contratación con EDP.

Relacionado con lo anterior hemos de traer a colación otra de las interesantes
afirmaciones hechas por EDP en su defensa (que además la entidad destacó en
negrilla): que “la AEPD, no sólo dificulta e inhibe el tráfico jurídico, sino que anula
completamente la figura del representante y del mandato, no considerando este
órgano administrativo estas operaciones realizadas por terceros, como actos
legítimos” (El subrayado es de la AEPD)

Afirmación que de nuevo parte de una premisa falsa. Esta Agencia -como no
podía ser de otro modo pues está sometida al ordenamiento jurídico español- nada
tiene que decir sobre la figura del mandato representativo

Lo decisivo es que EDP no ha acreditado que la persona que intervino en la
contratación, y dijo actuar como representante del reclamante, ostentaba esa
representación. Lo relevante es la falta de prueba de que el reclamante -cuyos datos
personales ha tratado EDP asociados a un contrato que él niega haber celebrado-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/30

hubiera otorgado su representación a la persona que intervino en la contratación y dijo
actuar en tal condición.

La reclamada -que en sus alegaciones al acuerdo de inicio expuso con detalle
las disposiciones del Código Civil que regulan el mandato e insistió que en nuestro
C.c. rige el principio de libertad de forma, por lo que esta Agencia no puede exigirle
que el mandato se documente- olvida que el artículo 1278 del C.c dispone que “Los
contratos serán obligatorios cualquiera que sea forma en que se hayan celebrado,
siempre que en ellos concurran las condiciones esenciales para su validez”. Y una de
estas condiciones es el consentimiento. Consentimiento del reclamante al mandato
representativo que supuestamente había conferido a la señora B.B.B., que era
condición esencial para su existencia y sobre el que EDP nada aporta y nada dice.

A propósito de la falta de diligencia demostrada por EDP para verificar que la
persona que le facilitó los datos personales del reclamante ostentaba su
representación y que, ni siquiera con posterioridad a la llamada telefónica, realizó
algún tipo de actividad para confirmar la identidad del nuevo titular EDP ha respondido
en sus alegaciones a la propuesta:

“Sin embargo, esta consideración no es correcta, ya que, ni en este caso no
estamos ante una contratación, ni mi mandante carece de procedimientos que regulan
dichos aspectos.” Seguidamente indica:

“En primer lugar, mi mandante cuenta con un proceso de doble verificación
implementado para nuevas contrataciones a través de un mensaje de texto al teléfono
de contacto facilitado conservándose el mismo como prueba de la ratificación de la
contratación.

En segundo lugar, este caso supone una mera modificación del titular del
contrato ya suscrito con anterioridad …” (El subrayado es de la AEPD)

Alegaciones que únicamente evidencian confusión respecto a las obligaciones a
la que viene sujeto el responsable del tratamiento de datos personales de terceros por
la legislación específica. Las meras manifestaciones de quien afirma actuar en
representación de otro no pueden justificar la licitud del tratamiento ni constituyen una
prueba del respeto a ese principio en el tratamiento de los datos a cuyo cumplimiento
el responsable viene obligado por el RGPD.

V

A fin de concretar el importe de la multa administrativa a imponer en cada caso
individual, se ha de estar a las previsiones de los artículos 83.1 y 83.2 del RGPD,
preceptos que señalan:

“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”

“Las multas administrativas se impondrán, en función de las circunstancias de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/30

cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:

“2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

A) A la luz de las normas transcritas y a fin de concretar el importe de la sanción de
multa que corresponde imponer a EDP como responsable de una infracción tipificada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/30

en el artículo 83.5.a) del RGPD, parece conveniente hacer dos precisiones:

La primera, que el artículo 83.2 RGPD exige que la autoridad de control
garantice que la sanción a imponer sea en cada caso “efectiva, proporcionada y
disuasoria” y, por otra, que el importe de la sanción prevista en el RGPD para las
infracciones contempladas en el artículo 83.5 tienen como límite máximo la mayor de
estas dos cantidades: 20.000.000 de euros o el 4% del volumen de negocio total anual
global del ejercicio financiero anterior. Durante el ejercicio 2017 la cifra de negocio de
EDP COMERCIALIZADORA, S.A., ascendió a 268.476.000 de euros, por lo que el 4%
de esta cantidad asciende a 10.739.040 euros.

