Sözleşme Sürecinde Tasarım ve Bilgilendirme İhlalleri

1/141

 Procedimiento Nº: PS/00037/2020

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Ante esta Agencia se han venido presentando diversas reclamaciones contra
la entidad EDP COMERCIALIZADORA, S.A.U. en las que sustancialmente se
denuncia el tratamiento de datos personales sin consentimiento del interesado. Dichos
tratamientos se producen en el marco de la contratación de servicios de gas
efectuadas supuestamente por un representante del cliente, sin que dicha entidad
pueda acreditar la existencia de tal representación. Tales reclamaciones han dado
lugar a la incoación de diversos procedimientos sancionadores por parte de esta
Agencia, entre los que cabe mencionar el PS/0025/2019, que ha concluido declarando
la existencia de una infracción de lo previsto en la normativa de protección de datos.

SEGUNDO: A la vista de los antecedentes mencionados en el número anterior, el día 3 de
junio de 2019 la Directora de la Agencia Española de Protección de Datos instó a la
Subdirección General de Inspección de Datos el inicio de actuaciones previas de
investigación a fin de acreditar, en su caso, la existencia de una conducta regular y
continuada de posible vulneración de la normativa de protección de datos por parte de
EDP COMERCIALIZADORA, S.A.U.

TERCERO: El día 17 de diciembre de 2019, la Subdirección General de Inspección
formula requerimiento a EDP COMERCIALIZADORA, S.A.U para que facilite la
siguiente información:

1. Especificación de los canales de contratación (telefonía, internet, distribuidores
propios o subcontratas, fuerza de ventas con visitas a domicilio propia o
subcontratada, etc.…) de los servicios comercializados por EDP
COMERCIALIZADORA, S.A.U. a personas físicas.

2. Descripción del procedimiento de contratación seguido a través de cada uno de los
canales anteriores cuando la contratación es realizada por un tercero en
representación de la persona física titular del contrato. Al respecto se solicita aportar,
además de toda la información que considere oportuna a los efectos de documentar el
procedimiento, los siguientes:

2.1. Copia de los documentos (modelos de formularios, contratos, argumentarios
telefónicos, etc.) usados para recopilar los datos personales del titular y del tercero
que actúa representándolo, con indicación del canal o canales para los que se utiliza
cada uno.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/141

2.2. Descripción de los procedimientos habilitados a través de cada uno de los canales
de contratación para que un tercero pueda acreditar la representación de un titular al
suscribir un contrato con EDP COMERCIALIZADORA, S.A.U.

2.3. Especificación del procedimiento seguido por EDP COMERCIALIZADORA,
S.A.U. para almacenar las evidencias que acreditan la capacidad de representación
del tercero en los procedimientos en que se efectúa este tipo de contratación, con
indicación del canal o canales para los que se usa cada uno.

2.4. Adjuntar modelos y/o ejemplos de evidencias tipo recopiladas en virtud del
procedimiento seguido en el apartado 2.3.

3. Información del número de contratos suscritos en 2018 y 2019 por terceros en
representación de los titulares de los servicios (personas físicas) con distinción de:

3.1. En virtud de qué se apoya dicha representación (poder, grado de parentesco, etc.)

3.2. Procedimiento o fórmula de acreditación de la representación seguido.

3.3. Canal de contratación telefonía, internet, distribuidores propios o subcontratas,
fuerza de ventas con visitas a domicilio propia o subcontratada, etc.…)

CUARTO: Con fecha 13 de enero de 2020, se registra la entrada en la AEPD del
escrito de contestación de EDP COMERCIALIZADORA, S.A.U. al requerimiento de
información anterior. En dicho documento se manifiesta lo siguiente:

“PRIMERO- Especificación de los canales de contratación (telefonía, internet,
distribuidores propios o subcontratas, fuerza de ventas con visitas a domicilio propia o
subcontratada, etc.…) de los servicios comercializados por EDP
COMERCIALIZADORA, S.A.U. a personas físicas.

EDP dispone de diferentes canales para formalizar la contratación, distinguiendo los
siguientes:

A. Canal Telefónico, con cierre parcial o definitivo del proceso de contratación
mediante una llamada de teléfono. Incluye los siguientes subcanales:

- CAC Inbound: Recepción de llamadas, desde los clientes hacia EDP. En general son
ya clientes de EDP que se identifican desde el inicio de la llamada a través de un
protocolo de seguridad, aunque también pueden recibirse llamadas de clientes
potenciales.
- Telemarketing: Emisión de llamadas, desde EDP hacia bases de datos propias de ya
clientes para upselling o recuperación de abandonos. Se utiliza para la realización de
la llamada el número de teléfono que consta en la ficha del cliente, y que ha sido
aportado por dicha persona con anterioridad.
- LEADS: Emisión o recepción de llamadas, sobre usuarios que han manifestado un
interés en alguna plataforma o página web (sorteos, promociones, comparadores de
ofertas, blogs, agencias de publicidad, etc.) dejando sus datos básicos para ser
contactados o contactando ellos mismos en el número de teléfono que se les muestra.
Normalmente dichos usuarios aún no tienen contratos activos con EDP.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/141

B. Canal Web, con cierre mediante un formulario digital. El usuario accede a través de
una web e inicia un proceso de contratación totalmente online, sin interacción con
agentes.

C. Distribuidores, con cierre presencial o digital del proceso de contratación,
incluyendo:

- Oficinas Comerciales propias de EDP. Normalmente ya clientes de EDP que acuden
proactivamente a la oficina, aunque puede tratarse también de clientes potenciales.
- Tiendas ajenas (ej. ***TIENDA.1). En general nuevos clientes que acuden a realizar
sus compras y se interesan por la oferta de EDP.

D. Fuerzas de Venta Externas, con cierre presencial del proceso de contratación,
incluyendo:

- Stands en Ferias, Centros Comerciales, etc. En general nuevos clientes que acuden
a dichos eventos o lugares y se interesan por la oferta de EDP.

- Visitas a domicilio con solicitud previa. Clientes o potenciales clientes que han
facilitado sus datos y consentimiento para recibir propuestas de un agente de EDP a
domicilio.

SEGUNDO.- Descripción del procedimiento de contratación seguido a través de cada
uno de los canales anteriores cuando la contratación es realizada por un tercero en
representación de la persona física titular del contrato.

A. Canal Telefónico:

A continuación, pasan a describirse los procedimientos implantados en EDP en
aquellos casos en los que la contratación es realizada por un tercero en
representación de una persona física vía telefónica:

A.1 – CAC INBOUND 1) Cuando el usuario indica que desea realizar una contratación
como representante se le pregunta por su relación con el titular y si cuenta con
autorización de dicha persona. 2) Una vez confirmado el punto anterior, se solicitan
datos identificativos del representante, y todos los datos del titular necesarios para
formalizar la contratación. 3) Finalmente se lee y registra en audio el Consentimiento
Expreso de representante. 4) Al titular del contrato, a efectos informativos, se le remite
por duplicado, con sobre franqueado, la documentación contractual en cumplimiento
de lo dispuesto en la normativa de protección de consumidores y usuarios.

A.2 – TELEMARKETING 1) Cuando el usuario indica que desea realizar una
contratación como representante se le pregunta por su relación con el titular. 2) Una
vez confirmado el punto anterior, se solicitan datos identificativos del representante, y
todos los datos del titular necesarios para formalizar la contratación. 3) A continuación,
se lee y registra en audio el Consentimiento Expreso de representante. 4) Finalmente
se envía soporte duradero al teléfono/sms facilitado por el representante, y se espera
a su confirmación. 5) Al titular del contrato, a efectos informativos, se le remite por

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/141

duplicado, con sobre franqueado, la documentación contractual en cumplimiento de lo
dispuesto en la normativa de protección de consumidores y usuarios.

A.3 – LEADS 1) Cuando el usuario indica que desea realizar una contratación como
representante se le pregunta por su relación con el titular. 2) Una vez confirmado el
punto anterior, se solicitan datos identificativos del representante, y todos los datos del
titular necesarios para formalizar la contratación. 3) A continuación, se lee y registra en
audio el Consentimiento Expreso de representante. 4) Seguidamente se envía soporte
duradero al teléfono/sms facilitado por el representante, y se espera a su confirmación.
5) Al titular del contrato, a efectos informativos, se le remite por duplicado, con sobre
franqueado, la documentación contractual en cumplimiento de lo dispuesto en la
normativa de protección de consumidores y usuarios. 6) En este canal, por el modo de
contratación y las características de los clientes que lo utilizan, se tiene en marcha,
como prueba piloto, la comunicación vía SMS o e-mail al representado (en casos de
no parentesco con el representante para estudiar su eficacia y receptividad.)

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores:

En el caso de contrataciones realizadas en Oficinas Comerciales propias de EDP (en
las tiendas ajenas no existe la posibilidad de contratar en nombre y representación de
un tercero) el procedimiento es el siguiente:

1) En aquellos casos en los que el usuario indica que desea realizar una contratación
como representante de un tercero, se le pregunta por su relación con el titular. 2) Una
vez obtenida la información, se solicitan los datos identificativos del representante, y
todos los datos del titular necesarios para formalizar la contratación. Igualmente, se
requiere una fotocopia del NIF, tanto del representante como del representado. 3)
También se requiere de la presentación de un documento de autorización
cumplimentado y firmado por ambas partes interesadas (representante y titular).

D. Fuerzas de Venta Externas:

En caso de contrataciones realizadas por fuerzas de venta externas (stands de ferias,
centros comerciales y visitas a domicilio, siempre que exista solicitud previa por parte
del interesado), en el contrato se recabarán los datos identificativos del representante,
solicitando igualmente, los datos del titular necesarios para formalizar la contratación.
En el contrato, se especifica de forma expresa que el representante declara disponer
de facultades suficientes para suscribir el contrato en nombre del cliente a quien se
responsabiliza de informar de todas las condiciones del mismo. Se requiere, por otra
parte, de una fotocopia del NIF del representante.

A continuación, se registra en audio una verificación de la contratación donde se le
indica en dos ocasiones al representante, el hecho de que actúa en representación del
titular del suministro y se confirma la relación-parentesco que les vincula.

Por tanto, para acreditar la representación, se formaliza el talonario de contratación
donde el representante declara disponer de facultades suficientes para suscribir el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/141

contrato en nombre del cliente a quien se responsabiliza de informar de todas las
condiciones de este. Igualmente, se aporta copia del NIF del representante.

Al respecto se solicita aportar, además de toda la información que considere oportuna
a los efectos de documentar el procedimiento, los siguientes:

A. Canal Telefónico:

A.1 – CAC INBOUND
La recopilación de datos se realiza en el sistema de cada uno de los proveedores,
siguiendo el orden que corresponda según la tipología de cliente, producto contratado
o campaña.
Documentos:
1) Plantilla datos ventas (Evidencia 1)
2) Consentimiento Expreso Ventas representante CAC (Evidencia 2)

En la evidencia 2 consta lo siguiente:

"[XXXXXX] vamos a grabar su conformidad. ¿de acuerdo?
Son las [hh:mm] del día [dd] de [mm] de [20XX], y D./Dña.[nombre y apellidos]
con DNI [nº DNI], como [marido/mujer/hijo/apoderado/representante] y en re-
presentación del titular [nombre y apellidos / razón social] con DNI/CIF [nº
DNI/CIF] teléfono [teléfono] y correo electrónico [email] ha llamado y acepta la
oferta de EDP para la dirección [dirección de suministro] que consiste en [con-
diciones del plan -dto. en la luz-] para [CUPS LUZ: ES…] sobre el precio EDP
vigente de electricidad [precio de potencia (€/kW mes) y precio término energía
(€/kWh)] y/o [condiciones del plan -dto. en gas] para [CUPS GAS: ES…] y pre-
cio EDP vigente de gas [precio término disponibilidad (€/mes) y precio término
energía (€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan
promoción funciona].
[Si no se elige la fecha de cobro] La forma de pago escogida es [domiciliación
bancaria en su cuenta actual/en la cuenta...] y se pasará al cobro en la fecha
indicada en la factura.
[Si se elige la fecha de cobro] La forma de pago escogida es [domiciliación ban-
caria en su cuenta actual/en la cuenta...] y se pasará al cobro en una fecha
concreta, los días [DD] del mes. En ese caso el periodo de pago podrá ser infe-
rior o superior a los 20 días establecidos en la normativa".
"En nombre de su representado, y tras superar un análisis del riesgo de la ope-
ración, haremos las gestiones necesarias para activar los contratos de acceso,
momento a partir del cual entrará en vigor el nuevo contrato quedando resuelto
el anterior.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/141

El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo
salvo denuncia con antelación de 15 días. ¿Está conforme con la anterior infor-
mación y condiciones del /los contrato/s? [Si / Vale].
En unos días recibirá el contrato incluyendo documento de desistimiento por
duplicado, de los que sólo tendrá que devolvernos firmada una de las copias en
el sobre autofranqueo, no necesita sello, que le adjuntaremos.
Dispone de 14 días naturales para ejercer su derecho de desistimiento. No obs-
tante, si usted nos lo solicita, podemos iniciar ahora los trámites. En ese caso,
si posteriormente desistiera del contrato, deberá abonar el importe correspon-
diente al periodo de suministro prestado. ¿Desea que su contratación se trami-
te de forma inmediata? [SI/NO].
Aún recibirá alguna factura de su compañía actual por un periodo probable-
mente inferior al normal. A partir de ahí, desde la entrada en vigor del contrato
recibirá la factura de EDP con todas nuestras ventajas.
Sus datos personales y los de su representado serán tratados por EDP Comer-
cializadora SAU y EDP Energía SAU para la gestión de sus contratos, preven-
ción de fraude, realización de perfiles basados en información del cliente y de
EDP, así como la realización de comunicaciones personalizadas sobre produc-
tos o servicios directamente relacionados con sus contratos, pudiendo en cual-
quier momento oponerse a las mismas".
"Adicionalmente, para que desde EDP podamos asesorarle con las mejores
propuestas:
¿Nos permite presentar a su representado ofertas relacionadas con la energía
adaptadas a su perfil tras la finalización del contrato, o remitirle en cualquier
momento información de productos y servicios no energéticos, de Empresas
Colaboradoras o de EDP? [SI/NO]
¿Nos permite completar el perfil comercial de su representado con información
de bases de datos de terceros, con la finalidad de enviarle propuestas persona-
lizadas y la posibilidad de contratar o no determinados servicios? [SI/NO]
Su solicitud ha sido registrada con el código que le voy a indicar. Si lo desea,
puede tomar nota [COD. CIG]".

A.2 – TELEMARKETING
La recopilación de datos se realiza en el sistema de cada uno de los proveedores,
siguiendo el orden que corresponda según la tipología de cliente, producto contratado
o campaña.
Documentos:
1) Plantilla datos ventas (Evidencia 1)
2) Consentimiento Expreso Ventas representante TLMK (Evidencia 3)

El texto de la evidencia 3 es el siguiente:
“[Sr./Sra. XXXXXX] para contratarlo necesito grabar su conformidad ¿de
acuerdo?. [Si].
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/141

Bien, pues son las [hh:mm] del día [dd] de [mm] de [20XX
[D./Dña] [nombre y apellidos] con DNI [nº DNI] como [marido/mujer/hijo/apode-
rado/representante] y en representación del titular [nombre y apellidos / razón
social] con DNI/CIF [nº DNI/CIF], teléfono [teléfono] y correo electrónico [email]
acepta la oferta de EDP para la dirección [dirección de suministro] que consiste
en para [CUPS LUZ: ES…………..] sobre el precio EDP vigente de electricidad
[precio de potencia (€/kW mes) y precio término energía (€/kWh)] y/o [condicio-
nes del plan - dto. en gas] para [CUPS GAS: ES……………………….] y precio
EDP vigente de gas [precio término disponibilidad (€/mes) y precio término
energía (€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan
promoción funciona]. La forma de pago escogida es [domiciliación bancaria en
su cuenta actual/en la cuenta………] y se pasará al cobro [en la fecha indicada
en la factura / en UNA FECHA CONCRETA, LOS DÍAS (DD) DEL MES. EN
ESE CASO EL PERIODO DE PAGO PODRÁ SER INFERIOR O SUPERIOR A
LOS 20 DÍAS ESTABLECIDOS EN LA NORMATIVA]. En nombre de su repre-
sentado, y tras superar un análisis del riesgo de la operación, haremos las ges-
tiones necesarias para activar los contratos de acceso, momento a partir del
cual entrará en vigor el nuevo contrato, quedando resuelto el anterior.
El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo
salvo denuncia con antelación de 15 días.
¿Está conforme con la anterior información y condiciones del /los contrato/s?”
[Si / Vale]. “Muchas gracias.”
En unos días recibirá el contrato (incluyendo documento de desistimiento) por
duplicado, de la que sólo tendrá que devolvernos firmada una de las copias en
el sobre autofranqueo, no necesita sello, que le adjuntaremos.
Dispone de 14 días naturales para ejercer su derecho de desistimiento en la
forma que considere oportuna. No obstante, Podemos iniciar los trámites du-
rante ese plazo si usted nos lo solicita, en cuyo caso si desistiera del contrato
deberá abonar el importe proporcional a la parte prestada del suministro. ¿De-
sea que su contratación se tramite de forma inmediata? [SI/NO]
Aún recibirá alguna factura de su compañía actual por un periodo probable-
mente inferior al normal. Con la entrada en vigor del contrato recibirá la factura
de EDP con todas nuestras ventajas.
Sus datos personales y los de su representado serán tratados por EDP Comer-
cializadora SAU y EDP Energía SAU para la gestión de sus contratos, preven-
ción de fraude, realización de perfiles basados en información del cliente y de
EDP, así como la realización de comunicaciones personalizadas sobre produc-
tos o servicios directamente relacionados con sus contratos, pudiendo en cual-
quier momento oponerse a las mismas.
Adicionalmente, para que desde EDP podamos asesorarles con las mejores
propuestas:
¿Nos permite presentar a su representado ofertas relacionadas con la energía
tras la finalización del contrato, o remitirle en cualquier momento información de
productos y servicios del sector financiero, asegurador y de automoción, de
Empresas Colaboradoras o de EDP?
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/141

[SI/NO]
¿Nos permite completar el perfil comercial de su representado con información
de bases de datos de terceros, con la finalidad de enviarle propuestas persona-
lizadas y la posibilidad de contratar o no determinados servicios?
[SI/NO]
Les recordamos que podrán ejercitar en cualquier momento sus derechos de
acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de
cualquiera de las vías indicadas en las Condiciones Generales que pueden
consultar en nuestra web www.edpenergia.es.
[Sólo en caso de contratación de gas] “Por su seguridad le recordamos la obli-
gación legal de colaborar con su Compañía Distribuidora facilitando el acceso a
sus instalaciones.”
Para poder tramitar su petición necesitamos que confirme la aceptación de esta
oferta que tiene el Código, por favor tome nota: “COD CIG”.

A.3 – LEADS
La recopilación de datos se realiza en el sistema de cada uno de los proveedores,
siguiendo el orden que corresponda según la tipología de cliente, producto contratado
o campaña.
Documentos:
1) Plantilla datos ventas (Evidencia 1)
2) Consentimiento Expreso Ventas representante LEADS (Evidencia 4)

El contenido de la evidencia 4 es el siguiente:

“[Sr./Sra. XXXXXX] para contratarlo necesito grabar su conformidad ¿de
acuerdo?. [Si].

Bien, pues son las [hh:mm] del día [dd] de [mm] de [20XX] y [D./Dña] [nombre
y apellidos] con DNI [nº DNI] ha solicitado la llamada de EDP y como
[marido/mujer/hijo/apoderado/representante] y en representación del titular
[nombre y apellidos / razón social] con DNI/CIF [nº DNI/CIF], teléfono [teléfono]
y correo electrónico [email] acepta la oferta de EDP para la dirección [dirección
de suministro] que consiste en [condiciones del plan -dto. en la luz para [CUPS
LUZ: ES…………..] sobre el precio EDP vigente de electricidad [precio de
potencia (€/kW mes) y precio término energía (€/kWh)] y/o [condiciones del
plan -dto. en gas] para [CUPS GAS: ES……………………….] y precio EDP
vigente de gas [precio término disponibilidad (€/mes) y precio término energía
(€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan
promoción funciona]. La forma de pago escogida es [domiciliación bancaria en
su cuenta actual/en la cuenta………] y se pasará al cobro [en la fecha indicada
en la factura / en una fecha concreta, los días (dd) del mes. en ese caso el
periodo de pago podrá ser inferior o superior a los 20 días establecidos en la
normativa]. En nombre de su representado, y tras superar un análisis del riesgo
de la operación, haremos las gestiones necesarias para activar los contratos de
acceso, momento a partir del cual entrará en vigor el nuevo contrato, quedando
resuelto el anterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/141

El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo
salvo denuncia con antelación de 15 días.

¿Está conforme con la anterior información y condiciones del /los contrato/s?”
[Si / Vale]. “Muchas gracias.”
En unos días recibirá el contrato (incluyendo documento de desistimiento) por
duplicado, de la que sólo tendrá que devolvernos firmada una de las copias en
el sobre autofranqueo, no necesita sello, que le adjuntaremos.

Dispone de 14 días naturales para ejercer su derecho de desistimiento en la
forma que considere oportuna. No obstante, Podemos iniciar los trámites
durante ese plazo si usted nos lo solicita, en cuyo caso si desistiera del
contrato deberá abonar el importe proporcional a la parte prestada del
suministro. ¿Desea que su contratación se tramite de forma inmediata? [SI/NO]

Aún recibirá alguna factura de su compañía actual por un periodo
probablemente inferior al normal. Con la entrada en vigor del contrato recibirá
la factura de EDP con todas nuestras ventajas.

Sus datos personales y los de su representado serán tratados por EDP
Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos,
prevención de fraude, realización de perfiles basados en información del cliente
y de EDP, así como la realización de comunicaciones personalizadas sobre
productos o servicios directamente relacionados con sus contratos, pudiendo
en cualquier momento oponerse a las mismas.

Adicionalmente, para que desde EDP podamos asesorarles con las mejores
propuestas:
¿Nos permite presentarle ofertas relacionadas con la energía adaptadas a su
perfil tras la finalización del contrato, o remitirle en cualquier momento
información de productos y servicios no energéticos, de Empresas
Colaboradoras o de EDP?
[SI/NO]
¿Nos permite completar el perfil comercial de su representado con información
de bases de datos de terceros, con la finalidad de enviarle propuestas
personalizadas y la posibilidad de contratar o no determinados servicios?
[SI/NO]
Les recordamos que podrán ejercitar en cualquier momento sus derechos de
acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de
cualquiera de las vías indicadas en las Condiciones Generales que pueden
consultar en nuestra web www.edpenergia.es.

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/141

En el caso de oficinas comerciales propias de EDP, la recopilación de datos se realiza
en el sistema de cada uno de los proveedores, siguiendo el orden que corresponda
según la tipología de cliente, producto contratado o campaña.
Documentos aportados:
1) Plantilla datos ventas (Evidencia 1)
2) Plantilla autorización gestiones representante (Evidencia 5)

En lo que respecta al contenido de la evidencia 5, el documento contiene tres
recuadros diferenciados, En el primero se indica que ”el TITULAR (D.,,,, DNI o CIF) en
nombre propio o representación de la empresa.” En el segundo recuadro se indica que
“AUTORIZA a (D.,,,, DNI… o CIF) para realizar la gestión de (señala 4 posibilidades:
alta/baja, cambio de titularidad, cambio de domiciliación bancaria, y/o otras gestiones)
debiendo marcarse el recuadro contiguo a cada una de ellas. En el tercer recuadro se
recoge “FIRMA” y se deja los espacios correspondientes al lugar, fecha (día, mes y
año) y espacio para la firma del autorizante y autorizado.

A continuación, se resalta con fondo rojo la siguiente leyenda:

“NOTA: PARA TENER VALIDEZ, ESTA AUTORIZACIÓN DEBE PRESENTARSE
ACOMPAÑADA DE FOTOCOPIA DEL DNI DEL TITULAR Y DEL AUTORIZADO.
CUANDO SE TRATE DE AUTORIZACIÓN CONCEDIDA POR UN REPRESENTANTE
DEL TIPO S.A., S.L., A.I.E, U.T.E, CB, COMUNIDAD DE PROPIETARIOS,
FUNDACIONES, COLEGIOS, …, ADEMÁS SE REQUERIRÁ FOTOCOPIA DE LA
ESCRITURA DE PODER OPORTUNA”.

Seguidamente figura el siguiente texto;

“Los interesados quedan informados que los datos de carácter personal facilitados en
este formulario serán tratados como responsable del tratamiento por EDP ENERGÍA,
S.A.U. y EDP COMERCIALIZADORA, S.A.U. con el fin de que puedan ser utilizados
para la tramitación de la gestión autorizada.
Los datos personales que usted nos facilita serán utilizados, en la forma y con las
limitaciones y derechos que reconoce el Reglamento General de Protección de Datos
(UE) 2016/679.

Los interesados cuyos datos sean objeto de tratamiento podrán ejercitar los derechos
de acceso, rectificación, supresión, portabilidad, limitación y oposición al tratamiento
de estos datos, acreditando su identidad, mediante email dirigido a
[email protected] o mediante escrito dirigido al responsable del tratamiento a la
dirección Plaza del Fresno, 2 – 33007 Oviedo (Asturias). Igualmente, podrá ponerse
en contacto con el Delegado de Protección de Datos de EDP, en la misma dirección
postal o en el correo electrónico [email protected], en el caso de que entienda
vulnerado alguno de sus derechos relacionados con la protección de datos, o en su
caso, interponer una reclamación ante la Agencia Española de Protección de Datos “

D. Fuerzas de Venta Externas:

En el caso de las fuerzas de venta externas (stands de ferias, centros comerciales y
visitas a domicilio, siempre que exista solicitud previa por parte del interesado), la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/141

recopilación de datos se realiza en un talonario en papel. Estos datos se digitalizan en
la Herramienta de Gestión de Canales (HGC).
Para la verificación, la recopilación de datos se realiza en el sistema del proveedor de
verificación.
Documentos:
1) Talonario de ventas (Evidencia 6)
2) Plantilla datos ventas (Evidencia 1)
3) Script verificación (Evidencia 7)

En lo que respecta a la evidencia 6, a la que el reclamado denomina Talonario de
ventas, el documento, bajo el título “contrato de suministro de energía y/o servicios”,
contiene en su primera página tres recuadros.
En el primero figuran espacios para cumplimentar los datos relativos al punto de
suministro (dirección, cup electricidad, cup gas) y separadamente casillas para marcar
la contratación de contrato luz+gas o individualmente alguno de los dos servicios. Se
contienen también espacios para cumplimentar los datos del titular del contrato
(nombre, apellidos, teléfono y correo electrónico) y datos del representante (nombre,
NIF y domicilio y se incluyen varias casillas para marcar que el representante lo es en
calidad de cónyuge/pareja registrada, ascendiente/ descendiente o apoderado) debajo
de tales casillas un texto señala que “declara disponer de facultades suficientes para
suscribir el presente contrato en nombre del cliente a quien se responsabiliza de
informar de todas las condiciones del mismo.”

Debajo de este recuadro se contiene la siguiente leyenda; “El cliente contrata, para el
suministro que se indica, el suministro de gas con EDP Comercializadora, S.A.U. y el
suministro de electricidad y/o los servicios complementarios con EDP Energía, S.A.U.,
(en adelante conjunta y/o individualmente, según proceda, referidas como “EDP”) con
arreglo a las Condiciones Específicas que se recogen a continuación y a las
Condiciones Generales en anexo.
El cliente solicita que la prestación del suministro / los suministros y/o servicios se
inicie durante el plazo de desistimiento contemplado en las condiciones generales.”
En el segundo recuadro titulado condiciones específicas del contrato y en el que
separadamente según se trate de gas o luz se contienen ciertas informaciones sobre
tarifas y en el que existen espacios para ser cumplimentados y casillas para marcar
relativas a los servicios que se contratan, figura tanto en la parte de gas como en la de
luz una casilla que debe marcarse para indicar que se cambia de titular. También se
incluye un espacio para cumplimentar los datos relativos a la cuenta corriente para
domiciliar los cobros (este espacio es común a todos los servicios contratados)

Debajo de este recuadro figura el siguiente texto: “EDP se reserva el derecho a
renunciar al presente contrato si los datos efectivos del suministro no se ajustan a los
declarados por el cliente a la hora de contratar.” Seguidamente figura una casilla para
marcar que “El cliente expresamente declara conocer y aceptar las anteriores
Condiciones Específicas.” Y otra para marcar que “El cliente declara haber sido
informado y recibido el anexo con las Condiciones Generales, que acepta.” Se añade
a continuación que “El cliente, si tuviera la condición de consumidor, tiene DERECHO
A DESISTIR de este contrato si hubiera sido formalizado a distancia o fuera de los
establecimientos de la comercializadora según se indica en las condiciones generales
y reconoce que le ha sido entregado el correspondiente documento de desistimiento al

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/141

efecto.” Figura a continuación una casilla para marcar que “El cliente declara haber
recibido el documento de desistimiento y haber sido informado del mismo.”

En el tercer recuadro, bajo el título CLIENTE/REPRESENTANTE tras advertir que la
información relativa a protección de datos puede leerse en el reverso, permite marcar
los siguientes consentimientos:

 Consiento el tratamiento de mis datos personales una vez finalizada la relación
contractual, para la realización de comunicaciones comerciales adaptadas a mi perfil
de productos y servicios relativos al suministro y consumo de energía. Asimismo,
consiento los mencionados tratamientos durante la vigencia y tras la finalización del
contrato, sobre productos y servicios no energéticos, tanto de las empresas del Grupo
EDP como de terceros.

 Consiento el tratamiento de mis datos personales para la elaboración de mi perfil
comercial con información proveniente de bases de datos de terceros, para la
adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar
propuestas comerciales personalizadas, así como para permitir, o no, la contratación
de determinados servicios.

En el reverso de la primera página aparece un apartado, titulado “Información básica
sobre Protección de Datos”: en el que figura lo siguiente:

“Los datos personales serán tratados por parte de EDP COMERCIALIZADORA,
S.A.U. y EDP ENERGÍA, S.A.U. (en adelante, conjuntamente, EDP) en calidad de
Responsables del Tratamiento, para el mantenimiento, desarrollo, cumplimiento y ges-
tión de la relación contractual, prevención del fraude, realización de perfiles basados
en información facilitada por el Cliente y/o derivada de la prestación del servicio por
parte de EDP, así como envío de comunicaciones comerciales, relativas a productos y
servicios relacionados con el suministro y consumo de energía, mantenimiento de ins-
talaciones y equipamiento, y que podrán ser personalizadas en base a su perfil de
Cliente, según se informa en las Condiciones Generales, pudiendo oponerse en cual-
quier momento al envío de comunicaciones comerciales. Adicionalmente, el Cliente
presta su consentimiento explícito para los tratamientos de datos personales recogidos
en el anverso. Sin perjuicio de los consentimientos prestados, el cliente podrá ejercitar,
en todo momento, sus derechos de acceso, rectificación, oposición, supresión, limita-
ción y portabilidad, a través de cualquiera de las vías indicadas en las Condiciones
Generales.”

En la parte de condiciones generales figura la siguiente información relativa a
protección de datos personales:

“LOPD Finalidades del tratamiento de los datos personales. De acuerdo con lo
dispuesto en la normativa vigente el cliente queda informado de que todos los datos
facilitados en el presente contrato son necesarios a los efectos de su formalización.
Dichos datos, además de los obtenidos como consecuencia de la ejecución del
contrato, serán tratados por EDP COMERCIALIZADORA, S.A.U, con domicilio en
c/General Concha, 20, 48001, Bilbao y por EDP ENERGIA, S.A.U con domicilio en
Plaza del Fresno, 2 -33007, Oviedo en su calidad de Responsables del tratamiento,
con la finalidad de gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/141

gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio, para la realización de acciones de prevención del
fraude, así como realización de perfiles, comunicaciones comerciales personalizadas
basadas en información facilitada por el Cliente y/o derivada de la prestación del
servicio por parte de EDP y relativas a productos y servicios relacionados con el
suministro y consumo de energía, mantenimiento de instalaciones y equipamientos.
Dichos tratamientos serán realizados dando estricto cumplimiento a la legislación
vigente y en la medida que sean necesarios para la ejecución del contrato y/o la
satisfacción de los intereses legítimos de EDP, siempre que sobre estos últimos no
prevalezcan otros derechos del cliente.

Siempre que el cliente lo haya aceptado explícitamente, sus datos personales serán
tratados, incluso una vez finalizada la relación contractual y siempre que no se
produzca la oposición a dicho tratamiento, para:
(I)La promoción de servicios financieros, servicios de protección de pagos, automoción
o afines y electrónica, propios o de terceros, ofrecidos por EDP y/o la participación en
concursos promocionales, así como para la presentación de propuestas comerciales
vinculadas al sector energético tras la finalización del contrato, (II) La elaboración de
perfiles comerciales del Cliente mediante la agregación de las bases de datos de
terceros, con el fin de ofrecer al Cliente productos y servicios personalizados,
mejorando así la experiencia del cliente, (III) La adopción de decisiones
automatizadas, tales como permitir la contratación, o no, de determinados productos
y/o servicios basadas en el perfil del Cliente y particularmente, en datos tales como, el
histórico de impagos, el histórico de contrataciones, permanencia, ubicaciones, datos
de consumo, tipos de dispositivos conectados a la red energética, y datos semejantes
que permitan conocer con mayor detalle los riesgos asociados a la contratación. (IV)
Tomando como base los resultados obtenidos de la agregación de los datos indicados,
EDP podrá realizar ofertas personalizadas, y concretamente orientadas a lograr la
contratación de determinados productos y/o servicios de EDP o de terceras entidades
en función de si el cliente así lo ha consentido o no, siendo en todo caso tratados
datos cuya antigüedad no superará un año. En caso de que dicho proceso se llevara a
cabo de forma automatizada, el cliente siempre tendrá derecho a obtener intervención
humana por parte de EDP, admitiéndose la impugnación y en su caso valoración de la
decisión resultante.

Categorías de datos tratados
En virtud de la relación contractual, EDP podrá tratar los siguientes tipos de datos
personales: (I) Datos identificativos (nombre, apellidos, DNI, dirección postal, dirección
de correo electrónico, punto de suministro, etc.), (II) Códigos o claves de identificación
de usuario y/o Cliente, (III) Datos de características personales (fecha de nacimiento,
sexo, nacionalidad, etc.), (IV) Datos de circunstancias sociales (aficiones, estilo de
vida, estado civil, etc.), (V) Datos de consumo energético y hábitos de vida derivados
de éstos, (VI) Datos económicos, financieros, de solvencia y/o de seguros.

14/141

Comunicaciones y destinatarios de los datos personales.

Todos los datos personales derivados de la prestación del servicio y los obtenidos en
virtud del presente contrato podrán ser comunicados a las siguientes entidades:

i) La empresa distribuidora correspondiente, produciéndose con la misma un in-
tercambio de información permanente para la adecuada prestación del servicio,
entre ellos la solicitud de acceso a su red, las lecturas (que en el caso de con-
tador telegestionado serán horaria) y/o estimación de consumo, control de cali-
dad del suministro, solicitud de cortes de suministro, modificaciones en la po-
tencia, etc.

ii) Los Organismos y Administraciones Públicas que por Ley corresponda.

iii) Los Bancos y entidades financieras para el cobro de los servicios prestados.

iv) Otras empresas del grupo empresarial, únicamente para fines administrativos
internos y la gestión de los productos y servicios contratados.

v) Servicios de solvencia patrimonial y crédito de ámbito nacional (Asnef-Equifax,
…) a los que en caso de impago, sin causa justificada por parte del Cliente, se
podrá comunicar la deuda, así como servicios de prevención contra el fraude,
con el único fin de identificar información errónea o fraudulenta facilitada duran-
te el proceso de contratación.

vi) Proveedores de EDP necesarios para el adecuado cumplimiento de las obliga-
ciones contractuales, incluso aquellos que pueden estar ubicados fuera del Es-
pacio Económico Europeo encontrándose en tal caso debidamente adecuada
la transferencia internacional de datos.

Derechos del titular de los datos

El cliente contará en todo momento con la posibilidad de ejercitar de forma libre
y completamente gratuita los siguientes derechos:

i) Acceder a sus datos personales que sean tratados por parte de
EDP.

ii) Rectificar sus datos personales que son tratados por parte de
EDP que resulten inexactos o incompletos.

iii) Suprimir sus datos personales que son tratados por EDP

iv) Limitar el tratamiento por parte de EDP de todos o parte de sus
datos personales.

v) Oponerse a determinados tratamientos y adopción de decisiones
automatizadas de sus datos personales, requiriendo la intervención hu-
mana en el proceso, así como a impugnar las decisiones que sean final-
mente adoptadas en virtud del tratamiento de sus datos.

vi) Portar sus datos personales en un formato interoperable y auto-
suficiente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/141

vii) Retirar en cualquier momento, los consentimientos otorgados
previamente.

De conformidad con la normativa vigente, el usuario puede ejercer sus
derechos solicitándolo por escrito, y junto a una copia de documento fe-
haciente de acreditación de la identidad, en la siguiente dirección pos-
tal: Plaza del Fresno, 2, 33007 Oviedo o en el correo electrónico cclo-
pd@edpenergía.es

Igualmente, podrá ponerse en contacto con el delegado de protección
de datos de EDP en la siguiente dirección postal Plaza del Fresno, 2,
33007 Oviedo o en el correo electrónico dpd,es@edpenergía.es, en el
caso de que entienda vulnerado alguno de sus derechos relacionados
con la protección de datos, o en su caso, interponer una reclamación
ante la Agencia Española de Protección de Datos, en la dirección Calle
de Jorge Juan, 6, 28001. Madrid “

La evidencia 7 hace referencia a un proceso de venta con verificación exprés online.

SCRIP VERIFICADOR-AGENTE
Parte 1 (Llamada del agente al número ***TELÉFONO.1 o ***TELÉFONO.2)
VERIF-Verificaciones EDP, buenos días. ¿Me indicas tu número de teléfono para
realizar la verificación?
AGE- Buenos días, mi teléfono es XXXXX.
VERIF-Procedo a emitir la llamada saliente.
Parte 2 (Llamada saliente del verificador al teléfono del agente)
VERIF: Buenos días, ¿me indicas DNI?. XXXXX ¿Me indicas tu nombre y apellidos y
empresa colaboradora? Si la herramienta nos devuelve los datos del colaborador (y el
mismo está activo) comprobaremos si coinciden, en caso afirmativo continuamos, en
caso de que no coincidan le volvemos a solicitar el dato/s que no coincida para
reconfirmar la discrepancia, si continua le indicaremos: «No podemos realizar la
verificación, los datos que nos facilitas son incongruentes»). En caso de que la
herramienta no nos devuelva nada, le solicitaremos nuevamente el DNI y si continua
sin aparecer le indicamos: «No podemos realizar la verificación, tu empresa no te ha
acreditado».
VERIF- ¿Me indicas nombre, apellidos y DNI del firmante? XXXXX ¿Cuántos contratos
ha firmado? XXXX (máximo 6 contratos por llamada) realizados en el Stand de EDP
en el CC XX/en la tienda del colaborador XX
VERIF-¿El firmante es el titular del/los contratos?. En caso de ser titular solicitar
teléfono de contacto y provincia. Si firma como representante, solicitar nombre,
apellidos y DNI de/los titulares (máximo 3) y teléfono de contacto y provincia principal
de cada titular.
VERIF-¿Me puedes indicar el teléfono del firmante para realizar la verificación?
XXXXX
VERIF-Procedo a emitir la llamada para iniciar la verificación.
Parte 3 (Llamada saliente del verificador al teléfono de verificación)
VERIF al CLIENTE- Buenos días, soy XXXX de la empresa ***EMPRESA.1
colaboradora de EDP. Por motivos de seguridad le comunico que esta llamada está
siendo grabada ¿me confirma que es NOMBRE FIRMANTE con DNI XXXX y que
acaba de firmar XX contratos en el stand de EDP/tienda del colaborador (en caso de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/141

firmar como representante indicar “en representación de nombre-apellidos TITULAR
con DNI) Si/No. ¿Qué relación-parentesco tiene con el titular? (está pregunta no se
realiza cuando el titular es una empresa).
-Inquilino, tengo la casa alquilada. Solicitar que le pase al agente e
indicarle que no es posible que un inquilino firme como representante. Verificación KO.
-Familiar o apoderado: continuar la verificación.
Perfecto, pásame por favor con el agente para tomar unos datos y realizar la
verificación, gracias.

A. Canal Telefónico:

A.1 – CAC INBOUND
Grabación del texto legal donde el representante confirma los datos aportados del
representado.
A.2 – TELEMARKETING
Grabación del texto legal donde el representante confirma los datos aportados del
representado y soporte duradero vía sms/email donde el representante confirma de
nuevo dichos datos.
A.3 – LEADS
Grabación del texto legal donde el representante confirma los datos aportados del
representado y soporte duradero vía sms/email donde el representante confirma de
nuevo dichos datos.
Adicionalmente, en la prueba piloto de este canal, se envía al representado otro
sms/email informando de la acción del representante.

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores:

En el caso de oficinas comerciales propias de EDP, se solicita cumplimentado y
firmado por ambas partes interesadas (representante y titular) un documento de
autorización expresa en el que figuran los datos de ambas personas y copias de sus
NIF.

D. Fuerzas de Venta Externas:

En el caso de las fuerzas de venta externas (stands de ferias, centros comerciales y
visitas a domicilio, siempre que exista solicitud previa por parte del interesado), la
recopilación, se conserva el talonario de contratación donde el representante declara
disponer de facultades suficientes para suscribir el contrato en nombre del cliente a
quien se responsabiliza de informar de todas las condiciones de este.

Igualmente, se dispone y conserva la grabación de verificación donde se confirman
con el representante los datos del representado, así como la relación/ parentesco que
les une.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/141

2.3. Especificación del procedimiento seguido por EDP COMERCIALIZADORA, S.A.U.
para almacenar las evidencias que acreditan la capacidad de representación del
tercero en los procedimientos en que se efectúa este tipo de contratación, con
indicación del canal o canales para los que se usa cada uno.

A. Canal Telefónico:

A.1 – CAC INBOUND
La grabación se encuentra almacenada vinculada al sistema de gestión comercial de
Contactos donde se registra la solicitud.
A.2 – TELEMARKETING
La grabación y el soporte duradero se encuentran almacenados en el sistema de
gestión comercial de Canales.
A.3 – LEADS
La grabación y el soporte duradero se encuentran almacenados en el sistema de
gestión comercial de Canales.

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores

En el caso de las Oficinas Comerciales propias de EDP, el documento de autorización
se encuentra almacenado vinculada al sistema de gestión comercial de Contactos
donde se registra la solicitud.

D. Fuerzas de Venta Externas:

El talonario de contratación y la grabación de la llamada de verificación se encuentran
almacenado de forma digital en el sistema de gestión comercial de Canales.
Por su parte, la copia en papel se remite al proveedor encargado por EDP de la
custodia de dichos documentos.

2.4. Adjuntar modelos y/o ejemplos de evidencias tipo recopiladas en virtud del
procedimiento seguido en el apartado 2.3.

A. Canal Telefónico:

A.1 – CAC INBOUND
Se aporta ejemplo con las grabaciones (Evidencia 8) Se trata de un audio con la
grabación de una contratación de servicios en un caso concreto realizado mediante
representación. Su contenido es el mismo que en la evidencia 2.

A.2 – TELEMARKETING
Se aportan ejemplos de grabaciones y los soportes duraderos (Evidencias 9 y 10,
respectivamente) La evidencia 9 consiste en un audio con la grabación de la
contratación de servicios con el representante de un cliente. Reproduce el contenido
de la evidencia 3. La evidencia 10 es un documento con el siguiente texto:
“Confirmación de aceptación de comunicación por sms:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/141

El día 2019-04-26 15:50:06 se envió un SMS desde el número de teléfono
***TELÉFONO.3 con el texto:
Oferta EDP: ***OFERTA.1 Por favor, responde con un SI a este SMS para
aceptar y activar descuentos. Gracias. Detalles:
http://edpconfirma.es/OOUSEAVSXK al número de teléfono destinatario
***TELÉFONO.4.
Dicho mensaje fue respondido con el ID de notificación OOUSEAVSXK, el día
2019-04-26 15:50:46 y con el texto: Si el cual aceptamos como válido para la
tramitación del producto ofertado en el documento que se muestra a
continuación. Se indican a continuación datos personales del contratante y de
la oferta y la siguiente información: Sus datos personales serán tratados por
EDP Comercializadora SAU y EDP Energía SAU para la gestión de sus
contratos, prevención de fraude, realización de perfiles basados en información
del cliente y de EDP, así como la realización de comunicaciones
personalizadas sobre productos o servicios directamente relacionados con sus
contratos, pudiendo en cualquier momento oponerse a las mismas.
Le recordamos que podrá ejercitar en cualquier momento sus derechos de
acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de
cualquiera de las vías indicadas en las Condiciones Generales que puede
consultar en nuestra web www.edpenergia.es.”