Se ha de indicar también que la reclamada ha solicitado en sus alegaciones al
acuerdo de inicio que se le imponga la sanción mínima prevista para las infracciones
leves. Alegato que no tiene razón de ser cuando la norma aplicable es el RGPD que ni
distingue entre las infracciones leves, graves y muy graves que preveía la LOPD ni
contempla un mecanismo equivalente al artículo 45.5 de la precitada Ley Orgánica
15/1999.

Si bien la pretensión principal de la reclamada ha sido el archivo de las
actuaciones, en sus alegaciones al acuerdo de inicio solicitó con carácter subsidiario
que se le impusiera la sanción mínima prevista para las infracciones leves. Alegato
que no tiene razón de ser cuando -como aquí ocurre- la norma aplicable es el RGPD
que a diferencia de la LOPD no distingue entre infracciones leves, graves y muy
graves y que tampoco contempla un mecanismo equivalente al artículo 45.5 de la
precitada Ley Orgánica 15/1999.

B) Sobre la procedencia de estimar alguna de las atenuantes descritas en la norma
EDP adujo que para el asunto que nos ocupa “serían de aplicación la práctica totalidad
de las atenuantes recogidas en el régimen sancionador”.

Sin embargo, no podemos compartir esta afirmación de la reclamada. Es más,
en el presente asunto ni siquiera se estima procedente apreciar como atenuantes el
hecho de que se haya visto afectada por la actuación de EDP sólo una persona o el
alcance meramente local de la infracción (artículo 83.2.a)

En un supuesto como el que analizamos -en el que la entidad reclamada, para
las contrataciones telemáticas en las que un tercero interviene en representación del
titular de los datos, carece de un protocolo ajustado a Derecho que le permita
demostrar que efectivamente ostenta esa representación- la conducta infractora no
constituye un hecho puntual y aislado, el único hecho puntual es la reclamación
formulada por el afectado. Así pues, no parece correcto que, el hecho de que el
afectado por la conducta de la entidad sea una única persona, pueda estimarse como
exponente de una menor culpabilidad o antijuridicidad de su conducta ni apreciar
tampoco como atenuante el ámbito local de la infracción. La conducta contraria a la
norma es fruto de un modelo de actuación a través del que EDP desarrolla su
actividad y que continúa manteniendo ya que, a su juicio, resulta ajustado a Derecho,
por más que resulte obvio el incumplimiento de los principios de licitud y de
responsabilidad proactiva.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/30

Tampoco cabe estimar en calidad de atenuante a favor de EDP la circunstancia
descrita en el artículo 76.2.c) de la LOPDGDD, por remisión del artículo 832.k del
RGPD: “Los beneficios obtenidos como consecuencia de la comisión de la infracción”.

A propósito de esta cuestión, la Audiencia Nacional, Sala de lo Contencioso
Administrativo, en su SAN de 17/04/2018 (Rec. 254/2017) rechazó la pretensión de la
parte demandante, sancionada por la AEPD, de que se admitiera como atenuante el
artículo 45.5.e) LOPD por ausencia de beneficios. El Fundamento Jurídico tercero de
la SAN dice: “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo
argumentado por la resolución recurrida, respecto a que lo relevante es que la
actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por
lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de
fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. Ese ha
sido también el espíritu de la SAN de 31/03/2017.

C) Se aprecia la concurrencia, en calidad de agravantes, de las circunstancias
siguientes:

- La duración del tratamiento ilegítimo de los datos del reclamante efectuado por
EDP. La documentación que integra el expediente revela que el tratamiento se inició el
17/05/2018 (Hecho probado 6) y se mantuvo, al menos, hasta el 15/11/2018; esto es,
durante casi cinco meses. Se toma en consideración a tal fin la carta que EDP remitió
al reclamante, de fecha de 15/11/2018, en respuesta a la solicitud informativa de la
AEPD -Hecho probado 9- en la que se evidencia que continúa tratando los datos del
afectado ya que estima que el reclamante había suscrito un contrato con ella a través
de la señora B.B.B., (artículo 83.2.a, del RGPD)

- El volumen de negocio o cifra de actividad de la entidad (artículo 83.2.a, del
RGPD) Estamos en presencia de una gran empresa del sector energético. El volumen
total anual global del ejercicio financiero 2017 ascendió a 268.476 millones de euros,
(artículo 83.2.a del RGPD)

- El artículo 83.2.f) del RGPD menciona “el grado de cooperación con la
autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles
efectos adversos”. Circunstancia que asimismo opera en calidad de agravante. Si bien
es cierto que EDP respondió a las solicitudes informativas de esta Agencia, lo es
también que, pese a que no podía acreditar la licitud del tratamiento de los datos del
reclamante decidió continuar con el tratamiento de sus datos personales asociados a
un contrato de gas, después de que la AEPD le hubiera hecho el requerimiento
informativo, como se pone de manifiesto en la carta de fecha 15/11/2018 que dirigió al
reclamante, pese a no disponer de ningún documento que acreditara que el tercero
que intervino en la contratación actuaba en representación del titular de los datos.