A.3 – LEADS
Se aportan ejemplos con las grabaciones y los soportes duraderos (Evidencias 11, 12,
y 13, respectivamente)

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores:

En lo que se refiere a Oficinas Comerciales propias, se adjunta modelo de documento
de autorización cumplimentado por el representante a favor del representado
(Evidencia 14).

D. Fuerzas de Venta Externas:

Con respecto a las evidencias generadas por las fuerzas de venta externas, se adjunta
modelo de talonario de contratación donde se recoge la representación (Evidencia 15),
así como la grabación en la que se confirma la misma, así como la relación-parentesco
que les vincula (Evidencia 16).

TERCERO. - Información del número de contratos suscritos en 2018 y 2019 por
terceros en representación de los titulares de los servicios (personas físicas) con
distinción de: 3.1. En virtud de qué se apoya dicha representación (poder, grado de
parentesco, etc.) 3.2. Procedimiento o fórmula de acreditación de la representación
seguido. 3.3. Canal de contratación telefonía, internet, distribuidores propios o
subcontratas, fuerza de ventas con visitas a domicilio propia o subcontratada, etc.…)

En relación con la petición de información relativa al número de contratos suscritos en
los años 2018 y 2019 por terceros en representación de personas físicas, se pone en
conocimiento de la AEPD la siguiente información relativa a cada uno de los canales:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/141

A. Canal Telefónico: 11656

A.1 – CAC INBOUND
Año Canal Representación Nº Contratos
2018 CAC Parentesco 1.346
2018 CAC Sin parentesco 394
2019 CAC Parentesco 983
2019 CAC Sin parentesco 278

A.2 – TELEMARKETING
Año Canal Representación Nº Contratos
2018 TELEMARKETING Parentesco 2.865
2018 TELEMARKETING Sin parentesco 82
2019 TELEMARKETING Parentesco 1.201
2019 TELEMARKETING Sin parentesco 42

A.3 – LEADS
Año Canal Representación Nº Contratos
2018 LEADS Parentesco 5.518
2018 LEADS Sin parentesco 849
2019 LEADS Parentesco 6.127
2019 LEADS Sin parentesco 1.160

B. Web: No se contempla la contratación con representante.

C. Distribuidores (Oficinas comerciales propias):

Año Canal Representación Nº Contratos
2018 OOCC Parentesco 194
2018 OOCC Sin parentesco 67
2019 OOCC Parentesco 174
2019 OOCC Sin parentesco 78

D. Fuerzas de Venta Externas: (stands ferias, centros comerciales – visita a domicilio)

Año Canal Representación Nº Contratos
2018 FVE Parentesco 10.758
2018 FVE Sin parentesco 118
2019 FVE Parentesco 1.556
2019 FVE Sin parentesco 58

QUINTO: Por escrito de fecha 29 de mayo de 2020, enviado el 1 de junio de 2020, se
formula nuevo requerimiento de información a EPD COMERCIALIZADORA, S.A.U
solicitando la que a continuación se relaciona:
1. Copia del contenido incluido en el Registro de Actividades de Tratamiento (artículo
30 del RGPD) en lo relativo a las actividades de tratamiento de datos personales
realizadas en el contexto de la contratación de servicios con EDP
COMERCIALIZADORA, S.A.U.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/141

2. Copia del contenido incluido en el Análisis o Evaluación de Riesgos realizado por la
entidad en cumplimiento del artículo 32 del RGPD en lo relativo a los tratamientos de
datos personales realizados en el contexto de la contratación de servicios con EDP
COMERCIALIZADORA, S.A.U.
3. Entre la información facilitada con anterioridad por la entidad a la AEPD, registrada
con el número 001390/2020, se especifica de forma recurrente (ver evidencias 2, 3, 4,
6, 10, 12, 14, 15) que los datos personales serán tratados para el conjunto de
finalidades descritas, además de por EDP COMERCIALIZADORA, S.A.U., por otra
persona jurídica (EDP ENERGIA, S.A.U). Se solicita, al respecto, la siguiente
información:
3.1. Motivo que justifica que ambas entidades traten los datos personales recogidos.
3.2. Detalle de las circunstancias que condicionan, si las hubiera, que los tratamientos
realizados sobre unos datos personales concretos sean ejecutados por una u otra
entidad.
3.3. Detalle, en su caso, de los procedimientos y mecanismos utilizados para
garantizar la separación de los datos personales tratados por una y otra entidad de
forma que cada una sólo tenga posibilidad de tratar lo que le corresponda en función
de la finalidad legítima perseguida en cada momento.

SEXTO: Con fecha 17 de junio de 2020 tiene entrada en esta Agencia escrito de EDP
COMERCIALIZADORA, S.A.U. en el que se expone lo siguiente respecto de la última
cuestión planteada en el requerimiento de esta Agencia a que hace referencia el punto
anterior:

“TERCERO.- Entre la información facilitada con anterioridad por la entidad a la AEPD,
registrada con el número 001387/2020, se especifica de forma recurrente (ver
evidencias 2, 3, 4, 6, 10, 12, 14, 15) que los datos personales serán tratados para el
conjunto de finalidades descritas, además de por EDP COMERCIALIZADORA, S.A.U,
por otra persona jurídica (EDP ENERGIA, S.A.U.). Se solicita, al respecto, la siguiente
información:

3.1. Motivo que justifica que ambas entidades traten los datos personales recogidos.

3.2. Detalle de las circunstancias que condicionan, si las hubiera, que los tratamientos
realizados sobre unos datos personales concretos sean ejecutados por una u otra
entidad.

Al tratarse de dos cuestiones directamente relacionadas entre sí, se da respuesta
conjunta a las mismas.
En relación con las evidencias aportadas y que se corresponden con soportes que se
utilizan para llevar a cabo la contratación a través de los distintos canales se hace
referencia, tanto a EDP COMERCIALIZADORA, como a EDP ENERGÍA S.A.U. (EDP
ENERGÍA), debido a que la sociedad con la que se contraten los servicios será una u
otra dependiendo del producto y/o servicio solicitado, siendo altamente probable que
un mismo cliente al solicitar la contratación del suministro eléctrico y de gas, esté
contratando con ambas sociedades al mismo tiempo.
Por este motivo, se ha elaborado y estructurado el contrato “dual” de forma que un
cliente pueda obtener descuentos o ventajas adicionales por el hecho de contratar
ambas energías con dos sociedades del mismo Grupo empresarial, y a fin de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/141

mantener actualizados los descuentos en cada una de las energías e información
derivada, es necesario que ambas sociedades conozcan si la energía inicialmente
contratada con la otra sociedad del Grupo se mantiene activa para poder mantener y
gestionar correctamente los descuentos/ventajas aplicadas.
Por este motivo, y con el fin de dotar de la máxima transparencia posible a un proceso
realizado eminentemente por escrito, como es el de la contratación de los servicios
energéticos, es por el que en la cláusula relativa a protección de datos se informa que
los datos personales facilitados durante el proceso de contratación serán tratados por
ambas entidades, siempre respetando las funciones de cada una de acuerdo con el
contrato suscrito en cada caso y particularmente el tipo de servicios energéticos que
finalmente sean contratados.

Por otro lado, y con independencia de lo expuesto, ponemos en conocimiento de esa
Agencia que la existencia de dos compañías dentro del Grupo con el rol de entidades
comercializadoras se debe a una cuestión meramente formal, consecuencia de la
estructura societaria y composición accionarial de las compañías adquiridas por el
Grupo EDP en el momento de su establecimiento en España, pero que no se
corresponde con el funcionamiento operativo de dichas comercializadoras, dado que
solo una de ellas, EDP COMERCIALIZADORA, cuenta en la actualidad con
empleados y capacidad de gestión y operativa. De este modo, en la práctica, todos los
tratamientos son realizados por dicha entidad, bien en calidad de responsable del
tratamiento o como encargada del tratamiento de EDP ENERGÍA.

Adicionalmente, indicar que el Grupo EDP tenía prevista la reorganización societaria
de EDP COMERCIALIZADORA y EDP ENERGÍA y la adaptación de su estructura
societaria con la de su funcionamiento real y su operativa de negocio. Dicha
reorganización se ha visto en la actualidad afectada por un proceso de venta a TOTAL
en el que ambas sociedades están inmersas, y que de materializarse, podría alterar o
ultimar dicha integración.

3.3. Detalle, en su caso, de los procedimientos y mecanismos utilizados para
garantizar la separación de los datos personales tratados por una y otra entidad de
forma que cada una sólo tenga posibilidad de tratar lo que le corresponda en función
de la finalidad legítima perseguida en cada momento.

Como ya se ha expuesto, todos los usuarios con acceso al sistema son empleados de
EDP COMERCIALIZADORA.

De esta forma, los agentes de EDP acceden a los datos personales de los clientes de
dicha entidad en calidad de responsables del tratamiento o bien, tienen acceso a los
datos personales de los clientes de EDP ENERGÍA, en calidad de Encargado de
Tratamiento, en cumplimiento de la prestación de servicios de gestión de clientes de
EDP ENERGÍA que EDP COMERCIALIZADORA le tiene encomendado, siendo
gestionados en calidad de los dos diferentes roles que ocupan en virtud de la
regulación contractual que ponemos a disposición de esta Agencia.”

Junto a dicha respuesta se aporta extracto del Registro de Actividades de Tratamiento
que incluye los registros relativos a las actividades que se realizan en el ámbito de la
contratación de productos y/o servicios y el análisis de riesgos realizado relativo a los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/141

tratamientos que se realizan en el contexto de la contratación de productos y/o
servicios.

El análisis de riesgos se contiene en un documento de Excel, no contiene fecha ni
firma. Se enumeran 15 factores de riesgo; 1. Información comercialmente sensible, 2.
Comunicaciones Comerciales, 3. Origen Datos (fuente externa o interna), 4. Cesiones
de Datos. 5, Encargados Tratamiento. 6. Transferencias internacionales. 7. Actividades
de scoring/ Profiling. 8.Decisiones automatizadas. 9. Monitorización sistemática de
titulares. 10. Categorías especiales de datos. 11. Tratamientos de datos a gran escala.
12. Interconexiones de datos/ Big Data. 13. Datos Menores/ Titulares vulnerables. 14.
Aplicación o uso de tecnologías innovadoras.15. Tratamiento inevitable/ Restricción
ejercicio derechos o acceso servicio. En cuanto a la valoración potencial del riesgo
inherente, la escala de riesgo tiene 4 niveles: bajo, con una valoración de 0 a 12;
medio valoración de 13 a 25; alto de 26 a 38 y muy alto de 39 a 51. La valoración o
peso que se da a cada uno de los factores de riesgo es de 1 a 4. En el análisis de
riesgos se marca para cada uno de los canales de venta un sí o un no en cada uno los
15 factores de riesgo antes enumerados. La suma del peso atribuido a de cada uno de
los factores para cada canal determina el riesgo inherente. El resultado del riesgo
inherente es medio en todos los canales de contratación, excepto en los canales web y
fuerzas externas a través de visitas a domicilio en los que el resultado del riesgo
inherente es bajo. No se indican medidas de corrección de riesgo.

SÉPTIMO: Se obtiene información sobre el volumen de ventas de la entidad siendo
los resultados de la cifra de negocio durante el año 2019 de 989.491.000 euros. El
capital conforme a la información obtenida del Registro Mercantil es de 1.487.895
euros.

Se obtiene información del número de clientes de la entidad. Según el informe de
supervisión de los cambios de comercializador, correspondiente al primer trimestre de
2019, de la Comisión Nacional de los Mercados y la Competencia, el número de
puntos de suministro de la entidad a 31 de marzo de 2019, correspondientes al ámbito
doméstico, ascendía a 893.736, constituyendo un 11,4% del total del sector gasista en
dicho ámbito doméstico.

OCTAVO: Con fecha 16 de julio de 2020 tiene entrada en esta Agencia escrito de EDP
COMERCIALIZADORA, S.A.U exponiendo que “ En el marco del procedimiento arriba
referenciado se requirió a EDP por parte de la AEPD para aclarar, entre otros
extremos, determinada información relativa a los procedimientos de contratación
implantados en EDP realizados con intervención de un tercero autorizado por el titular,
así como atender la sugerencia realizada en procedimientos previos comunicados por
parte de la AEPD en los que se sugería la realización de modificaciones en el modo en
que se realizan este tipo de contrataciones.

2. Que, por todo lo anterior, EDP ha revisado el procedimiento a seguir en las
contrataciones por terceros en nombre del titular, a fin de fortalecer dicho
procedimiento y reducir los riesgos de posibles suplantaciones de identidad realizadas
de mala fe por la parte contratante en este tipo de procesos, teniendo en cuenta,
adicionalmente, las necesidades particulares identificadas con motivo del estado de
alarma decretado el pasado mes de marzo y que necesariamente ha requerido que
todas las contrataciones sean realizadas de forma no presencial.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/141

3. Que a fin de poner en el conocimiento de la AEPD las concretas acciones que se
están llevando a cabo en relación con este asunto por parte de EDP, en cumplimiento
de su deber de cumplimiento proactivo (accountability), les adjuntamos el
“Procedimiento de contratación por terceros en nombre del titular”, para que tengan
visibilidad sobre las modificaciones que se están implementando en dichos procesos
con el fin de atender su petición al respecto, así como para poner de manifiesto la
proactividad de EDP en cuanto a su sugerencia de adaptación de dicho
procedimiento.”

A continuación, se detallan en tres apartados los siguientes aspectos: finalidad,
procedimiento de contratación con terceros y datos e intereses de los afectados.

En el primer apartado, denominado finalidad tras exponer la situación, enuncia la
siguiente propuesta: “Un procedimiento de contratación que, mediante un uso correcto
y seguro de la tecnología, facilite la contratación de los servicios de EDP por los
clientes a través de un tercero que actúa bajo un mandato en los términos del Título IX
del Libro Cuarto del Código Civil, protegiendo en todo caso los derechos del cliente y
mandatario sobre sus datos personales, que únicamente serán tratados conforme a
una base de legitimación adecuada y en cumplimiento de los principios del RGPD,
asegurando que son informados sobre el tratamiento y que pueden ejercitar sus
derechos en todo momento, así como actuar en caso de identificar alguna actuación
irregular.”

En el segundo apartado relativo al procedimiento de contratación con terceros,
distingue el procedimiento seguido con mandatario con autorización escrita del
seguido con mandatario con autorización verbal. En el primer supuesto se señalan los
siguientes pasos: se informa al mandatario, se recogen los datos y la autorización y se
contrata en nombre del cliente. En el caso del mandatario con autorización verbal los
pasos a seguir son los siguientes: por parte de EDP se procede a la información al
mandatario y recogida de los datos, a la contratación por el mandatario en nombre y
representación del cliente, envío al cliente de información sobre la contratación y
posibilidad del cliente de desautorizar la contratación.

En lo que respecta a la información al mandatario y recogida de los datos consiste,
según se expone, en lo siguiente:
- Se ofrecen y explican los servicios
- Se informa sobre la necesidad de recabar ciertos datos para la contratación, así
como del uso que se hará de los mismos y del lugar donde se podrá obtener más
información al respecto.
- Se solicitan los datos del mandatario y del cliente
- El mandatario facilita a EDP los datos propios y los del cliente y confirma que está
facultado para negociar y firmar el contrato en nombre y representación del cliente
- En el contrato se incluye toda la información exigida por la normativa aplicable y en
relación con el tratamiento de datos personales derivados de la contratación.

En lo que se refiere a la contratación por el mandatario en nombre del cliente
diferencia la contratación en oficinas comerciales propias y fuera del establecimiento
mercantil, en que la información se recoge en el contrato y se entrega en soporte
duradero o digital al mandatario y la contratación a distancia (por teléfono)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/141

distinguiendo entre llamadas entrantes al CAC de EDP, en las que se graba la
conversación o llamadas salientes (telemarketing, emisión de llamadas por
proveedores de EDP) en que se graba la conversación, y se envía el contrato en
soporte duradero al mandatario.(Se aclara que las conversaciones se graban tras
haber informado previamente al usuario de que la conversación va a ser grabada.
Se señala lo siguiente respecto del paso relativo al envío al cliente de información
sobre la contratación.
-Una vez formalizado el contrato por el mandatario, cuando no se disponga de
autorización escrita, se envía al cliente, por correo electrónico o SMS, en función del
canal de comunicación de que se disponga en cada caso, una comunicación en la que
se incluye: o Confirmación de la contratación realizada a través de su mandatario,
incluyendo los datos del mandatario o Enlace a URL de acceso al contrato suscrito por
el mandatario en su nombre (con garantías de integridad del contenido y acreditación
de la fecha exacta de realización) donde puede ejercitar su derecho de desautorizar de
la contratación de forma sencilla e intuitiva (con un solo click) Visualizar, imprimir, o
descargar el contrato y documento de desistimiento
El contrato recoge toda la información sobre el tratamiento de los datos del cliente por
parte de EDP, además del detalle de los servicios contratados.
Aclara que el procedimiento de contratación basado en doble factor de autenticación
ha sido diseñado tomando en consideración el procedimiento aprobado por parte de la
Comisión Nacional de Mercados y Competencia para la realización de portabilidades y
contrataciones en el sector de las telecomunicaciones, sector muy semejante en lo
que a procedimiento de contratación se refiere.

La comunicación se realiza a través de un tercero de confianza que acredita el envío
del SMS/mail de la siguiente forma:

-Mensaje SMS:
EDP XXXXXXXX. NOMBRE REP APELLIDOS REP ha contratado energía/servicios en
su nombre. Antes de 14 días puede desautorizarlo. Detalles:
https://edpcontrato.es/VER/JAOCOARGPG

-Mensaje E-MAIL:
ASUNTO: Contratación de NOMBRE TIT APELLIDOS TIT con EDP
Hola, le informamos que NOMBRE REP APELLIDOS REP ha realizado en su nombre
la contratación XXXXXXXX relacionada con su suministro de energía/servicios. Tiene
14 días para desautorizar dicha gestión.

Consulte detalles en: https://edpcontrato.es/VER/JAOCOARGPG

El paso relativo a la “Posibilidad para el cliente de rechazar la contratación” consiste
en lo siguiente:
Se envía al cliente un enlace, a través del cual, accede a un portal desde el que se le
permite:
- Visualizar contrato con la posibilidad de descargarlo o imprimirlo o
- Desautorizar la contratación mediante un solo click. Se genera una evidencia que
garantiza la trazabilidad de la acción (momento exacto de la realización, así como
integridad de las evidencias asociadas) o
- Descargar el documento de desistimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/141

En lo que respecta al tercer apartado, datos e intereses afectados se indica lo
siguiente:
Se ha determinado que para lograr la finalidad del tratamiento, es indispensable el
tratamiento de las siguientes categorías de datos personales:
-Con autorización escrita
Datos del cliente: Identificativos (incluye copia del DNI), Contacto, Servicios
contratados, Datos bancarios, Datos del punto de suministro
Datos del mandatario: Identificativos (incluye copia del DNI), Parentesco con el titular
(si/no), Contacto
- Con autorización verbal:
Datos del cliente: Identificativos, Contacto, Servicios contratados, Datos bancarios,
Datos del punto de suministro.
Datos del mandatario: Identificativos, Parentesco con el titular (si/no), Contacto.

NOVENO: Se accede al sitio de internet indicado en las evidencias 3 y 4
(www.edpenergia.es) al objeto de descargar las Condiciones Generales de
Contratación.

El procedimiento seguido para descargar el documento que recoge las Condiciones
Generales de Contratación, como consta en la diligencia del inspector actuante, ha
sido el siguiente:

-Acceso mediante el navegador de internet a la dirección
https://www.edpenergia.es/es/

- Introducción en el buscador de la propia página del texto: “Condiciones Generales”

-El sitio de internet muestra, bajo la siguiente dirección:
https://www.edpenergia.es/es/buscadorGeneral.do?tiposBusqueda=C%7CM
%7CD&idMenuSegmento=18&textoBusqueda=Condiciones+Generales, 2 pestañas
una denominada información relacionada y otra Documentos.

-Se selecciona la pestaña “Documentos” de los Resultados de la búsqueda. Ésta
ofrece un total de 78 resultados, correspondiendo el tercero de ellos a las
“Condiciones generales de contratación”.

-Se seleccionan las “Condiciones generales de contratación” y automáticamente se
abre una nueva ventana del navegador apuntando a la siguiente dirección de internet:
https://www.edpenergia.es/resources/doc/comercial/2019/09/10/condicionesgenerales-
de-contratacion.pdf

-Descarga del documento

El contenido de las condiciones generales en el apartado “LOPD” coincide con el
transcrito como evidencia 6, con el mismo título LOPD dentro de las condiciones
generales, en el número cuarto del presente Acuerdo de Inicio de procedimiento
sancionador.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/141

DÉCIMO: Con fecha 31 de julio de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la entidad EDP
COMERCIALIZADORA, S.A.U, de conformidad con lo previsto en el artículo 58.2 del
Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016,
relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de
Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de
Protección de Datos, en lo sucesivo RGPD), por la presunta infracción del artículo 25
del RGPD, tipificada en el artículo 83.4.a) del citado Reglamento; por la presunta
infracción del artículo 6 del RGPD tipificada en el artículo 83.5.a) del citado
Reglamento; por la presunta infracción del artículo 22 del RGPD, tipificada en el
artículo 83.5.b) del citado Reglamento; y por la presunta infracción del artículo 13 del
RGPD, tipificada en el artículo 83.5.b) del citado Reglamento, determinando que la
sanción que pudiera corresponder ascendería a un total de de 3. 500.000,00 euros, sin
perjuicio de lo que resulte de la instrucción.

DECIMOPRIMERO: Notificado el citado acuerdo de inicio, la entidad investigada
presentó el 4 de agosto de 2020 escrito en el que, solicitaba ampliación de plazo al
objeto de presentar alegaciones. Concedida la ampliación del plazo, se presentaron
alegaciones en fecha 24/08/2020 que son principalmente las siguientes:

PRIMERA: PRESUNTO INCUMPLIMIENTO DEL PRINCIPIO DE PRIVACIDAD POR
DISEÑO EN LOS PROCESOS DE CONTRATACIÓN MEDIANTE REPRESENTANTE.

La AEPD pretende justificar el inicio de este expediente sancionador en la supuesta
inexistencia de una documentación que nunca se ha solicitado. A este respecto, ha de
destacarse que EDP COMERCIALIZADORA cuenta con una metodología de
identificación, análisis y gestión de riesgos, tanto para identificar los riesgos
inherentes, como específicamente para valorar la necesidad de la realización de las
Evaluaciones de Impacto, Alega que incluye como anexo la documentación
justificativa que acredita, sobradamente, que EDP COMERCIALIZADORA cumple
íntegra y plenamente con estas obligaciones y que se concreta en lo siguiente: -
“Metodología de Análisis de Riesgos y realización de Evaluaciones de Impacto” -
“Registro de actividades del Tratamiento y evaluación de riesgos de los tratamientos
relacionados con contratación de EDP COMERCIALIZADORA” - “Evaluación de
Impacto de Privacidad: Canal de Leads a Convertir por Telemarketing” - “Evaluación
de Impacto de Privacidad: Telemarketing a clientes para upselling o recuperación de
abandonos” - “Evaluación de Impacto de Privacidad: Canal CAC a Clientes O Clientes
Potenciales (Inbound)” - “Evaluación de Impacto de Privacidad: Canal OOCC a
clientes o clientes potenciales (Venta reactiva)” - “Evaluación de Impacto de
Privacidad: Canal Tiendas ajenas para venta a clientes potenciales (Venta reactiva)” -
“Evaluación de Impacto de Privacidad: Fuerzas de ventas externas a través de stands
en ferias y centros comerciales (venta reactiva)” - “Evaluación de Impacto de
Privacidad: Actividad de tratamiento: Realización de Scoring de Clientes B2C previo a
la contratación”.
Igualmente y como consecuencia de las medidas adoptadas como resultado de las
recomendaciones derivadas de los análisis de riesgos y evaluaciones de impacto
realizadas por EPD comercializadora, se han desarrollado por el DPD un gran número
de procedimientos para el cumplimiento de las obligaciones de protección de datos
desde el diseño y por defecto que se aportan como anexo 2: Concretamente se
incluyen en este Anexo 2 los siguientes procedimientos relacionados con la Privacidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/141

desde el Diseño y por Defecto, que forman parte del Sistema de Gobierno, Riesgos y
Cumplimiento normativo de protección de datos de EDP COMERCIALIZADORA: •
Metodología de Protección de Datos desde el Diseño y por Defecto de EDP •
Instrucción operativa Privacy By Design y Privacy by Default del área comercial •
Formulario de caracterización y registro de actividades de tratamiento para el análisis
de Privacy by Design y Privacy by Default • Flujograma del proceso Privacy By Design
y Privacy by Default.

Resulta realmente llamativo que la AEPD otorgue la relevancia que otorga al hecho
concreto de que EDP COMERCIALIZADORA no hubiera tenido en consideración en
sus análisis de riesgos, el análisis específico de los riesgos asociados a la posibilidad
de contratación mediante representante, cuando la misma AEPD, en su propia “Guía
Práctica de Análisis de Riesgos en los tratamientos de datos sujetos al RGPD”
(publicada en su web (https://www.aepd.es/sites/default/files/2019-09/guiaanalisis-de-
riesgos-rgpd.pdf) no recoge ninguna referencia, ni directa, ni indirecta a la necesidad
de evaluar el riesgo específico en relación al tratamiento de datos, ya sea en
contrataciones o en otros procesos, realizados por parte de terceros autorizados.

En segundo lugar, alega que todos los tratamientos de datos realizados por parte de
EDP COMERCIALIZADORA fueron analizados para verificar su grado de cumplimiento
de las obligaciones relacionadas con RGPD, proponiéndose medidas para su correcta
adaptación, con independencia de que fuese necesaria la realización de evaluaciones
de impacto o no. Ahondando en el riesgo específico relativo a la contratación realizada
mediante terceros, ha de indicarse que el contenido de los análisis realizados fue
actualizado en su momento, teniendo en cuenta las consideraciones que la AEPD ha
trasladado a EDP COMERCIALIZADORA en el procedimiento administrativo
relacionado con esta cuestión que se inició a finales del año 2019 y que, entendemos,
es la causa del procedimiento sancionador en el que nos encontramos en estos
momentos. Efectivamente, como ya se ha tenido oportunidad de exponer en el marco
de dicho procedimiento sancionador previamente iniciado por la AEPD, los procesos
de contratación mediante terceros autorizados no habían sido identificados por parte
de EDP COMERCIALIZADORA como un factor de riesgo inherente que fuera
relevante, teniendo en cuenta que: 1) La práctica inexistencia de reclamaciones por
parte de clientes en relación con este motivo. 2) EDP COMERCIALIZADORA no
contaba hasta el momento con ningún expediente sancionador abierto por esta causa.
3) La contratación realizada mediante tercero como mandatario verbal se encuentra
expresamente reconocido en el Código Civil de 1889.

Si bien los potenciales riesgos identificados por la AEPD son perfectamente posibles,
la probabilidad de materialización de dichos riesgos, en el caso concreto de EDP
COMERCIALIZADORA, era prácticamente nula y que por tanto su diligencia, en lo que
respecta a la realización del análisis de riesgos, ha quedado sobradamente acreditada.
Concretamente, este hecho se sustenta en el bajísimo número de reclamaciones por
este motivo que ha recibido EDP COMERCIALIZADORA. En efecto, existe una (1)
única reclamación respecto a un total de 33.848 contrataciones realizadas, tal y como
consta en la información aportada en el propio expediente, lo que entendemos, que
como seguramente estará de acuerdo la AEPD con EDP COMERCIALIZADORA, en
términos probabilísticos, podría ser considerado un valor que, de forma objetiva, no
requiera una valoración independiente y pormenorizada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/141

Afirma que la posibilidad de celebrar un contrato entre dos partes mediante la
intermediación de un tercero es una cuestión exclusiva de Derecho Civil, por lo que la
necesidad, o no, de formalismos asociados a la acreditación de la representación ha
de regirse por lo dispuesto en el Código Civil y en su caso, en lo dispuesto en la
normativa de protección de consumidores. A este respecto, la exigencia por parte de la
AEPD de que la representación aludida por el representante conste en un medio que
permita su acreditación podría ser considerada lógica en una interpretación aislada de
la normativa de protección de datos, pero pierde sentido cuando se pone en contexto
con el resto del ordenamiento jurídico, más en concreto, con lo dispuesto en el Código
Civil, que contempla, entre otras, la posibilidad de contratación por representante
recogida en el artículo 1259, o la figura del «mandato», regulada en los artículos 1709
a 1739 del mismo y que establecen que: «por el contrato de mandato se obliga a una
persona a prestar algún servicio o hacer alguna cosa por cuenta o encargo de otra» y
para el que se permite total libertad de forma, estableciendo que «el mandato puede
ser expreso o tácito» y que, asimismo, «la aceptación puede ser también expresa o
tácita, deducida esta última de los actos del mandatario». En este supuesto, no parece
que tan amplia libertad de forma sea compatible con la obtención de una evidencia de
la existencia de la representación o el mandato, más allá de las manifestaciones del
mandatario, amparada en la buena fe contractual. Igualmente, resulta poco
comprensible que se requiera de un consentimiento separado para el tratamiento de
sus datos o una confirmación del encargo por parte del mandante, dado que esto
implicaría desnaturalizar la representación, por cuanto sería absurdo que quien es
designado para la celebración de un contrato en favor de un tercero no pueda facilitar
los datos de la persona por cuya cuenta actúa, o que sea necesaria la confirmación
separada de ésta para autorizar dicha comunicación, puesto que la necesidad de
dirigirse directamente al representado haría inútil la intervención del representante,
pues la misma carecería de sentido.

Asimismo, y en relación con la posibilidad de que el representado pueda prestar
consentimientos adicionales a la propia contratación, ha de señalarse que esta
posibilidad puede perfectamente haber sido autorizada por el representado de forma
específica, pero al regir la misma libertad de forma para el otorgamiento de esta
potestad (que la norma no obliga en ningún caso a disponer por escrito), tampoco es
exigible su acreditación fehaciente en el momento de la contratación. Sobre este
particular, ha de señalarse que no se han producido hasta la fecha supuestos en los
que se hayan comunicado por los representados ningún tipo de incidencias
relacionadas con el otorgamiento de dichos consentimientos.

En lo que se refiere a otros riesgos identificados por la AEPD, ha de indicarse que el
riesgo de suplantación de identidad es muy bajo, ya que el representante se identifica
personalmente por medios fehacientes cuando la contratación es presencial y
aportando los datos de su DNI cuando lo hace a distancia. No obstante, como bien
conoce la AEPD la teoría de riesgos, no sostiene que la existencia de un riesgo bajo
pueda ser considerado un riesgo inexistente. En este sentido, los riesgos de que exista
una suplantación de identidad no difieren de los que se corresponden con las
contrataciones en nombre propio, ya que se realizan las mismas comprobaciones para
evitar ésta, en base a los riesgos y amenazas detectados en relación con cada forma
de contratación. Por todo ello, no puede darse por cierto que este riesgo no haya sido
tenido en consideración por EDP COMERCIALIZADORA, ni que no se hayan
adoptado medidas destinadas a su mitigación, tal y como se expondrá a continuación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/141

en la explicación relativa al procedimiento de contratación. Por otro lado, en lo que se
refiere a los potenciales perjuicios económicos, si bien esta es una cuestión más
vinculada de nuevo al ámbito civil de la contratación que a la protección de datos
personales, ha de indicarse que en los casos en que se produce la anulación de los
contratos por cualquier causa, EDP COMERCIALIZADORA asume los costes de los
servicios prestados, por lo que no se produciría un perjuicio económico para el
afectado, prueba de ello es que EDP COMERCIALIZADORA no ha recibido hasta el
momento ninguna reclamación por los supuestos daños y perjuicios esgrimidos por la
AEPD

En cuanto a la forma en que se realiza la contratación, tal como se expuso ya y consta
tanto en la información puesta a disposición de esa Agencia como en los Antecedentes
de Hecho del Acuerdo de Inicio, la contratación de los servicios va precedida de una
serie de garantías que permiten identificar al autor de las contrataciones, siguiendo las
prácticas habituales en todo el sector de contratación de servicios de suministro y por
compañías de lo denominado como “Utilities”, tanto presencialmente como a distancia,
quedando esta información registrada, de forma que, en caso de producirse cualquier
incidencia se tenga constancia de quien es la persona que ha realizado la
contratación. En contra de la intrascendencia que la AEPD pretende otorgar a la
declaración del representante, perfectamente identificado, sobre su condición de
representante de la persona en cuyo nombre contrata, ha de señalarse que esta
manifestación tiene consecuencias jurídicas vinculantes, que como ya se ha expuesto,
son objeto de regulación y se encuentran expresamente reconocidas por nuestro
Ordenamiento Jurídico, y que implican responsabilidades, tanto desde el punto de
vista civil, como penal, por lo que no se trata de una “mera manifestación”, como la
llega a denominar la AEPD en los Fundamentos de Derecho de su escrito de inicio de
procedimiento sancionador, sino que se trata de un acto jurídico, como lo puede ser el
propio consentimiento del titular, definido por el propio RGPD como una “manifestación
de voluntad”. Por consiguiente, no parece que jurídicamente pueda defenderse una
discriminación de la relevancia de unas manifestaciones frente a otras, por el hecho de
que estén recogidas o no dentro de una normativa específica, o manifestadas de una
forma, u otra. Igualmente, como se recoge en los Antecedentes de Hecho, aunque
posteriormente parece obviarse en los Fundamentos de Derecho, en todos los casos
en que la contratación se realiza a distancia se indica que: “Al titular del contrato, a
efectos informativos, se le remite por duplicado, con sobre franqueado, la
documentación contractual en cumplimiento de lo dispuesto en la normativa de
protección de consumidores y usuarios”. Es por ello que, en cualquier caso, el titular
tiene posibilidad de conocer los términos en los que se ha llevado a cabo la
contratación.

No obstante todo lo anterior, a raíz de los procedimientos sancionadores abiertos en
el año 2019, y siguiendo los criterios trasladados por la AEPD en la resolución del
PS/0025/2019 (no firme a día de la presentación de este escrito, por estar recurrida)
se ha procedido por parte de EDP COMERCIALIZADORA a identificar el riesgo
relacionado con la intervención de terceros en la contratación, haciéndose el
correspondiente análisis pormenorizado de esta cuestión y se han elaborado
propuestas de mejora, a fin de dar cumplimiento a las consideraciones de la AEPD de
modo que en los procedimientos de contratación se informa siempre a la persona en
cuyo nombre se contrata. El protocolo de contratación propuesto ha sido puesto en
conocimiento de la AEPD en fecha 16 de julio de 2020 y número de registro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/141

025308/2020, presentado en todo caso antes de recibir el escrito de Acuerdo de Inicio
de Procedimiento Sancionador, siendo un Requerimiento de información con número
común para EPD ENERGÍA y EDP COMERCIALIZADORA sin que hasta la fecha la
AEPD se haya pronunciado respecto al mismo con el correspondiente informe jurídico
de valoración, tal y como se le solicitaba, para poder implementar un sistema que
fuera totalmente conforme con los criterios e interpretaciones de la AEPD, limitándose
hasta el momento a incluir en el Acuerdo de Inicio remitido a EDP
COMERCIALIZADORA determinadas consideraciones en relación con el mismo.
Concretamente, las dudas planteadas en relación con el procedimiento propuesto, que
entendemos son las únicas que tiene la AEPD, son las siguientes: 1) no se aclara si se
aplica a todos los canales de contratación, incluido el subcanal Leads al que no se
hace ninguna referencia; 2) no se contemplan situaciones en que no pueda informarse
al representado por los medios señalados (correo electrónico o SMS); 3) no se informa
al cliente de los consentimientos prestados por el representante para otros
tratamientos con finalidades distintas a la contratación del servicio solicitados durante
el proceso de contratación, ni de la posibilidad de revocar tales consentimientos. 4) no
se señalan fechas efectivas de implantación de este procedimiento.
De nuevo, incomprensiblemente, en lugar de solicitar información adicional a EDP
COMERCIALIZADORA en relación con el procedimiento planteado, la AEPD opta por
interpretar negativamente la información cuyo contenido no le resulta claro. No
obstante, y como entendemos que la voluntad de la AEPD, como la de EDP
COMERCIALIZADORA, es lograr un procedimiento que permita no solo dar
cumplimiento a las distintas modalidades de contratación previstas en el Código Civil,
reconocidas por las autoridades de consumo y los tribunales competentes en materia
contractual, sino también a las consideraciones de la AEPD, a continuación,
procedemos a aclarar las que entendemos serían las únicas dudas de la AEPD en
relación con las modificaciones al procedimiento de contratación remitidas: 1) El
procedimiento propuesto se aplicará a todos los canales de contratación con los que
trabaja EDP COMERCIALIZADORA, incluido los “Leads” y cualquier otro que en el
futuro implemente EDP COMERCIALIZADORA. 2) En cuanto a la duda planteada en
torno a lo que ocurriría en el caso de que la persona contratante no disponga de
ninguno de los medios previstos para llevar a cabo la confirmación de la contratación
(correo electrónico o SMS), indicar que las alternativas serán: a. Hacerlo el propio
titular b. Presentando autorización escrita y copia de los DNI de representante y
representado 3) En lo referente a los consentimientos otorgados y la posibilidad de
revocarlos, conviene indicar que con la comunicación se da acceso a la
documentación contractual, donde constan cada uno de los consentimientos. El
usuario, una vez conocida esta información, tiene la posibilidad de modificarlos. No
obstante, a raíz del comentario de la AEPD en el que pone en cuestión la validez de la
autorización del representante para la autorización de consentimientos adicionales a la
contratación, EDP COMERCIALIZADORA plantea permitir la representación solo para
este fin y recabará los consentimientos adicionales directamente del titular. 4) En
cuanto a la fecha de implantación, la misma depende precisamente de la opinión que
sobre este procedimiento manifieste la AEPD, puesto que no tendría sentido ponerlo
en marcha si la autoridad de control considera que no se ajusta a sus criterios para
considerarlo un procedimiento adecuado, teniendo en cuenta los costes económicos
asociados a esta implementación, además de los recursos de tiempo y dedicación
necesarios para el despliegue de estas medidas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/141

Se alega que el supuesto incumplimiento de las obligaciones del artículo 25 RGPD, y
la consecuente cuantificación de posible sanción a imponer a mi representada
derivada de dicho supuesto incumplimiento, carecen de toda base para su
consideración. Además, y, en todo caso, la cuantificación de dicha posible sanción
carece de cualquier atisbo de ser proporcionada.

SEGUNDA. - PRESUNTO INCUMPLIMIENTO EN RELACIÓN CON EL
CONSENTIMIENTO PRESTADO POR PARTE DEL INTERESADO.

Alega que está interesada en hacer constar que el tratamiento relativo a la creación de
un perfil comercial en base a la información de terceros para la remisión de
información publicitaria no está, en la práctica, siendo efectuado, ni a la fecha de
emisión de las presentes alegaciones, ni con carácter previo a las mismas. Por lo
tanto, el tratamiento que potencialmente podría haber sido realizado, no ha tenido
lugar en ningún caso, en ningún momento, por lo que, aun pudiendo ser cuestionado
desde la óptica de las restantes exigencias del RGPD, no es posible atribuir a EDP
COMERCIALIZADORA la realización de una conducta antijurídica que pueda ser
sancionable derivada de la mera obtención de los consentimientos relativos a un
tratamiento de datos que, a la fecha, ha sido inexistente y que por tanto, no ha
generado los supuestos daños a los derechos fundamentales de los ciudadanos
esgrimidos por esta Agencia. La comisión de la infracción de referencia, regulada en el
artículo 83.5 (a) RGPD y en el 72.1.b) de la LOPDGDD, requiere, necesariamente, que
efectivamente se haya ocasionado un tratamiento y que sobre el mismo no se haya
identificado o no se haya regularizado la base de legitimación adecuada, al señalar: “1.
En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes: (…) b. El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento
(UE) 2016/679”.

En relación al consentimiento informado, en el Acuerdo de Inicio de Procedimiento
Sancionador para considerar que el consentimiento requerido no es válido, se parte de
la consideración de que la información proporcionada al interesado no resulta
suficiente, en tanto que no se indican, ni qué bases de terceros se van a consultar, ni
qué tipo de datos ser van a recabar, de modo que el interesado desconoce
absolutamente qué es lo que está consintiendo. Y se aprecia que se recaba un único
consentimiento para dos finalidades diferenciadas. A este respecto se alega que la
información es facilitada en atención a las buenas prácticas enunciadas por la propia
AEPD y ratificadas por la LOPDGDD, de modo que se traslada a los interesados
mediante el sistema de doble capa, a los efectos de que el interesado pueda reforzar
la información facilitada mediante la consulta que consta en la misma, a través de los
distintos mecanismos que se le conceden a tal fin (locución informativa, reverso del
documento físico o sitio web de EDP COMERCIALIZADORA.

En relación con la ausencia de identificación clara de las fuentes de terceros o las
categorías de datos, ha de señalarse que dicha información puede desprenderse de la
información facilitada al cliente en la primera capa (al identificar con claridad que el
tratamiento será efectuado con fuentes de terceros) como en la segunda capa, cuyo
contenido consta en el apartado denominado “condiciones generales del contrato”,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/141

cuyo contenido señala: “(II) La elaboración de perfiles comerciales del Cliente
mediante la agregación de las bases de datos de EDP con datos provenientes de
bases de datos de terceros, con el fin de ofrecer al Cliente productos y servicios
personalizados, mejorando así la experiencia del Cliente. (III)La adopción de
decisiones automatizadas, tales como permitir la contratación, o no, de determinados
productos y/o servicios basadas en el perfil del Cliente y particularmente, en datos
tales como, el histórico de impagos, el histórico de contrataciones, permanencia,
ubicaciones, datos de consumo, tipos de dispositivos conectados a la red energética, y
datos semejantes que permitan conocer con mayor detalle los riesgos asociados a la
contratación. (iv) Tomando como base los resultados obtenidos de la agregación de los
datos indicados, EDP podrá realizar ofertas personalizadas y concretamente
orientadas a lograr la contratación de determinados productos y/o servicios de EDP.”
Tal y como se refleja en el texto citado, EDP COMERCIALIZADORA ha identificado
con amplio detalle las tipologías de datos que se tratan con los fines detallados, siendo
las fuentes consultadas para ello una evidente derivación de lo anterior.

La indicación efectuada sobre la obtención de fuentes de terceros es, por tanto,
contenido suficiente para que el usuario sea plenamente consciente de que su
autorización supondrá la posibilidad de que la entidad autorizada pueda obtener dicha
información. Ha de recordarse que no existe exigencia legal que imponga que, en el
momento de recabar los datos del propio interesado, la información cuestionada deba
ser contemplada directamente en el consentimiento solicitado. Es decir, siendo el
origen de los datos el propio interesado, únicamente corresponde a la Entidad informar
de acuerdo con lo previsto en el artículo 13 RGPD, disposición que no establece, en
ninguno de sus preceptos, la obligatoriedad de identificar ni la fuente ni la tipología de
los datos. Únicamente en el caso de que dicho tratamiento se hubiera llegado a
efectuar, la Entidad debía haber informado de tales extremos, toda vez que solo en
dicho momento sería de aplicación lo dispuesto en el artículo 14 RGPD. Habida cuenta
de la no materialización de dicho enriquecimiento, esta información no llegó a ser
trasladada al interesado, no constando en bases de datos de EDP
COMERCIALIZADORA datos ajenos a los que han sido proporcionados o generados
con ocasión de la relación contractual mantenida entre las partes. Además, ha de
señalarse que, en el caso de haberse producido la obtención de datos procedente de
un tercero, sería aquél quien, en su calidad de cedente del dato, vendría obligado a
legitimar la comunicación de los datos sobre la base del consentimiento del interesado,
sin perjuicio que EDP COMERCIALIZADORA también lo haría, en cumplimiento de su
obligación de información una vez obtenidos datos provenientes de un tercero de
conformidad con lo dispuesto en el RGPD. En este sentido, dicha situación solo podría
darse, en caso de que el propio interesado, ejercitando su derecho de disposición de
los datos y con plena consciencia del mismo, hubiera manifestado su autorización para
que sus datos personales viajaran a otra compañía, como sería EDP
COMERCIALIZADORA, quien solo podría hacer uso de los mismos, en el supuesto de
que igualmente hubiera manifestado su consentimiento, mediante la marcación de la
casilla o la indicación expresa, indicando que “Sí” en caso de efectuarse
telefónicamente.