- El alcance del tratamiento (artículo 83.2.a, RGPD) pues los datos personales
del reclamante que han sido objeto de tratamiento por EDP sin legitimación para ello
fueron varios: el nombre y dos apellidos, NIF, domicilio particular y número de teléfono
móvil.

- La reclamada ha actuado con una muy grave falta de diligencia, (artículo
83.2.b, del RGPD). No estamos únicamente ante una falta de diligencia en el momento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/30

de vincular los datos del reclamante a un contrato de gas en virtud del consentimiento
otorgado por quien afirmó actuar en su representación. Como se detalla en los
Fundamentos precedentes, EDP ha demostrado carecer absolutamente de un
protocolo de actuación que contemplara la necesidad de recabar algún documento que
hiciera prueba de la representación que se dice ostentar en las contrataciones
telemáticas en las que quien contacta con la entidad afirma intervenir en
representación de otra persona.

- La evidente vinculación entre la actividad empresarial de EDP y el tratamiento
de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación
con el artículo 76.2.b, de la LOPDGDD)

VI

De acuerdo con los artículos 58.2 y 83.2 del RGPD, anteriormente transcritos,
las autoridades de control pueden imponer, adicionalmente a la sanción de multa,
alguna de las medidas correctivas o sanciones contempladas en las letras a) a h) y j)
del apartado 2 del artículo 58 del citado RGPD.

En el presente caso, habida cuenta de que la reclamada -a propósito del tratamiento
de datos personales recabados en contrataciones telemáticas en las que un tercero
interviene y declara ostentar la representación del titular de los datos y representado-
carece por completo de un protocolo de actuación respetuoso con las obligaciones que
le impone el RGPD, se acuerda, al amparo del artículo 58.2. d) del RGPD, ordenar a
EDP que incorpore al protocolo de contratación que tiene implantado para las
contrataciones a través de representante todos los cambios que le permitan estar en
condiciones de probar ante esta Agencia que el representado, y titular de los datos, ha
autorizado tal representación y la ha conferido a favor de la persona que interviene en
el negocio jurídico. El plazo en el que deberá haber implementado las nuevas medidas
será de un mes computado desde la fecha en la que la resolución en la que así se
acuerde sea ejecutiva.

Al hilo de lo anterior se ha de traer a colación el artículo 83.6 RGPD que establece:
“El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo
58, apartado 2, se sancionará de acuerdo con el apartado 2 de este artículo con
multas administrativas de 20.000.000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio
total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a EDP COMERCIALIZADORA S.A., con NIF A95000295, por
una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una
multa de 75.000 euros (setenta y cinco mil euros).

SEGUNDO: Al amparo del artículo 58.2.d) del RGPD, ORDENAR a EDP
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/30

COMERCIALIZADORA S.A., con NIF A95000295, que ADECÚE sus protocolos de
contratación telemática a LAS DISPOSICIONES del RGPD relativas a la LICITUD DEL
TRATAMIENTO, en particular en las contrataciones que efectúe A TRAVÉS DE
REPRESENTANTE, en las que como responsable del tratamiento debe estar en
condiciones de acreditar tanto la realidad de la representación otorgada por el titular
de los datos y representado como su identidad.

El plazo dentro del cual EDP deberá implementar las medidas que se le ordena
adoptar y acreditar ante la AEPD su cumplimiento, será de un mes computado desde
la fecha en la que esta resolución sancionadora sea ejecutiva.

TERCERO: NOTIFICAR la presente resolución a EDP COMERCIALIZADORA S.A.

CUARTO: Advertir a la sancionada que deberá hacer efectiva la sanción de multa
administrativa impuesta una vez que la presente resolución sea ejecutiva, de
conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante LPACAP), en el plazo de pago voluntario establecido en el artículo 68 del
Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de
julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su
ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en
el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000
0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en
el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en
período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al artículo
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el artículo 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/30

administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el artículo 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento
de la interposición del recurso contencioso-administrativo en el plazo de dos meses
desde el día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.

Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es