Por otro lado, en relación con la supuesta acumulación de finalidades de tratamiento,
al señalarse que el interesado autorizaría el envío de publicidad y, en segundo lugar, el
uso para que EDP COMERCIALIZADORA pueda valorar la viabilidad de la
contratación por parte de dicho usuario. En relación con este punto, debemos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/141

manifestar que la valoración efectuada por la AEPD parte de una premisa errónea, al
considerar que se tratan de dos tratamientos diferenciados, en un supuesto en el que
es patente que se trata de un único propósito, como sería la generación de un perfil
comercial, cuya utilización se ciñe a dos contextos vinculados entre sí: (i) el primero,
para llevar a cabo la valoración de la posibilidad de contratar y, (ii) el segundo, para
emitir las correspondientes ofertas comerciales al usuario en cuestión. De esta forma,
ambos supuestos se encuentran necesariamente interrelacionados, pues no cabe
duda de que carecería de sentido diseñar un perfil del cliente, basado en los datos
facilitados por el usuario y los derivados del servicio prestado, para la remisión de una
oferta comercial que fuera remitida a un interesado que no cumpliera los parámetros
internos de la Entidad para llevar a cabo una contratación al momento de su solicitud.
En relación con dicho aspecto, bien es sabido por esta compañía que el RGPD exige
que los consentimientos que se recaben sean específicos, así como también es
criterio unánime de las autoridades de control señalar que la agrupación de finalidades
afines entre sí, como sucedería en este supuesto, tiene plena cabida en dicho
concepto, sin que tal agrupación dé lugar a la consideración, per se, de que no ha sido
recabado el consentimiento de forma específica. En este ámbito, el planteamiento
sobre el que la AEPD sostiene el incumplimiento que se atribuye a EDP
COMERCIALIZADORA, obvia la regulación establecida por la LOPGDD, en cuyo
artículo 6.2 expone que: “2. Cuando se pretenda fundar el tratamiento de los datos en
el consentimiento del afectado para una pluralidad de finalidades será preciso que
conste de manera específica e inequívoca que dicho consentimiento se otorga para
todas ellas.” A la luz de lo anterior, existe una evidente regulación específica que
habilita la agrupación de finalidades que ahora está cuestionando la AEPD

Como cuestión adicional, se indica por esta Agencia que el consentimiento recabado
no es conforme a la normativa, al considerar que el mismo no es explícito, sino
obtenido de idéntica forma que un consentimiento general, si bien no quedan
identificadas con claridad las razones por las cuales no cumpliría con el criterio
emitido. A estos efectos, la inclusión del consentimiento analizado se realiza en un
contexto separado a la aceptación de la contratación en sí misma, de modo que o bien
se recoge en una casilla en aquellos contextos en los que existe soporte documental
para ello, o bien en una locución informativa que es leída y que debe ser
expresamente ratificada por el interesado para entender que ha sido prestado Al
respecto, en ausencia de claridad en la normativa sobre las vías que permitirán
determinar que un consentimiento merece la consideración de explícito (entendido
como un consentimiento reforzado al ya exigido por el RGPD), en la ya citada
Guideline 5/2020 se mencionan diversos matices que ayudan en dicha aclaración. De
ella se extrae que, adicionalmente al cumplimiento de los requisitos definidos en el
artículo 7 RGPD, la validez de un consentimiento explícito no requiere la atención de
requisitos exactos, pudiendo ser válidos tanto en documentos escritos, como en
grabaciones telefónicas. En este punto, interesa hacer hincapié en una cuestión
esencial: si bien no existe ni precepto legal ni dictamen procedente de las autoridades
de control que determinen con claridad los requisitos para considerar que el
consentimiento recabado es explícito, ni las diferencias que corresponden con el
consentimiento “regular”, sí que es atribuido a EDP COMERCIALIZADORA, y a
cualesquiera otras entidades que actúen como responsables del tratamiento, la labor
de definir a su libre criterio en qué situaciones se entenderá cumplido tal requisito.
Dicha casuística no puede sino ocasionar una grave inseguridad jurídica, que en el
supuesto que nos ocupa no resulta solventada, ni si quiera con la fundamentación que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/141

consta en el escrito de Acuerdo de Inicio del procedimiento sancionador, ya que en
ningún momento se expone con claridad qué factor, elemento o acción no ha sido
ejecutado por EDP COMERCIALIZADORA, para determinar que su conducta ha
resultado antijurídica y que merece una sanción de semejante magnitud. Conforme a
ello, la solicitud al cliente de una acción evidente, como es la indicación verbal de que
sí consiente o la marcación de una casilla, cuyo contenido expone con claridad los
fines para los que se emplearán los datos, que consta desvinculada de cualquier otra
aceptación y que no queda supeditada a otros fines, debe considerarse como un
consentimiento explícito a fin de dar cumplimiento a la obligación impuesta por la
normativa de protección de datos. A la vista de los extremos mencionados, EDP
COMERCIALIZADORA da cumplimiento a la totalidad de los requerimientos
legalmente exigidos, de lo que necesariamente ha de concluirse que la labor de la
Entidad para recabar los consentimientos del cliente, de modo explícito, han sido
atendidos con rigurosidad. Es prueba de ello que, tanto en los canales telefónicos,
como aquellos en los que se llevan a cabo por escrito, la obtención del consentimiento
se efectúa de forma diferenciada a la propia contratación, se hace constar que es
adicional a la misma y se entiende recabado, únicamente, en los casos en los que el
cliente marca la casilla o expone con claridad que sí consiente. De todo ello no cabe
más que concluir que el proceso de recogida del consentimiento ha sido efectuado a la
luz de los criterios requeridos por la normativa aplicable, siendo por tanto ajustado a
Derecho.

Así las cosas, el proceso de obtención de consentimientos que EDP
COMERCIALIZADORA viene utilizando no es algo novedoso para la AEPD, quien ha
tenido oportunidad de analizar el mismo previamente al inicio de este expediente
sancionador, en aquellos expedientes (requerimientos de información y/o
procedimientos sancionadores) abiertos con motivo de alguna reclamación de algún
usuario. En el marco de estos, la AEPD tuvo pleno conocimiento del proceso de
contratación y de la tipología de consentimientos que se recababan de los interesados,
al haber sido aportados los contratos por EDP COMERCIALIZADORA como evidencia
de cumplimiento. Huelga decir que el resultado final de ambas resultó ser el del
archivo de las mismas (véase las reclamaciones con referencia E/00915/2019, que ni
siquiera fue admitido a trámite, y el expediente E/02714/2019), sin que se efectuaran
apreciaciones adicionales sobre el cumplimiento de la normativa, lo que no deja más
que ahondar en el desconcierto que tiene esta parte ante las gravísimas acusaciones
vertidas sobre EDP COMERCIALIZADORA por esta Agencia.

Adicionalmente, y sin perjuicio de las argumentaciones expuestas, llama la atención la
presunción efectuada en el Acuerdo de Inicio de Procedimiento Sancionador, en el que
la valoración relativa a las infracciones es efectuada tomando como premisa una doble
atribución: (i) la primera, derivada de la ausencia de información adecuada y, (ii) la
segunda, como consecuencia de la ejecución de un tratamiento no consentido. A estos
efectos, ha de señalarse que, aun si se considerara que la información proporcionada
al interesado es deficiente, este hecho no puede acarrear la determinación de una
infracción del artículo 6 RGPD, toda vez que el tratamiento que sería realizado toma
como punto de partida la base legitimadora adecuada. Así las cosas, la definición
efectuada por EDP COMERCIALIZADORA relativa a la base legal que le permitiría
tratar los datos con los fines que ya han sido mencionados, se ceñiría estrictamente a
la legitimación que corresponde. Es decir, por parte de EDP COMERCIALIZADORA se
llevan a cabo las acciones necesarias para recabar el correspondiente consentimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/141

del interesado, otorgándole la posibilidad de concederlo o no, de forma voluntaria,
mediante la marcación de la casilla facilitada o la indicación expresa en los casos de
que estos se recaben por medio de llamada telefónica. Por todo ello, no puede
apreciarse una conducta que pueda ser jurídicamente reprochable a EDP
COMERCIALIZADORA, habida cuenta que ha suscrito con rigurosidad los términos
exigidos por la norma, al proceder a solicitar al interesado una acción de voluntad
expresa, libre, inequívoca y no condicionada a otro fin. Y por ello no cabe imputar a mi
representada la comisión de infracción alguna de las tipificadas en el artículo 83.5.a)
RGPD, en relación con su artículo 6.

TERCERA. - PRESUNTO INCUMPLIMIENTO EN RELACIÓN CON EL
TRATAMIENTO DE DATOS RELATIVO A DECISIONES AUTOMATIZADAS Y
ELABORACIÓN DE PERFILES DE CLIENTES.

En tercer lugar, el Acuerdo de Inicio de Procedimiento Sancionador, establece en su
Fundamento de Derecho IV una serie de supuestos incumplimientos vinculados a la
aparente falta de observancia por parte de EDP COMERCIALIZADORA de las
obligaciones derivadas de lo establecido en el artículo 22 del RGPD, relativo a la
consideración por parte de la AEPD de la existencia de un impedimento, la
obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en
los artículos 15 a 22 del Reglamento (UE) 2016/679 en relación a la decisiones
automatizadas y la elaboración de perfiles de clientes, tipificado en el artículo 83.5.b)
RGPD y, calificada como incumplimiento muy grave a efectos de prescripción en el
artículo 72.1.k) de la LOPDGDD. Concretamente, la AEPD sostiene que: 1) EDP
COMERCIALIZADORA no otorga la posibilidad a los usuarios de ejercitar su derecho
relativo a no ser objeto de decisiones automatizadas, así como no otorga al usuario la
debida información relativa a este derecho, 2) El usuario desconoce la posibilidad de
negarse a la adopción de este tipo de decisiones. De esta forma, la sanción propuesta
por la AEPD parte del hecho de que la información que es facilitada por parte de EDP
COMERCIALIZADORA a los titulares de los datos es insuficiente e imprecisa, sin
perjuicio que se reconoce por parte de la AEPD que EDP COMERCIALIZADORA
facilita y pone a disposición de los usuarios los documentos con información relativa al
cumplimiento de la normativa de protección de datos, tanto en el momento de la
contratación, como en soporte duradero al finalizar la contratación.

En primer lugar, respecto a la información facilitada por parte de EDP
COMERCIALIZADORA en relación con la base legitimadora (el consentimiento en el
caso que nos ocupa) debemos destacar que la información que es facilitada a los
usuarios respecto a los tratamientos que, siendo adicionales a la contratación en sí
misma, requieren del consentimiento del usuario, es debidamente facilitada a los
usuarios. Concretamente, en la llamada Evidencia 6 presentada por EDP
COMERCIALIZADORA durante la sustanciación del expediente informativo del que el
presente expediente sancionador trae causa, se plasma dentro del modelo de contrato
de suministro las siguientes casillas: “Puede leer la información relativa al tratamiento
de sus datos personales en el reverso. ☐ Consiento el tratamiento de mis datos
personales una vez finalizada la relación contractual, para la realización de
comunicaciones comerciales adaptadas a mi perfil de productos y servicios relativos al
suministro y consumo de energía. Asimismo, consiento los mencionados tratamientos
durante la vigencia y tras la finalización del contrato, sobre productos y servicios no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/141

energéticos, tanto de las empresas del Grupo EDP como de terceros. ☐ Consiento el
tratamiento de mis datos personales para la elaboración de mi perfil comercial con
información proveniente de bases de datos de terceros, para la adopción, por parte de
EDP, de decisiones automatizadas con la finalidad de enviar propuestas comerciales
personalizadas, así como para permitir, o no, la contratación de determinados
servicios” En este caso, y ampliando información respecto al tratamiento de los datos
de los usuarios en las condiciones generales, encontramos la siguiente información;
“Siempre que el cliente lo haya aceptado explícitamente, sus datos personales serán
tratados, incluso una vez finalizada la relación contractual y siempre que no se
produzca la oposición a dicho tratamiento, para: (I)La promoción de servicios
financieros, servicios de protección de pagos, automoción o afines y electrónica,
propios o de terceros, ofrecidos por EDP y/o la participación en concursos
promocionales, así como para la presentación de propuestas comerciales vinculadas
al sector energético tras la finalización del contrato, (II) La elaboración de perfiles
comerciales del Cliente mediante la agregación de las bases de datos de terceros, con
el fin de ofrecer al Cliente productos y servicios personalizados, mejorando así la
experiencia del cliente, (III) La adopción de decisiones automatizadas, tales como
permitir la contratación, o no, de determinados productos y/o servicios basadas en el
perfil del Cliente y particularmente, en datos tales como, el histórico de impagos, el
histórico de contrataciones, permanencia, ubicaciones, datos de consumo, tipos de
dispositivos conectados a la red energética, y datos semejantes que permitan conocer
con mayor detalle los riesgos asociados a la contratación. (IV) Tomando como base los
resultados obtenidos de la agregación de los datos indicados, EDP podrá realizar
ofertas personalizadas, y concretamente orientadas a lograr la contratación de
productos y/o servicios de EDP o de terceras entidades en función de si el cliente así
lo ha consentido o no, siendo en todo caso tratados datos cuya antigüedad no
superará un año. En caso de que dicho proceso se llevara a cabo de forma
automatizada, el cliente siempre tendrá derecho a obtener intervención humana por
parte de EDP, admitiéndose la impugnación y en su caso valoración de la decisión
resultante.

De dichos fragmentos, no puede sino concluirse que (i) tanto para la elaboración de
perfiles, como para el tratamiento de datos adoptando decisiones automatizadas EDP
COMERCIALIZADORA solicita el consentimiento explícito y específico del usuario, sin
que pueda interpretarse que la adopción de decisiones automatizadas sea tratada bajo
otra base legitimadora, así como que (ii) la información relativa a la elaboración de
perfiles y decisiones automatizadas, cumple con lo requerido por el artículo 13 del
RGPD, ya que informa sobre la existencia de decisiones automatizas, incluida la
elaboración de perfiles y facilita información significativa sobre la lógica aplicada, así
como la importancia y las consecuencias previstas de dicho tratamiento para el
interesado. Por todo ello y atendiendo al primer aspecto planteado por parte de la
AEPD relativo al supuesto incumplimiento cometido por EDP COMERCIALIZADORA
en relación con la información proporcionada a los usuarios para la obtención del
consentimiento específico, no cabe interpretación alguna relativa a la falta de
información y tratamiento confuso por parte de EDP COMERCIALIZADORA, que
incluye la información correspondiente a los tratamientos concretos, facilitando toda la
información exigida en el RGPD.

En segundo lugar, en relación con la información facilitada a los titulares de los datos
respecto al ejercicio de derechos, es preciso destacar que EDP
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/141

COMERCIALIZADORA informa expresamente a los usuarios en la información que les
facilita de su derecho específico a “oponerse” a “la adopción de decisiones
automatizadas de sus datos personales, requiriendo la intervención humana en el
proceso, así como a impugnar las decisiones que sean finalmente adoptadas en virtud
del tratamiento de sus datos” En este sentido, la AEPD considera que EDP
COMERCIALIZADORA incumple su obligación de informar a los titulares de los datos
por el mero hecho de que en la información facilitada no aparezca, de forma expresa y
literal el derecho a “revocar el consentimiento”, apareciendo en su lugar el verbo que
otorga el derecho de los titulares de los datos a “oponerse” a “la adopción de
decisiones automatizadas de sus datos personales, requiriendo la intervención
humana en el proceso, así como a impugnar las decisiones que sean finalmente
adoptadas en virtud del tratamiento de sus datos”. Estamos seguros que el matiz
semántico y técnico asociado a ambos verbos “oposición” y “revocación”, tanto los
expertos con los que cuenta la AEPD, como los propios con los que cuenta EDP
COMERCIALIZADORA son capaces de diferenciarlos entre sí, y determinar que se
trata de dos conceptos jurídicos, pero también convendrá con nosotros esa Agencia,
que el usuario medio (concepto ampliamente utilizado por parte de esa Agencia a lo
largo del procedimiento que nos ocupa) difícilmente va a poder diferenciar dichos
conceptos. En el caso que nos ocupa, lo que es realmente importante es el efecto que
en la práctica tenga la petición del usuario, que, en definitiva, es el que es relevante
para el titular de los datos, y que genera efectos positivos o negativos a sus derechos
fundamentales, siendo esto lo que realmente protege el RGPD, y no la utilización de
un verbo u otro, más aún cuando los mismos pueden ser utilizados como sinónimos.

En este caso, lo único que se pretende utilizando en la información que se facilita a los
usuarios el término “oposición” respecto a las decisiones automatizadas, es poder
facilitar al usuario la comprensión clara, concisa y transparente de la información que
se pone a su disposición, y facilitando, en caso de que la solicitud de dicho interesado
se ajuste a los requisitos normativamente exigidos, el ejercicio de los distintos
derechos. Así, según la definición contenida en el Diccionario de la RAE, revocar
significa “dejar sin efecto”; y oponer, “poner algo contra otra cosa para impedir su
efecto”, por lo que salvo para aquellos que tengan conocimiento en la materia y
puedan apreciar el matiz que diferencia una y otra, lo cierto es que, a efectos de la
mayor parte de la población, ambos términos serían sinónimos y supondrían, en la
práctica, lo mismo.

Sin perjuicio de todo lo anteriormente expuesto, debemos poner de manifiesto, por la
relevancia que ello tiene en esta alegación, la información contenida en la Cláusula 16
de las Condiciones Generales de Contratación, relativa a protección de datos. En
dicha cláusula, en el apartado correspondiente a “Derechos del titular de los datos” se
hace referencia expresa a la posibilidad de revocar el consentimiento que previamente
hubieran otorgado, así, expresamente se indica “(VII) Retirar, en cualquier momento,
los consentimientos otorgados”.

Hace referencia a su procedimiento interno, y afirma que por tanto, no sólo los
usuarios quedan informados en todo momento, de la posibilidad de revocar los
consentimientos otorgados, sino que la propia EDP COMERCIALIZADORA, como
procedimiento interno y con el fin de que quienes se encargan de gestionar las
solicitudes tengan el conocimiento necesario en relación con las distintas
posibilidades, plasman con carácter expreso dicho derecho, con independencia del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/141

término técnico utilizado, ya que la finalidad principal es informar y que el usuario
conozca la posibilidad de no ser objeto de decisiones automatizadas. Así, el
procedimiento interno referenciado anteriormente recoge incluso modelos de
respuesta para poder atender con carácter general, las distintas peticiones. Todo ello,
sin perjuicio de que cada una de las solicitudes se trata de forma particular y conforme
a las circunstancias concretas de afecten al supuesto concreto, y sea necesaria la
adaptación de dicho modelo de respuesta dependiendo de la casuística concreta de
cada petición. Se aporta como Anexo 3 el procedimiento relativo a la gestión y
contestación de los ejercicios de derechos.

A la vista de lo anterior, la AEPD atiende a la falta de conocimiento del usuario medio,
como argumento para considerar las cláusulas informativas como poco transparentes,
aspecto que sin embargo considera sustancialmente esencial al relacionar únicamente
como ejercicio válido la oposición del interesado. Teniendo en cuenta que el derecho
relacionado con no ser objeto de decisiones automatizadas se encuentra recogido con
carácter independiente y expreso en las condiciones generales de contratación,
requiriendo en su caso el consentimiento explícito y específico del usuario, y
encontrándose el mismo debidamente informando de forma específica, tal y como
queda justificado en las evidencias aportadas, así como de la posibilidad de oponerse
a ser objeto de decisiones automatizadas, resulta cuanto menos sorprendente que la
AEPD considere que EDP COMERCIALIZADORA no cumple con el artículo 22 RGPD
por no ofrecer al cliente la posibilidad de “revocar el consentimiento” literalmente, es
decir, aspecto estrictamente formal y semántico, que un usuario medio sin
conocimientos en la materia no tiene capacidad de comprender la diferencia con la
palabra “oposición”, entendiendo esa Agencia que no es válido informar de la
posibilidad de “oponerse”, como un sinónimo, a dicho tratamiento, que es lo que
efectivamente realiza EDP COMERCIALIZADORA.

En línea con lo anterior, es preciso resaltar que EDP COMERCIALIZADORA, en
ningún caso ha denegado el ejercicio de derechos que no hayan sido
solicitados/redactados con carácter preciso, dirigiendo en caso de duda la solicitud al
usuario, para que la misma pueda ser resuelta de forma eficaz, satisfactoria y sin
dilaciones.

Igualmente, tal y como ya ha sido plasmado en puntos anteriores, en relación con las
decisiones automatizadas, se ofrece la posibilidad al cliente de obtener intervención
humana, admitiéndose impugnación y en su caso valoración de la decisión resultante,
motivo por el cual, además de informar sobre la posibilidad de no ser objeto de
decisiones automatizadas, se faculta al cliente como alternativa la intervención
humana. Por todo lo anterior, no cabe interpretar de forma razonable, que el titular de
los datos pueda, ni siquiera de forma remota, desconocer la posibilidad o derecho a
que sus datos no sean objeto de decisiones automatizadas, ni que EDP
COMERCIALIZADORA ponga limitaciones, o no ponga a disposición de dichos
interesados los mecanismos necesarios para poder realizar la solicitud, pudiendo en
cualquier momento “oponerse” a dicho tratamiento, o mejor dicho, “revocar” el
consentimiento prestado para la adopción de tales decisiones, así como de solicitar
intervención humana, que por otro lado, en el caso de EDP COMERCIALIZADORA
siempre se produce, porque aunque la consulta de la información esté automatizada,
la decisión ultima la adopta un empleado tras analizar el contenido de la misma. Se
aporta como Anexo 4, a modo ejemplo, ejercicios de derecho de oposición y de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/141

revocación de consentimiento que han sido tramitados durante el último año, a los
efectos que la AEPD pueda conocer, de primera mano, qué tipo de derechos son
ejercidos por los titulares, en qué modalidad son recibidos, así como específicamente
cómo son debidamente atendidos por parte de EDP COMERCIALIZADORA.

A mayor abundamiento y con el fin de atender el verdadero alcance de la supuesta
infracción, a pesar de que EDP COMERCIALIZADORA incluye la posibilidad de
realizar perfilados y adoptar decisiones automatizadas, el único perfilado realizado, es
el relativo a la calificación de los clientes en materia de prevención del fraude,
tratamiento para el que existe habilitación legal y se encuentra basada en el interés
legítimo de EDP COMERCIALIZADORA, con la finalidad de salvaguardar el buen
devenir de las contrataciones efectuadas por EDP COMERCIALIZADORA, así como
evitar que clientes, cuya única finalidad es consumir el servicio energético sin pagar
las facturas, pasen a formar parte de la cartera de clientes. Sin perjuicio de lo anterior,
se informa a los titulares de los datos que dicho perfilado es revisado y tramitado
finalmente por personal de EDP COMERCIALIZADORA, motivo por el cual no puede
considerarse como una decisión automatizada en sí misma, atendiendo en este
sentido al tenor literal del concepto establecido por las autoridades. En otras palabras,
ni existe tratamiento de datos basado en decisiones automatizadas, ni hay
manifestación alguna sobre dichos tratamientos, puesto que fuera de los estrictamente
necesarios para continuar con el servicio y aquellos previstos legalmente, no son
llevados a cabo, motivo por el cual, no solo no puede considerarse que hay
incumplimiento del artículo 22 del RGPD, ya que se cumple con los requisitos
recogidos por la normativa, sino que no existen, ni pueden existir titulares de datos que
hayan podido verse afectados por dichos tratamientos, por lo que nos remitimos a la
amplia jurisprudencia anteriormente enunciada en este apartado por ser de plena
aplicación al caso que nos ocupa.

Esto es suficiente para que no exista base alguna a fin de imputar a mi representada
infracción alguna de las tipificadas en el artículo 83.5.b) RGPD en relación con su
citado artículo 22, no obstante, a efectos dialecticos y para el improbable caso de que
sí pudiera considerarse probada la comisión de dicha infracción manifestamos lo que
sigue en relación con el importe de la sanción prevista para dicha supuesta infracción
en el Acuerdo de Inicio del procedimiento sancionador.
Así en relación a la cuantificación de la sanción específica por el supuesto
incumplimiento del artículo 22 RGPD, tras valorar los aspectos expuestos en el
presente apartado, y atendiendo a los criterios evaluadores recogidos en el RGPD
empleados para graduar la supuesta infracción, ha de decirse en primer lugar, que en
su escrito la AEPD se limita a enunciar algunos agravantes que considera de
aplicación, sin desplegar la más mínima actividad de fundamentación de porqué, lo
que aparte de suponer una falta total de motivación, implica una dificultad añadida al
derecho de defensa de EDP COMERCIALIZADORA.

Sin perjuicio de lo anterior, se exponen a continuación los criterios por los que se
entiende que los agravantes considerados por la AEPD no concurrirían en este caso
concreto, más allá de que, cómo se ha justificado, no existe un incumplimiento de sus
obligaciones por parte de EDP COMERCIALIZADORA, en la medida en que no se
producen los requisitos del tipo normativo, en la medida en que EDP
COMERCIALIZADORA no realiza el tratamiento objeto de la sanción, siendo este un
requisito indispensable para que pueda tener cabida la aplicación de la sanción. Tras
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/141

valorar los aspectos expuestos en el presente apartado, y atendiendo a los criterios
evaluadores recogidos en el RGPD;
“La naturaleza, gravedad y duración de la infracción” teniendo en cuenta el mismo
criterio “la naturaleza, propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;” Tal y como se ha expuesto en el presente apartado, la información
facilitada a los usuarios no constituye infracción, puesto que no hay incumplimiento por
parte de EDP COMERCIALIZADORA, siendo incluso más determinante, que el
número de afectados de los tratamientos relativos al perfilado y a la adopción de
decisiones automatizadas, es nulo y por tanto los daños y perjuicios que hayan podido
causarse, son inexistentes. Igualmente, al no suponer una actuación ilícita, ni haberse
materializado tampoco es posible que la misma se haya dilatado en el tiempo, motivo
por el cual, y atendiendo a las concretas circunstancias, a la hora de calificar la
potencial multa administrativa a imponer supondría un criterio atenuante.
En cualquier caso, conviene recordar que para poder calificar como agravante los
daños y perjuicios causados a los afectados, además de materializarse, los mismos
deben de quedar acreditados y demostrados, aspecto que en ningún caso ha sido
probado, ni expuesto en el Acuerdo de Inicio de Procedimiento Sancionador.

“La intencionalidad o negligencia apreciada en la comisión de la infracción;” Tal y como
se desprende de las presentes alegaciones, ni EDP COMERCIALIZADORA ha tenido
intención alguna de infringir la normativa de protección de datos, ni de causar daño o
perjuicio a ningún usuario, ni ha habido negligencia alguna en su actuación. A mayor
abundamiento, no constan evidencias de que pueda existir una negligencia y mucho
menos una intencionalidad por parte de EDP COMERCIALIZADORA, motivo por el
cual, la potencial sanción aplicable debiera verse reducida.

“La alta vinculación de la actividad del infractor con la realización de tratamiento de
datos personales;” La actividad principal de EDP COMERCIALIZADORA no se basa
en el tratamiento de datos de carácter personal, sino en el suministro energético,
suponiendo la vinculación de la actividad con la realización del tratamiento en
cuestión, mínima. Motivo por el cual, dicho aspecto constaría como atenuante,
reduciendo la potencial sanción aplicable.
“El carácter continuado de la infracción;” “Elevado volumen de datos y tratamientos
que constituye el objeto del expediente;” y “Elevado número de interesados;” Al igual
que en otros criterios señalados de forma individualizada, estos tres criterios quedan
subsumidos con el planteado en primer lugar, y procedente del artículo 83.2 a) del
RGPD, por lo que su evaluación ha de efectuarse conjuntamente con el indicado y, por
tanto, no suponer un aspecto adicional al mencionado para el cálculo de la potencial
sanción aplicable.

En vistas de completar con los criterios evaluadores, conviene mencionar los
siguientes:
“c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;” Tal y como ha quedado
acreditado, los procedimientos internos bajo los que actúa EDP
COMERCIALIZADORA, tanto en relación con el ejercicio de derechos, el protocolo de
actuación relativo con la calificación del usuario con finalidades de prevención de
fraude, recogen las características fundamentales para atender a todo tipo de ejercicio
de derechos y a las características relativas al tasado tratamiento de calificación del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/141

usuario para la necesaria prevención contra el fraude. Por todo ello, teniendo en
cuenta que dichos procedimientos forman parte de las medidas y actitud proactiva de
EDP COMERCIALIZADORA, en ningún caso cabría interpretar la omisión de acciones,
ni pasividad de EDP COMERCIALIZADORA.

“e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;” Es preciso resaltar, que EDP COMERCIALIZADORA, ni ha sido
reclamado, ni ha sido sujeto sancionado por dichos preceptos en ningún momento, por
lo que ni existen procedimientos, ni sanciones anteriores, es más, como ya hemos
expuesto en puntos anteriores, EDP COMERCIALIZADORA ha ido implementando
nuevas medidas para paliar cualquier potencial situación comprometida, actuando
siempre con diligencia.

En este caso, no solo llama la atención la fundamentación plasmada en el Acuerdo de
Inicio para interpretar infracción del artículo 22 del RGPD -relativo a decisiones
individuales automatizadas, incluida la elaboración de perfiles-, sino que la cuantía
propuesta por la supuesta infracción, que asciende al 1.000.000 de euros, es el punto
que más ha sorprendido a esta parte. Todo ello debido a que:
1) EDP COMERCIALIZADORA no ha sido sancionado, no se ha visto involucrado en
procedimiento alguno por infracción del artículo 22 del RGPD ni ha recibido
reclamación alguna en relación con una supuesta infracción de este precepto,
2) en el histórico de procedimientos publicados por la propia AEPD, no existen
sanciones amparadas en el incumplimiento del citado precepto normativo.

Es decir, no sólo no existen antecedentes en los que haya sido parte EDP
COMERCIALIZADORA, sino que tampoco existen sanciones previas por parte de la
Autoridad de Control que se hayan basado en la infracción del artículo 22 del RGPD.
Por todo ello, el hecho de que la infracción sea considerada muy grave y la sanción
propuesta ascienda a dicha elevada cantidad, exige que sea fundamentada con
carácter exhaustivo, ya que la misma escapa de cualquier criterio seguido hasta ahora
por la AEPD.

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción; Desde el inicio del
expediente informativo del que trae causa este procedimiento EDP
COMERCIALIZADORA ha actuado de forma colaboradora y proactiva, aportando en
todo momento la información y documentación solicitada por la AEPD en tiempo y
forma. Motivo por el cual, dicho aspecto constaría como atenuante, reduciendo la
potencial sanción aplicable. Por último, y a modo de conclusiones, en el Acuerdo de
Inicio no queda ni debidamente fundamentada, ni motivada conforme lo establecido en
la normativa, la decisión de imponer una multa administrativa, y mucho menos, una
multa con la cuantía propuesta, así como tampoco considerar a EDP
COMERCIALIZADORA como sujeto infractor de las reclamaciones incluidas en el
Acuerdo, ya que como hemos indicado en este apartado, los argumentos plasmados
por la AEPD para sancionar bajo el precepto legal recogido en el artículo 22 del RGPD
y 72.1 k) de la LOPDGDD, no se dan.

En este sentido, además de informar conforme a la normativa aplicable, y de otorgar
igualmente a los usuarios la posibilidad de ejercitar sus derechos, EDP
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/141

COMERCIALIZADORA no lleva a cabo tratamientos basados en decisiones
automatizadas fuera de la estrictamente necesaria para llevar a cabo la prevención del
fraude. Motivo por el cual, ni la supuesta infracción se ha cometido, ni existen
argumentos suficientes para considerar infringidos los preceptos mencionados en el
presente apartado. Es más, a lo largo de este procedimiento no se ha evidenciado la
existencia de infracción por incumplimiento del artículo 22 RGPD, ni se ha
fundamentado de forma íntegra la gravedad, ni los criterios que permitan fijar tan
elevada cantidad de sanción al presente supuesto.

CUARTA.- PRESUNTO INCUMPLIMIENTO EN RELACIÓN CON EL DEBER DE
TRANSPARENCIA.

La AEPD, en su Acuerdo de Inicio de Procedimiento Sancionador, atribuye a EDP
COMERCIALIZADORA la infracción del Artículo 13 del RGPD, suponiendo un
incumplimiento de deber de información que le es propio como responsable del
tratamiento, tipificado en el artículo 83.5.b) y calificado como leve a efectos de
prescripción en el artículo 74.a) de la LOPDGDD. Concretamente considera la
existencia de dicha infracción debido a:
1) falta de información a los interesados de la posibilidad de acceder a información
exigible en el artículo 13 del RGPD.
2) la dirección web facilitada no conduce directamente a la información exigible
conforme al artículo 13 del RGPD, sin que se permita acceder de forma inmediata a la
información, ni el acceso resulte sencillo para cualquier persona. EDP
COMERCIALIZADORA no tiene otro remedio que manifestar, de nuevo, y como lo ha
hecho y demostrado en el resto de los supuestos incumplimientos alegados por esta
Agencia, que no puede compartir las apreciaciones realizadas por la AEPD, por lo que
a continuación se identificarán las razones por la que entiende que efectivamente,
EDP COMERCIALIZADORA cumple íntegramente con los requisitos exigidos por la
normativa de protección de datos en términos de transparencia en relación con la
información facilitada a los titulares de los datos personales en los procesos de
contratación.

Por lo que se refiere al canal CAC inbound, sobre el que se afirma que la información
facilitada es incompleta, ha de indicarse que al tratarse de llamadas entrantes existe al
iniciarse la llamada, antes de iniciarse la grabación – e independientemente de la
gestión que pretenda realizar quien llama al departamento de atención al cliente de la
entidad-, una locución telefónica donde se informa, entre otros aspectos, de los
derechos que asisten a los interesados, así como dónde encontrar información
adicional, de tal forma que los usuarios reciben esta información siempre que llaman,
lo que no solo supone que se les facilita esta información en la llamada en la que van
a realizar la contratación del suministro, sino también cuando ya son clientes y van a
realizar cualquier trámite (bien sea una consulta, solicitar un cambio de potencia,
realizar un pago, solicitar un fraccionamiento o presentar una reclamación).

En este sentido, ha de señalarse que el propio RGPD dispone expresamente en su
punto 13.4 que: “Las disposiciones de los apartados 1, 2 y 3 no serán aplicables
cuando y en la medida en que el interesado ya disponga de la información”. Por tanto,
los clientes reciben toda la información exigible en una primera capa de información

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/141

verbal, que pueden completar accediendo a la web de EDP COMERCIALIZADORA o
bien de forma directa en la propia llamada, en función de la gestión que se realice.

Así las cosas, esta información se facilita en capas, distinguiendo por un lado la capa
1. “Esta llamada puede ser grabada. Los datos que nos proporcione serán tratados por
EDP Energía, S.A.U. y/o EDP Comercializadora, S.A.U. para la gestión de su solicitud
o consulta. Puede ejercitar los derechos de acceso, rectificación, supresión, oposición,
limitación y portabilidad en cualquier momento. Consulte la Política de Privacidad en
nuestra web edpenergia.es o pulse 0”

Y por otro la capa 2, que recoge la información de forma más detallada, que se activa
de forma automática en caso de que el usuario marque 0, siguiendo las indicaciones
de la primera capa: “La utilización de este CANAL TELEFONICO no obliga al usuario a
facilitar ninguna información sobre sí mismo. Sin embargo, para utilizar ciertos
servicios o acceder a determinados contenidos, los usuarios deberán proporcionar
previamente algunos datos de carácter personal. En el caso de que el usuario facilite
información de carácter personal, le informamos de que los datos serán tratados por
EDP Energía, S.A.U. y EDP Comercializadora, S.A.U., con domicilio social en Oviedo,
Plaza del Fresno 2, 33007 y NIF A33543547 y A95000295 respectivamente, en
adelante “EDP”, como responsables del tratamiento, según lo establecido por el
Reglamento General de Protección de Datos ((UE) 2016/679), en adelante “RGPD”, y
su normativa de desarrollo.
En concreto, sus datos podrán ser tratados, cuando el usuario así lo solicite, para
gestionar la atención y seguimiento de las solicitudes y consultas dirigidas a través del
sitio web, así como para la realización de encuestas y la participación en sorteos,
juegos y promociones. Los datos solicitados serán de carácter obligatorio y limitados a
los necesarios para proceder a la prestación y/o gestión del servicio solicitado, lo que
le será convenientemente informado en el momento de la recogida de sus datos de
carácter personal. En caso de no facilitarlos o no facilitarlos correctamente, no se le
podrá prestar el servicio.
En estos supuestos, el usuario garantiza que los datos personales facilitados son
veraces y se hace responsable de comunicar cualquier modificación de los mismos.
En el caso de las gestiones tramitadas a través del CANAL TELEFONICO y el registro
en el mismo, los tratamientos de datos realizados se fundamentan en la relación
jurídica derivada de su solicitud.
El tratamiento de datos para la realización de encuestas se basa en el interés legítimo
de EDP a fin de mejorar la calidad de los servicios prestados a los clientes y/o
usuarios, pudiendo oponerse a dichos tratamientos en cualquier momento, sin que
esto afecte a la licitud de los tratamientos efectuados anteriormente.
En ningún caso podrán incluirse en los formularios contenidos en el CANAL
TELEFONICO datos de carácter personal correspondientes a terceras personas, salvo
que el solicitante hubiese recabado con carácter previo su consentimiento en los
términos exigidos por el artículo 7 del RGPD, respondiendo con carácter exclusivo del
incumplimiento de esta obligación y cualquier otra en materia de datos de carácter
personal.
Los datos personales de los usuarios registrados en el sitio web podrán ser cedidos a
las Administraciones Públicas que por ley corresponda, a otras empresas del grupo
empresarial para fines administrativos internos, y a los proveedores del responsable
del tratamiento necesarios para el adecuado cumplimiento de las obligaciones
contractuales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/141

Los datos personales serán conservados durante la vigencia de su contrato de
suministro con EDP, en el resto de casos, durante el tiempo necesario para contestar a
sus solicitudes o para analizar el contenido de sus respuestas a las encuestas. Una
vez finalizada la relación contractual, contestadas sus solicitudes o analizadas sus
respuestas, según corresponda en cada caso, sus datos personales serán borrados,
manteniéndose el resto de información anonimizada únicamente a efectos
estadísticos. Sin perjuicio de lo anterior, los datos podrán conservarse durante el plazo
establecido para cumplir con las obligaciones legales de mantenimiento de la
información y, como máximo, durante el plazo de prescripción de las acciones legales
correspondientes, debiendo mantenerse los datos bloqueados durante el mencionado
plazo de prescripción. Superado ese periodo, los datos serán suprimidos.
En aplicación de lo establecido en el artículo 32 del RGPD, EDP se compromete a
cumplir las obligaciones de seguridad de aquellos datos facilitados por los usuarios,
procurando establecer todos los medios técnicos a su alcance para evitar la pérdida,
mal uso, alteración, acceso no autorizado y robo de los datos que el usuario facilite a
través del mismo, habida cuenta del estado de la tecnología, la naturaleza de los datos
facilitados y los riesgos a los que puedan estar expuestos. Sin perjuicio de lo anterior,
el usuario debe ser consciente de que las medidas de seguridad en el CANAL
TELEFONICO no son inexpugnables.
EDP tratará los datos del usuario de forma confidencial, en todo momento, guardando
el preceptivo deber de secreto sobre los mismos, de conformidad con lo previsto en la
normativa de aplicación.
El usuario puede ejercitar sus derechos de acceso, rectificación, supresión, oposición,
limitación y portabilidad, así como el de revocación de los consentimientos otorgados
previamente, en los términos establecidos legalmente, comunicándolo por escrito a
EDP, a la siguiente dirección: Canal de Comunicación LOPD, Plaza del Fresno, nº2,
33007 Oviedo. Asimismo, puede ejercitar dichos derechos enviando un correo
electrónico con sus datos personales a [email protected]. En ambos casos se
deberá adjuntar una fotocopia del DNI del titular o documento que acredite su
identidad. Igualmente, podrá ponerse en contacto con el Delegado de Protección de
Datos de EDP, en la siguiente dirección postal: Plaza del Fresno, 2 33007 Oviedo o en
el correo electrónico [email protected], en el caso de que entienda vulnerado
alguno de sus derechos relacionados con la protección de datos, o en su caso,
interponer una reclamación ante la Agencia Española de Protección de Datos en la
dirección Calle de Jorge Juan, 6, 28001 Madrid"

A continuación, se indica por esa Agencia que “No se da cumplimiento a lo previsto en
el artículo 11.1 de la LOPDGDD en los otros dos canales telefónicos (Telemarketing y
Leads), ni se informa al interesado que puede acceder a toda la información exigible
conforme al artículo 13 RGPD en la dirección electrónica que se indica”. Sin embargo,
tal afirmación se realiza tras reproducir la AEPD los textos en los que se informa a los
clientes de la identidad del responsable del tratamiento, las finalidades del tratamiento,
así como los derechos que pueden ejercitar y la web donde obtener información
adicional. Por tanto, no parece que tal afirmación se corresponda con la realidad de los
hechos, por lo que entendemos que la Agencia tendrá a bien modificar y eliminar este
supuesto incumplimiento en su escrito de propuesta de resolución.

Prosigue el análisis haciendo referencia a que las condiciones generales de
contratación a las que se remite la información, indicando que las alojadas en la web
no son fácilmente accesibles. A este respecto interesa precisar que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/141

1) El artículo 11 de la LOPGDD se refiere a que esta información debe facilitarse al
interesado “indicándole una dirección electrónica u otro medio que permita acceder de
forma sencilla e inmediata a la restante información” y que, en este caso, tal y como se
informa al interesado en la locución, tras la contratación se remite una copia del
contrato en el que, obviamente, se incluyen las condiciones generales de contratación,
por lo que se le facilita el acceso directo a dicha información. Complementariamente,
esta información está en todo momento disponible en la web.
2) Frente a la supuesta dificultad aludida por la AEPD para encontrar las citadas
condiciones generales contrasta el hecho de que, según ejemplifica, basta una simple
búsqueda para acceder directamente a las mismas, utilizando para ello el buscador
disponible en la página web. Realizando la búsqueda de “condiciones de contratación”
o “condiciones generales de contratación”, se publican como primeros resultados los
documentos relativos a las condiciones generales de contratación que son de
aplicación tanto en castellano, en gallego, en catalán, y en euskera, quedando
identificado de forma clara la documentación que remite de forma directa al documento
en formato PDF, tal y como se evidencia en la siguiente dirección:
https://www.edpenergia.es/resources/doc/comercial/2019/09/10/condicionesgenerales-
de-contratacion.pdf

3) En lo que se refiere a que se “exige buscar en las condiciones generales (que
incluyen numerosos aspectos relativos a la contratación) la información relativa a la
protección de datos”, ha de ponerse de manifiesto que las condiciones generales
están compuestas de cuatro páginas, de las cuales prácticamente una de ellas se
encuentra dedicada, en exclusiva, a facilitar la información sobre el tratamiento de
datos personales realizados por EDP COMERCIALIZADORA, tal y como estamos
seguros que la AEPD ha podido verificar durante el procedimiento de elaboración de
su escrito de propuesta de sanción.

En relación con este supuesto incumplimiento, cabe traer a colación las directrices
facilitadas por el Grupo de Trabajo del artículo 29, en el que recomienda incluir el
acceso a la información relativa al tratamiento de datos de carácter personal a través
de medios en los que el interesado pueda reconocer inmediatamente dónde y cómo
acceder a esta información, (enlaces directos o en forma de respuesta a una pregunta
en lenguaje natural, en la sección de preguntas frecuentes, o ventanas emergentes).

Sin embargo, igualmente recoge, que “en función de las circunstancias de la recogida
y tratamiento de los datos, un responsable de tratamiento podría verse obligado a
utilizar de manera adicional. […]”. Otras vías posibles de transmitir la información a los
interesados derivadas de los siguientes entornos distintos de datos personales podrían
incluir los siguientes modos, que se enumeran a continuación, aplicables a los
entornos pertinentes. a) En papel, por ejemplo, al celebrar contratos por medios
postales: explicaciones por escrito, folletos, información en documentos contractuales,
dibujos animados, infografías o diagramas de flujo; b) Por teléfono: explicaciones
verbales directamente por parte de una persona para permitir una conversación y la
respuesta a preguntas, o información automatizada o pregrabada con la posibilidad de
oír información adicional más detallada;

El Grupo de Trabajo del artículo 29, única y exclusivamente facilita esa información a
modo de recomendación, sin que en ningún caso sea considerado una mala práctica,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/141

ni por supuesto un incumplimiento normativo el hecho de realizar la publicación a
través de un método, sencillo, que teniendo en cuenta que el servicio requiere de la
celebración de un contrato, el método y formato esencial y por tanto que prima en este
supuesto es al igual que se indica en las propias directrices del GT29, a través del
medio en soporte en papel y telefónico. Todo ello, sin perjuicio de mantener accesible
a través de la web para todo aquel interesado que decida realizar y atender al
contenido de forma intuitiva y sencilla y sin perjuicio de la obligación de entregar en
soporte duradero toda la información contractual tanto con la información previa, como
con el propio contrato celebrado. En este sentido, podemos ver que la posibilidad de
enlazar de forma “inmediata” es susceptible de ser interpretada.

La propia AEPD en su página web hace que sea el interesado quien deba “acertar” o
“averiguar” cuáles de los tratamientos incluidos en el registro de actividades de la
entidad son los que realmente afectan a su relación con la AEPD, ya que las
finalidades están incluidas dentro de la descripción de cada uno de ellos y no en la
política de privacidad a la que se accede.

En lo que se refiere a la identidad del responsable del tratamiento, se reitera la
información ya facilitada tras el requerimiento de información adicional de 3 de junio de
2020 en que se requería a EDP COMERCIALIZADORA, a tal efecto, dentro del
Requerimiento de Información E/05549/2019 en el que se explicaba que el hecho de
que se incluya información de ambas entidades se debe a que no se puede saber de
forma previa a la contratación los servicios que serán solicitados por el interesado (gas
y o electricidad) ni, por tanto, por cuál de las compañías serán prestados, por lo que
esto solo puede ser concretado cuando dichos servicios sean identificados por el
propio cliente. altamente probable que un mismo cliente al solicitar la contratación del
suministro eléctrico y de gas, esté contratando con ambas sociedades.

Por este motivo, se ha elaborado y estructurado el denominado contrato “dual” de
forma que un cliente pueda obtener descuentos o ventajas adicionales por el hecho de
contratar ambas energías con dos sociedades del mismo Grupo empresarial, y a fin de
mantener actualizados los descuentos en cada una de las energías (electricidad y gas)
e información derivada, es necesario que ambas sociedades conozcan si la energía
inicialmente contratada con la otra sociedad del Grupo se mantiene activa para poder
mantener y gestionar correctamente los descuentos/ventajas aplicadas.

Consecuencia de lo anterior, en la cláusula relativa a protección de datos se informa
que los datos personales facilitados durante el proceso de contratación pueden ser
tratados por una sola de las entidades o ambas entidades, en función del tipo de
servicios energéticos que sean contratados. Por tanto, no existe inconcreción, sino que
la explicación sobre quién es el concreto responsable del tratamiento en cada caso se
contiene de forma literal en el primer apartado del contrato, en el que se identifican las
partes, tal como consta en la Evidencia 6 aportada en la respuesta al Requerimiento
de Información efectuado a esta sociedad durante la tramitación del precitado
expediente informativo del que el presente expediente sancionador trae causa: “El
cliente contrata, para el suministro que se indica, el suministro de gas con EDP
Comercializadora, S.A.U. y el suministro de electricidad y/o los servicios
complementarios con EDP ENERGIA, S.A.U., (en adelante conjunta y/o
individualmente, según proceda, referidas como “EDP”) con arreglo a las Condiciones
Específicas que se recogen a continuación y a las Condiciones Generales en anexo.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/141

Por tanto, los clientes saben qué empresa tratará sus datos en función de cuál sea el
suministro solicitado (electricidad o gas), algo que entendemos queda perfectamente
claro y se deriva tanto de las explicaciones de los agentes de ventas, como del tenor
literal de la primera cláusula del contrato. En caso de ser ambos servicios, los datos
serán tratados por ambas entidades.

Hasta la fecha, ni en el ámbito de protección de datos, ni en relación con ninguna de
las normativas de aplicación a los sectores regulados de electricidad o gas, o los
referidos a la defensa de los consumidores se ha producido ninguna solicitud de
información adicional, reclamación, o queja a este respecto, ni por parte de los propios
consumidores, ni tampoco por parte de los múltiples reguladores que controlan y
fiscalizan la actividad de las empresas comercializadoras, por lo que parece evidente
que la información facilitada no genera problemas a los clientes, ni a otros reguladores
del país, más que a la propia AEPD.

Adicionalmente, reiteramos dos aspectos esenciales en la operativa propia del sector
en el que EDP COMERCIALIZADORA desarrolla su actividad, cuya exposición se
contempló en la información remitidas con carácter previo: 1) La existencia de dos
compañías dentro del Grupo con el rol de entidades comercializadoras se debe a una
cuestión meramente formal, consecuencia de la estructura societaria y composición
accionarial de las compañías adquiridas por el Grupo EDP en el momento de su
establecimiento en España, pero que no se corresponde con el funcionamiento
operativo de dichas comercializadoras, dado que solo una de ellas, EDP
COMERCIALIZADORA, cuenta en la actualidad con empleados y capacidad de
gestión y operativa. De este modo, en la práctica, todos los tratamientos son
realizados por dicha entidad, bien en calidad de responsable del tratamiento o como
encargada del tratamiento de EDP COMERCIALIZADORA.
2) El Grupo EDP tenía prevista la reorganización societaria de EDP
COMERCIALIZADORA y EDP ENERGIA y la adaptación de su estructura societaria
con la de su funcionamiento real y su operativa de negocio. Dicha reorganización se
ha visto en la actualidad afectada por un proceso de venta a TOTAL en el que ambas
sociedades están inmersas, y que, de materializarse, podría alterar o ultimar dicha
integración.

Por todo lo anterior, entiende que queda justificada perfectamente la transparencia en
relación a cómo se facilita la información, así como al hecho de que la misma es
perfectamente comprensible para el cliente medio.

Prosigue su análisis la AEPD refiriéndose a las finalidades y bases legitimadoras del
tratamiento. En primer lugar, se hace referencia a aquellos tratamientos informados
cuya base legitimadora es el propio contrato -relación contractual existente- o el
interés legítimo de la compañía.

Sobre este particular, se señala que “No resulta sencillo para cualquier persona, sin
conocimientos de la materia de protección de datos, diferenciar qué tratamientos
derivan del contrato y cuales se fundamentan en el interés legítimo del responsable”.
Esta apreciación es discutible, por cuanto para cualquier persona puede ser evidente
que tratamientos como “gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/141

gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio” están estrechamente relacionados a la ejecución del
contrato, siendo los demás asignables al interés legítimo. A este respecto, podemos
contrastar esta información con la facilitada por la propia AEPD respecto a sus
tratamientos cuando estos tienen bases de legitimación diversas, como es el caso del
denominado “Gestión de RRHH”, publicado en su web
(https://www.aepd.es/es/laagencia/transparencia/otro-tipo-de-informacion/registro-
actividades-tratamientoaepd/gestion-rrhh), en cuya información se puede apreciar que
se identifican diversas bases de legitimación, sin indicar a qué concreta finalidad se
refiere cada una de ellas.

Por tanto, aunque nada tiene que objetar esta parte sobre que el criterio de la AEPD
puede suponer una buena práctica en lo referente al nivel de transparencia, parece
que considerar el hecho de no haber llegado a este nivel de ordenación de la
información, no puede ser considerado un incumplimiento de la norma, máxime si
tenemos en cuenta que ni siquiera el propio organismo que emite las guías de
transparencia (y que ahora está proponiendo una sanción de nada más y nada menos
que un millón de euros por este motivo), ha considerado necesaria tal distinción en su
página web, tal y como ha quedado debidamente evidenciado.

Por lo que se refiere a la supuesta omisión por parte de EDP COMERCIALIZADORA
de informar de “cuál es el interés legítimo que el responsable se atribuye”, ha de
señalarse que los mismos están claramente expuestos y puestos en relación con las
finalidades que se persiguen, esto es: prevención del fraude y mercadotecnia, en
relación con el envío de comunicaciones comerciales personalizadas. En estos casos
es obvio que existe una identificación entre la finalidad informada y el propio interés
perseguido, por lo que hacer una alusión separada a este último resultaría redundante.

De igual modo, a título ilustrativo, ha de señalarse que los competidores directos de
EDP COMERCIALIZADORA emplean fórmulas informativas similares a las
implantadas en mi representada, sin que a la fecha se hayan conocido procedimientos
contra las mismas

Por otro lado, el elevado número de solicitudes de derechos recibidos en los canales
dispuestos para ello demuestran que los clientes entienden perfectamente el contenido
de la información y de los derechos que les asisten, y tienen perfectamente claro qué
es lo que quieren conseguir con su petición y EDP COMERCIALIZADORA, ejecuta
dichas peticiones en todos los casos, siempre con un marcado carácter de
cumplimiento de la normativa y protección de los derechos fundamentales de los
usuarios.

En lo que respecta a la necesidad de informar sobre la ponderación realizada para
valorar si el interés legítimo es preponderante en este caso, es relevante significar que
estos dos supuestos han sido abordados por el propio legislador, que en el
Considerando 47 del RGPD se refiere expresamente a la posibilidad de realizar estos
tratamientos amparándose en el interés legítimo del responsable del tratamiento.

En concreto se dispone que: “el tratamiento de datos de carácter personal
estrictamente necesario para la prevención del fraude constituye también un interés
legítimo del responsable del tratamiento de que se trate. El tratamiento de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/141

personales con fines de mercadotecnia directa puede considerarse realizado por
interés legítimo”.

Sobre este último también se ha pronunciado la propia AEPD en su informe 195/2017
indicando que “si los datos procediesen únicamente de la información de que
dispusiera la entidad en relación con los productos o servicios contratados por el
cliente, sin que la misma fuera completada con la originada en otras fuentes distintas,
ciertamente la conducta de la entidad, consistente en la realización de un perfilado
para la remisión de ofertas de productos o servicios a sus clientes, resultaría ser
menos invasiva de los derechos e intereses de los clientes, pudiendo en este caso
considerarse la aplicabilidad de lo dispuesto en el artículo 6.1 f) del Reglamento
general de protección de datos”.

Por lo tanto, en ambos supuestos la ponderación del interés legítimo ha sido ya
realizada, tanto por el legislador, como por la Autoridad de Control y, por lo tanto, el
motivo esgrimido por el GT29 para recomendar su publicación para que los afectados
puedan presentar una reclamación ante dicha autoridad cuando “duden de si el
examen de ponderación se ha llevado a cabo lealmente” carecería de sentido en este
caso, debiendo en su caso plantear dicha reclamación ante el propio Tribunal de
Justicia de la Unión Europea, con el fin de que examinara la legalidad de la disposición
introducida en el RGPD, o en su caso, ante la propia autoridad de control y/o
tribunales nacionales competentes. En todo caso, el propio GT29 identifica esta
posibilidad como una buena práctica y, como se recoge en el propio informe su
objetivo es “indicar el planteamiento que, a juicio del GT29, los responsables del
tratamiento deben asumir en cuanto a actuar con transparencia”. No se trata, por
tanto, de una obligación jurídica cuyo cumplimiento defectuoso pueda llevar aparejado
una sanción, como ya ocurre con otras muchas de las cuestiones que la AEPD está
intentando sancionar en este procedimiento, faltando a los más mínimos principios de
tipificación, culpabilidad y prueba, hechos estos que no dejan de sorprendernos en lo
que entendemos que es una actuación que debería estar acogida a un cumplimiento
íntegro y riguroso por parte de la Administración sancionadora.

Continua la AEPD su análisis refiriendo que los tratamientos para los que se pide
consentimiento, valorando que no resulta sencilla su comprensión para una persona
sin conocimientos especializados. Sin embargo, no ofrece ninguna explicación para
llegar a esa conclusión (más allá de una vaga referencia al punto cuarto).
En contra del criterio de la AEPD, entendemos que la información se da en un
lenguaje sencillo, compresible para cualquier persona. La información contenida en
esta segunda capa ha de ponerse en relación con los consentimientos solicitados.

El primer consentimiento dice: “Consiento el tratamiento de mis datos personales una
vez finalizada la relación contractual, para la realización de comunicaciones
comerciales adaptadas a mi perfil de productos y servicios relativos al suministro y
consumo de energía. Asimismo, consiento los mencionados tratamientos durante la
vigencia y tras la finalización del contrato, sobre productos y servicios no energéticos,
tanto de las empresas del Grupo EDP como de terceros.”

En la segunda capa se amplía esta información indicando cuales son los sectores a
los que pertenecen los terceros sobre los que se pueden enviar comunicaciones “(I)La
promoción de servicios financieros, servicios de protección de pagos, automoción o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/141

afines y electrónica, propios o de terceros, ofrecidos por EDP y/o la participación en
concursos promocionales, así como para la presentación de propuestas comerciales
vinculadas al sector energético tras la finalización del contrato.”
Como puede evidenciarse, no se usa ni un solo término técnico que dificulte la
comprensión de estos textos, y las condiciones del consentimiento son totalmente
claras.

En segundo consentimiento solicitado dice: “Consiento el tratamiento de mis datos
personales para la elaboración de mi perfil comercial con información proveniente de
bases de datos de terceros, para la adopción, por parte de EDP, de decisiones
automatizadas con la finalidad de enviar propuestas comerciales personalizadas, así
como para permitir, o no, la contratación de determinados servicios.”

En la segunda capa se detalla el contenido de este consentimiento indicando: (II) la
posibilidad de tratar datos personales de terceros para ser agregados a su perfil (III) la
información contractual empleada por EDP COMERCIALIZADORA en la elaboración
del perfil (IV) el detalle de las finalidades de la agregación de estas informaciones.

Por último, se informa de los derechos que asisten a los interesados en el caso de
que en estos procesos se produzca la toma de decisiones automatizadas. Por tanto, el
objetivo claro de EDP COMERCIALIZADORA es permitir a los interesados tener un
conocimiento detallado de los usos para los que se pide consentimiento no existiendo
voluntad o dolo alguno para ocultar la información. Igualmente, señala la AEPD que
concurre una ausencia de claridad en la información proporcionada relativa a la
agregación de información de terceros, al no distinguirse si es referido a la finalidad
relativa al punto (II) (la posibilidad de tratar datos personales de terceros para ser
agregados a su perfil) o al (III) (la información contractual empleada por EDP
COMERCIALIZADORA en la elaboración del perfil). A este respecto, parece obvio que
la palabra agregación es suficientemente concisa, y se refiere a la suma de ambas
informaciones. La palabra agregar es de uso común en el día a día y, de acuerdo con
la RAE, significa: “unir o juntar unas personas o cosa a otras”. En este caso, del
contexto se infiere claramente que se trataría de unir los datos que ya tiene EDP
COMERCIALIZADORA, con los que podría obtener de terceros.

Más allá de esto, se desconoce cuál es la concreta información cuya comprensión
puede resultar compleja, ya que no se aporta ninguna aclaración al respecto. EDP
COMERCIALIZADORA ha intentado en todo momento emplear un lenguaje claro y
comprensible y no existen tecnicismos que puedan complicar la lectura del texto, algo
que parece que ahora la AEPD, considera una acción negativa que penaliza la buena
fe de EDP COMERCIALIZADORA en relación al cumplimiento de la normativa.

Por último, se refiere la AEPD a la información relativa al ejercicio de derechos,
respecto a la que, al igual que en los casos anteriores, tampoco parece ser suficiente
para la AEPD la información facilitada a este respecto. Así, bajo el epígrafe “Derechos
del titular de los datos” EDP COMERCIALIZADORA informa de que: “El cliente contará
en todo momento con la posibilidad de ejercitar de forma libre y completamente
gratuita los siguientes derechos: i) Acceder a sus datos personales que sean tratados
por parte de EDP. ii) Rectificar sus datos personales que son tratados por parte de
EDP que resulten inexactos o incompletos. iii) Suprimir sus datos personales que son
tratados por EDP. iv) Limitar el tratamiento por parte de EDP de todos o parte de sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/141

datos personales. v) Oponerse a determinados tratamientos y adopción de decisiones
automatizadas de sus datos personales, requiriendo la intervención humana en el
proceso, así como a impugnar las decisiones que sean finalmente adoptadas en virtud
del tratamiento de sus datos. vi) Portar sus datos personales en un formato
interoperable y autosuficiente. vii) Retirar en cualquier momento, los consentimientos
otorgados previamente.

De conformidad con la normativa vigente, el usuario puede ejercer sus derechos
solicitándolo por escrito, y junto a una copia de documento fehaciente de acreditación
de la identidad, en la siguiente dirección postal: Plaza del Fresno, 2 33007 Oviedo o en
el correo electrónico [email protected]

Igualmente, podrá ponerse en contacto con el delegado de protección de datos de
EDP, en la siguiente dirección postal: Plaza del Fresno, 2 33007 Oviedo o en el correo
electrónico [email protected], en el caso de que entienda vulnerado alguno de
sus derechos relacionados con la protección de datos, o en su caso, interponer una
reclamación ante la Agencia Española de Protección de Datos en la dirección Calle de
Jorge Juan, 6, 28001 Madrid.”

La AEPD considera insuficiente la mención que realiza EDP COMERCIALIZADORA
respecto a la posibilidad de oponerse a “determinados tratamientos” sin especificar
uno a uno a qué tratamientos nos estamos refiriendo, en la medida en que la AEPD
afirma que “debiendo ser claro para el interesado cuales son los tratamientos que
pueden ser objeto de oposición”.
Esta parte no comparte esta apreciación, puesto que esta supuesta obligación que la
AEPD resalta y parece imponer a EDP COMERCIALIZADORA no es requerida por el
RGPD, ni cuenta con ningún respaldo legal, que como bien conoce esa Agencia es
condición “sine qua non” para poder sancionar-

. Es más, y para mayor abundamiento, esta parte quisiera poner de nuevo de relieve
que la fórmula empleada por EDP COMERCIALIZADORA es precisamente la
recomendada por la propia AEPD en sus múltiples guías y herramientas relativas al
deber de información conforme al RGPD, e incluso en la propia web de la AEPD, algo
que, de nuevo, no deja de sorprender a esta parte, puesto que esa Agencia considera
una infracción del RGPD, proponiendo para dicha infracción una sanción de un millón
de euros, por un supuesto incumplimiento en relación a una determinada práctica que
ella misma recomienda realizar. En esta línea, cabe destacar
1) La Guía para el cumplimiento del deber de informar, en la que se plasma el
siguiente ejemplo
2) 2) La Herramienta FACILITA, de la AEPD, destinada a que entidades realicen
la adecuación conforme al RGPD, incluyendo las cláusulas informativas
conforme a la normativa aplicable (se han incluido datos ficticios):
3) Informe sobre políticas de privacidad en internet. Adaptación al RGPD, donde
la propia AEPD expone como ejemplo válido para adecuar la política de
privacidad al RGPD.
4) Política de privacidad de la AEPD, tampoco recoge la supuesta información
que es requerida ahora a EDP COMERCIALIZADORA, e incluye fórmulas
como “cuando proceda”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/141

En consecuencia, no puede reprocharse a EDP COMERCIALIZADORA la no inclusión
de una información que ni siquiera es indicada como una buena práctica en las guías
elaboradas para el cumplimiento adecuado de sus obligaciones por parte de los
responsables del tratamiento, y que ni la propia AEPD cumple en su Política de
Privacidad y demás cláusulas informativas utilizadas en su web.

Tampoco parece tener sentido la referencia a que “Resulta impreciso señalar que el
interesado puede oponerse a la adopción de decisiones automatizadas de sus datos
personales”. Es obvio que la información facilitada empleando la palabra “oponerse” es
entendida como un derecho tanto cuando el tratamiento se legitima en un interés
legítimo como en un consentimiento (en todo caso se informa de la posibilidad de
oponerse en cualquier momento a los consentimientos otorgados). La prueba es que,
a la hora de ejercitar sus derechos, los interesados rara vez utilizan alguno de estos
términos y se limitan a solicitar la “baja” o pedir directamente que se dejen de usar sus
datos para determinadas finalidades, sin usar formalismos tal y como se ha
evidenciado en este procedimiento mediante la aportación de innumerables ejemplos.

Adicionalmente, interesa a esta parte poner de manifiesto nuevamente que la AEPD
ha tenido oportunidad de analizar tanto las condiciones generales de contratación,
como las informaciones facilitadas en los distintos procesos de contratación de los que
dispone EDP COMERCIALIZADORA durante los distintos requerimientos de
información y en su caso procedimientos sancionadores que la AEPD ha iniciado hasta
el momento, sin que hasta el momento, la AEPD se haya pronunciado sobre posibles
incumplimientos del deber de transparencia, habiéndose procedido al archivo de
múltiples expedientes en las que esta documentación fue objeto de revisión por la
AEPD.

Por lo tanto, habiendo sido puesta esta información en conocimiento de la AEPD y
habiendo sido analizada por ésta, sin que se hubiera pronunciado en contra de la
misma, EDP COMERCIALIZADORA continuó haciendo uso de estos documentos y
procedimientos en la confianza legítima de que esta era ajustada a las exigencias
normativas, en la medida en que la AEPD, teniendo acceso y conocimiento de primera
mano de esos supuestos incumplimientos, no indicó en ningún momento a EDP
COMERCIALIZADORA que existiera irregularidad alguna, proponiendo ahora una
sanción de un millón de euros por un supuesto incumplimiento, del que habría tenido
conocimiento años atrás, pero que no consideró ya no sancionar sino ni siquiera
advertir a EDP COMERCIALIZADORA. En este sentido, ha de señalarse que la
finalidad de esta autoridad de control no es otra que garantizar el cumplimiento de la
normativa, por lo que en ausencia de justificación jurídica que motive la apertura de
Procedimiento Sancionador sobre unos aspectos que con anterioridad fueron
conocidos e incluso sujetos a un archivo, no puede tener cabida con posterioridad la
imposición de una sanción de la cuantía que se expone.
Como conclusión de todo lo expuesto, no cabe interpretar que EDP
COMERCIALIZADORA incumple con sus deberes recogidos en el artículo 13 del
RGPD.

En relación con la ponderación de la sanción propuesta por parte de la AEPD, al igual
que en los puntos anteriores, tras valorar los aspectos expuestos en el presente
apartado, y atendiendo a los criterios evaluadores relacionados por la AEPD, si bien,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/141

sin haber justificado el motivo por los que se incluyen, se incluyen a continuación los
comentarios relativos a su posible concurrencia.
“La naturaleza, gravedad y duración de la infracción” a lo que el propio RGPD
continúa con “teniendo en cuenta la naturaleza, propósito de la operación de
tratamiento de que se trate, así como el número de interesados afectados y el nivel de
los daños y perjuicios que hayan sufrido;” Tal y como se ha expuesto en el presente
apartado, la información facilitada a los usuarios cumple con los requisitos legales a lo
largo de todo el proceso de contratación y aún después, sin que por tanto quepa
interpretar que exista un incumplimiento de EDP COMERCIALIZADORA. Asimismo,
como se ha venido plasmando en los anteriores puntos, para poder calificar como
agravante los daños y perjuicios causados a los afectados, además de materializarse,
los mismos deben de quedar acreditados, aspecto que no ha sido probado en el
presente Procedimiento.

“La intencionalidad o negligencia apreciada en la comisión de la infracción;” Las
supuestas incorrecciones en la información facilitada por EDP COMERCIALIZADORA
no suponen ningún incumplimiento de la normativa por lo que, en todo caso, podría ser
recomendable alguna mejora en la forma en que esta es plasmada, pero nada más.
Ha quedado acreditada la intención de informar a los afectados de todos los aspectos
relacionados con el tratamiento de sus datos personales de forma transparente, por lo
que en ningún caso es posible hablar de intención de incumplir la norma ni mucho
menos un comportamiento negligente o doloso.

“La alta vinculación de la actividad del infractor con la realización de tratamientos de
datos personales;” Como se ha indicado este es un factor ambiguo. Ha de tenerse en
cuenta el gran despliegue de medios llevado a cabo por EDP COMERCIALIZADORA
para permitir facilitar la información a todos los interesados por todos los canales por
los que es posible recabar datos personales.
“El carácter continuado de la infracción;” “Elevado volumen de datos y tratamientos
que constituye el objeto del expediente;” y “Elevado número de interesados;” Al igual
que en otros criterios señalados de forma individualizada, estos tres criterios quedan
subsumidos con el planteado en primer lugar, y procedente del artículo 83.2 a) del
RGPD, por lo que su evaluación ha de efectuarse conjuntamente con el indicado y, por
tanto, no suponer un aspecto adicional al mencionado para el cálculo de la potencial
sanción aplicable.
“La condición de gran empresa de la entidad responsable y su volumen de negocio”.
Como ya se ha expuesto, este no es un factor de evaluación para la cuantía de las
sanciones. En consecuencia, no cabe sancionar a EDP COMERCIALIZADORA por el
cumplimiento de su deber de transparencia, ni mucho menos en la cuantía propuesta
en el Acuerdo de Inicio de Procedimiento Sancionador al que contestamos en el
presente escrito.

QUINTA.– SOBRE EL ACUERDO DE INICIO DE EXPEDIENTE SANCIONADOR Y LA
VALORACIÓN DE LA POSIBLE SANCIÓN. FUNDAMENTACIÓN JURÍDICA Y
PROPORCIONALIDAD DE ESTA.

A. INCUMPLIMIENTO DEL PRINCIPIO DE INTERDICCIÓN DE LA ARBITRARIEDAD .
En relación con este principio debemos de atender a dos cuestiones concretas:
1) Las recomendaciones y publicaciones de la AEPD,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/141

2) Las cuantías de las sanciones que han tenido lugar en supuestos anteriores
similares.
En primer lugar, ciertas prácticas recomendadas e incluso aplicadas por la AEPD
relativas a la recogida del consentimiento y a la información a facilitar a los
interesados, han servido en este caso para argumentar y motivar las supuestas
infracciones cometidas por EDP COMERCIALIZADORA.

Estos criterios se plasman tanto en la forma de recopilar de forma conjunta las
finalidades cuya base legitimadora es consentimiento del usuario, tal y como se recoge
en la Alegación Segunda, como en la presentación de la información relativa al
ejercicio de derechos de los interesados recogido en la Alegación Cuarta. Estos
aspectos, que a priori la AEPD recomienda y pone en práctica, considerándolos
ejemplos que se adecuan a la normativa aplicable, son utilizados como elementos
infractores para justificar el supuesto incumplimiento de distintos preceptos legales por
EDP COMERCIALIZADORA.

Todo ello y dicho sea en estrictos términos de defensa, no solo implica que la AEPD
considera insuficiente lo que la propia Autoridad tiene incorporado en sus cláusulas
informativas, resultando por tanto, dicha información insuficiente conforme al RGPD,
sino que el hecho de modificar el criterio adoptado invalidando aspectos sin
motivación, ni justificación alguna, implica una clara situación de inseguridad jurídica,
contraria al principio constitucional de interdicción de la arbitrariedad recogido en el
artículo 9.3 de la Constitución Española; principio que implica que las autoridades no
pueda tomar decisiones arbitrarias, entendiendo por tales, aquellas que supongan una
infracción del principio de igualdad de trato de los administrados ante la aplicación de
la ley y las reglas objetivamente determinadas.
En segundo lugar, las cuantías de las sanciones anteriores en supuestos de hecho
similares no son comparables, a las propuestas en este caso.

Concretamente, debemos traer a colación el Procedimiento Sancionador
PS/00097/2019, dirigido frente a la entidad del mismo grupo empresarial, EDP
ENERGÍA, en el que, tras haber analizado el sistema de contratación y la información
facilitada a cada una de las partes intervinientes, tanto al representante, como al
representado, se dicta el archivo del expediente, validando por tanto todos los
documentos que acompañaron al procedimiento, es decir, la documentación vinculada
al proceso de contratación.
Igualmente, cabe señalar que, el pasado marzo de 2019, EDP ENERGIA, también
recibió archivo de actuaciones del requerimiento de información E/04707/2018,
iniciado tras denuncia presentada por el Sr. ***A.A.A.. En este caso, la AEPD resuelve
que no procede dar trámite a la reclamación recibida, considerando, por tanto, el
procedimiento de contratación y documentación aportada, conforme a Derecho.
Al igual que en el primer apartado de este punto, las sanciones propuestas, realizadas
sin motivación, ni justificación debida, van en contra de la seguridad jurídica, principio
constitucional recogido en el artículo 9.3 de la Constitución Española, así como contra
el principio de fundamentación jurídica. En otras palabras, toda decisión adoptada por
la AEPD ha de ser objetiva, fundamentada y tipificada.
En este sentido, cabe traer a colación la Sentencia del Tribunal Supremo de la 3ª Sala
de lo Contencioso-administrativo, Sección 3ª, Sentencia de 13 mayo. 2015, Rec.
28/2013, en la que el interesado, recurre en casación, exponiendo entre otras
alegaciones la infracción de los principios de interdicción de la arbitrariedad, seguridad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/141

jurídica y de igualdad establecidos en los artículos 9.3 y 14 CE, al amparo del artículo
88.1.d) LJCA y el Tribunal estima dicha motivación. De dicha resolución cabe resaltar
lo siguiente:
“c) La exigencia constitucional de la motivación de las sentencias, recogida en el
artículo 120.3, en relación con el 24.1, de la Constitución , aparece justificada, sin más
que subrayar los fines a cuyo logro tiende aquélla, que, ante todo, aspira a hacer
patente el sometimiento del Juez o Tribunal al imperio de la Ley y contribuye a lograr la
convicción de las partes en el proceso sobre la justicia y la corrección de una decisión
judicial, facilitando el control de la sentencia por los Tribunales Superiores, y opera
como garantía o elemento preventivo frente a la arbitrariedad.
d) La amplitud de la motivación de las sentencias ha sido matizada por la doctrina del
Tribunal Constitucional, indicando que no autoriza a exigir un razonamiento judicial
exhaustivo y pormenorizado de todos los aspectos y perspectivas que las partes
puedan tener de la cuestión a decidir, sino que deben considerarse suficientemente
motivadas aquellas resoluciones judiciales que vengan apoyadas en razones que
permitan conocer cuáles han sido los criterios jurídicos esenciales fundamentadores
de la decisión, es decir, la "ratio decidendi" que ha determinado aquélla (sentencias del
Tribunal Constitucional 14/1991,28/1994,145/1995y32/1996, entre muchas otras). Así
lo ha reconocido el propio Tribunal Constitucional cuando se refiere a que no es
necesario un examen agotador o exhaustivo de las argumentaciones de las partes, y
cuando incluso permite la argumentación por referencias a informes u otras
resoluciones. La Sentencia del Tribunal Constitucional nº 122/94 de 25 de abril, afirma
que ese derecho a la motivación se satisface cuando la resolución judicial de manera
explícita o implícita contiene razones o elementos de juicio que permiten conocer los
criterios que fundamentan la decisión».”
A raíz de lo anterior cabe resaltar que la AEPD, identifica como ejemplo de sanción, el
Procedimiento Sancionador con número de expediente PS/0025/2019, expediente que
se encuentra en vía contenciosa y por tanto, no deviene firme. Por todo ello, ni puede
considerarse un expediente que afecte a la diligencia operada por EDP
COMERCIALIZADORA, ni puede ser considerado como un antecedente, puesto que
dicha sanción aún no es firme. Analizado lo anterior, así como la doctrina y
jurisprudencia plasmadas en el presente apartado, no cabe sino concluir que nos
encontramos ante una serie de propuestas de sanción administrativa, cuya motivación
se separan de la propia interpretación recientemente efectuada por esta Agencia. Por
ello, ha de entenderse que la situación ocasionada genera perjuicios derivados de la
ausencia de seguridad jurídica, cuya motivación se expone en los epígrafes que
siguen.

B. FALTA DE PROPORCIONALIDAD En este punto, conviene recordar que el principio
de proporcionalidad es un principio general del Derecho. Motivo por el cual, la AEPD
debe tener en cuenta este principio tanto a la hora de determinar los criterios
evaluadores, como a la hora de determinar la sanción aplicable, principio que como
cabe apreciar del procedimiento, desde el inicio de la investigación y dicho sea en el
más estricto sentido de defensa, no ha sido aplicado por la AEPD en el Acuerdo de
Inicio del Procedimiento Sancionador.
Es preciso señalar en este apartado, que la capacidad sancionadora de la AEPD se
encuentra limitada por el principio de proporcionalidad, limitación plasmada en el
artículo 29 de la Ley 40/2015, del Régimen Jurídico del Sector Público (en adelante,
“LRJSP”). Ello requiere que toda sanción sea idónea, necesaria y adecuada a la
gravedad del hecho constitutivo de la infracción. Por ello, recordamos los criterios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/141

evaluadores recogidos a lo largo del escrito, así como los siguientes fragmentos del
artículo 83.2 del RGPD que aplica de forma conjunta.
“k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
A este respecto, de las ya mencionadas escasas o inexistentes reclamaciones en
relación con los supuestos incumplimientos, únicamente cabe interpretar que EDP
COMERCIALIZADORA cumple con carácter general y mayoritario las exigencias
recogidas en el RGPD, criterio que ha de ser tenido en cuenta como atenuante de una
potencial sanción aplicable.
En primer lugar, con respecto a la supuesta infracción del artículo 25 del RGPD, la
AEPD, parece pretender sancionar dando por supuesto la inexistencia de
documentación legalmente requerida, sin que la propia Autoridad la haya requerido.
Por ello, la AEPD en la sanción propuesta en el escrito de Acuerdo de Inicio de
Procedimiento Sancionador, se basa en una ficción, pues la realidad de la situación es
que los documentos sobre los que se alega inexistencia o inexactitud cumplen con
todas las obligaciones asociadas a la protección de datos desde el diseño y por
defecto, disponiéndose, tal y como queda plasmado en el punto correspondiente, de
los análisis de riesgos y evaluaciones de impacto pertinentes, incluyendo todas las
medidas correctoras, habiendo seguido tanto los análisis, como los planes internos
con los criterios indicados por la AEPD.
Por ello, la sanción propuesta, no solo es desproporcionada conforme a lo expuesto
en el presente escrito, sino que no es aplicable a los hechos ante los que nos
encontramos.

En segundo lugar, conforme lo señalado en la alegación segunda, la supuesta
infracción del artículo 6 del RGPD, EDP COMERCIALIZADORA no ha realizado
tratamiento alguno relativo a la realización de un perfilado y su posterior empleo con
fines comerciales, ni ha facilitado información insuficiente relativa a la identificación del
responsable, siendo la misma plasmada a nivel contractual e informativo tanto en la
primera capa, como en la segunda, aspecto que en todo caso afectaría a lo recogido
en el artículo 13 del RGPD. A mayor abundamiento, tal y como hemos expuesto
anteriormente, la recogida de las finalidades de forma conjunta, cuando estas se
encuentran sujetas a la misma base legitimadora, es aprobada por la propia AEPD.

Por ello, la sanción propuesta, es desproporcionada y contraria al ordenamiento
jurídico ya que ni se ha justificado la existencia de infracción alguna, ni se ha llevado
cabo el tratamiento en cuestión.

Asimismo, como ya hemos expuesto anteriormente, la AEPD, hasta el momento no ha
sancionado en expediente alguno en base a la infracción del artículo 22 del RGPD,
requiriendo por ello, una revisión y fundamentación detallada y justificada, para que la
sanción propuesta no sea considerada desproporcionada.

Por último, en base a lo recogido en la alegación cuarta respecto a la infracción del
artículo 13 del RGPD y en relación con lo recogido en el presente apartado, la
información recogida y facilitada a los interesados cumple con los requisitos legales
exigibles, no siendo punible en ningún caso la no implementación de recomendaciones
que la AEPD pretende imponer a EDP COMERCIALIZADORA, así como aspectos que
incluso a pesar de verse en un momento defendidos y aplicados por la propia AEPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/141

son en estos momentos argumentos para justificar la inexistente infracción por parte
de EDP COMERCIALIZADORA de su deber de información.

Por todo ello, tal y como se ha evidenciado y desglosado a lo largo del presente
escrito, EDP COMERCIALIZADORA cumple tanto con los requisitos recogidos por la
normativa aplicable, como por lo indicado por las guías y textos legales publicados por
la propia AEPD.

Asimismo, la AEPD considera a EDP COMERCIALIZADORA como entidad con un
gran valor de negocio, suponiendo dicho volumen un aspecto relevante a la hora de
elevar la sanción, sin probar, sin embargo, que el valor de negocio sea suficiente para
que las sanciones, ampliamente elevadas, puedan ser consideradas como
proporcionales.

Igualmente, tal y como se ha ido exponiendo en cada punto, todas y cada una de las
supuestas acciones infractoras cuentan con factores atenuantes que parece que no se
han tenido en cuenta, puesto que únicamente se consideran criterios que además de
plasmarse de forma independiente de lo recogido en el propio articulado, aumentan la
cantidad de la potencial sanción a imponer.

Estos aspectos evidencian la total desproporción y arbitrariedad de las sanciones
propuestas, sin que exista en el Acuerdo de Inicio fundamentación alguna que permita
a la AEPD motivar las cantidades propuestas, ni tampoco las razones por las que unos
mismos hechos que hasta ahora no habían sido ni siquiera sancionados por la
Autoridad de Control con anterioridad - infracción del artículo 22 del RGPD-,
apartándose así de las consideraciones de otros procedimientos, así como de los
criterios evaluadores para determinar unas cuantías carentes de motivación y
desproporcionadas.
Por ello, la sanción propuesta, ni tendría que ser de aplicación, puesto que no existe
infracción, ni incumplimiento alguno, ni cumple con los criterios amparados por el
principio de proporcionalidad.

Añadido a lo anterior, en la Sentencia de 15 de octubre de 2012 (JUR/2012/353649),
recurso 180/2010, la Sala aplicando el principio de proporcionalidad, atendió a la falta
de acreditación de los efectos de la conducta como criterio reductor de la sanción,
señalando el carácter esencial del principio, permitiendo a la Sala eliminar o reducir la
sanción impuesta:
“Tal como señala el recurrente no consta acreditado que las conductas
anticompetitivas tuviesen efecto alguno sobre el mercado, ya que no se razona en la
resolución recurrida cual ha sido el efecto sobre los consumidores o usuarios en este
caso los hospitales públicos (…) En España, el Tribunal Supremo ha reconocido la
capacidad del órgano jurisdiccional para rectificar la graduación de las sanciones
impuesta por el Tribunal de Defensa de la Competencia. Así en sentencia de 5 de
marzo de 2001 , 24 de mayo de 2004 , 12 de junio de 2006 , 14 de febrero de 2007
señala que "el mencionado principio de proporcionalidad o de la individualización de la
sanción para adaptarla a la gravedad del hecho, hacen de la determinación de la
sanción una actividad reglada y, desde luego, resulta posible en sede jurisdiccional no
sólo la confirmación o eliminación de la sanción impuesta sino su modificación a
reducción" o en la sentencia de 8 de octubre de 2001 " no hay un exceso en el
ejercicio de la jurisdicción sino observancia sin más de los mandatos constitucionales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/141

referidos al derecho a la tutela judicial (artículo 24.1) y al control de la legalidad de la
actuación administrativa (8 artículo 106.1), cuando el órgano jurisdiccional, analizando
una de las razones de impugnación del acto administrativo, como es la resolución del
Tribunal de Defensa de la Competencia, decide cual es la sanción adecuada en
aplicación de este principio de proporcionalidad y de las previsiones que a tal fin tenga
establecida la norma jurídica".

En este sentido, cabe traer a colación igualmente, la Sentencia del TSJA resolviendo a
través del recurso número 795/2003:
“El principio de proporcionalidad ha servido en la jurisprudencia como un importante
mecanismo de control por parte de los Tribunales del ejercicio de la potestad
sancionadora de la Administración cuando la norma establece para una infracción
varias sanciones posibles o señala un margen cuantitativo para la fijación de la
sanción pecuniaria. El principio de proporcionalidad o el principio penal de
individualización de la sanción para adaptarla a la gravedad del hecho y a la
personalidad del autor, hacen de la determinación de la sanción una actividad reglada.
El Tribunal Supremo viene manteniendo con reiteración la procedencia de concretar
las sanciones administrativas en contemplación de la infracción cometida,
graduándolas con el adecuado criterio de proporcionalidad ínsito en los principios
ordenadores del Derecho sancionador, sopesando a tal fin las circunstancias
concurrentes en el hecho constitutivo de la infracción sancionada, correspondiendo a
la actividad jurisdiccional, como se dice en la sentencia de 26 de septiembre de 1990 ,
no tan sólo la facultad de subsumir la conducta del infractor en un determinado tipo
legal, sino también adecuar la sanción al hecho cometido, ya que en uno y otro caso
se trata de la aplicación de criterios jurídicos plasmados en la norma escrita y
deducibles de principios informadores del ordenamiento jurídico sancionador, como
son los de congruencia y proporcionalidad entre la infracción y la sanción.”

En definitiva, analizando cada una de las supuestas infracciones que se imputan a mi
representada, no cabe sino interpretar que existe una absoluta desproporcionalidad en
la interpretación realizada por la AEPD en el presente Acuerdo de Inicio de
Procedimiento Sancionador, no sólo porque carece de motivación a la hora de
considerar cometida la supuesta infracción, sino por el hecho de que las sanciones
propuestas escapan de cualquier criterio valorado con carácter previo por la propia
AEPD. Y por ello, corresponde como mínimo la corrección por parte de la AEPD, en
caso de no considerar la debida anulación y archivo de las actuaciones, suponiendo
por tanto una reducción sustancial de cada potencial infracción a su grado mínimo,
llegando incluso al apercibimiento, por no existir incumplimiento alguno, falta de
motivación y desproporcionalidad.

C. DUPLICIDAD DE SANCIONES Y CUMPLIMIENTO DEL PRINCIPIO "NE BIS IN
IDEM”

Del Acuerdo de Inicio de Procedimiento Sancionador se deriva un aspecto que ha
venido siendo señalado en diversos puntos de las presentes alegaciones al mismo, y
cuya relevancia no puede ser obviada. Así, las infracciones que se señalan son
reiteraciones de unos mismos hechos, de cuya estimación se ocasionaría una notoria
duplicidad en las sanciones impuestas, bien porque abordan circunstancias
examinadas con anterioridad por la AEPD o bien porque estima la concurrencia
múltiple de infracciones sobre un mismo hecho.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/141

En primer término, ha sido señalado por esta Agencia la concurrencia de una
infracción derivada de lo dispuesto en el artículo 25 RGPD al estimar que no han sido
llevadas a cabo las acciones oportunas, referidas a la adecuación de los
procedimientos que se implementan para la contratación por terceros. Sin perjuicio de
los argumentos que han sido manifestados en la correspondiente alegación Primera, a
los que nos remitimos por brevedad, es relevante destacar que la apreciación de la
comisión de infracción se deriva de acontecimientos que, con anterioridad al mismo,
han sido previamente analizados por la AEPD. Ello ha supuesto que, atendiendo a la
casuística concurrentes en el mismo, este fue sancionado en un procedimiento que, a
la fecha, se encuentra recurrido.
De lo anterior debería desprenderse necesariamente que, la imposición de la
infracción trae causa de la producción de nuevos hechos que motivan la imposición de
las sanciones propuestas. Pues bien, tampoco es esta la casuística que nos ocupa, al
no haber existido nuevas reclamaciones o circunstancias que hayan llevado a la AEPD
al presente Acuerdo de Inicio de Procedimiento Sancionador. Ciertamente la
imposición de la sanción que se propone supondría que, ante un hecho que ha sido
evaluado y solventado o castigado por la correspondiente autoridad, sea nuevamente
examinado desde idéntica perspectiva o, por el contrario, que, en ausencia de
materialización de dicho riesgo, sería impuesta dicha sanción a partir de conductas
que potencialmente podrían dar lugar a un incumplimiento, pero cuya producción es, a
la fecha, inexistente.

En segundo término, la AEPD hace uso de distintos preceptos normativos para
sancionar un mismo hecho, por constituir simultáneamente la comisión de tres
infracciones, si bien cada una de ellas tiene como fundamento el incumplimiento del
deber de información regulado en el artículo 13 del RGPD

En este sentido, como ya se ha adelantado en las alegaciones previas, aunque el
Acuerdo de Inicio de Procedimiento Sancionador parte de la aplicabilidad de tres
infracciones diferenciadas, correspondientes a los artículos 6, 13 y 22 del RGPD,
todas ellas tienen como fundamento la información deficiente y el desconocimiento del
usuario del objeto de la solicitud de consentimiento. Así, la argumentación que plasma
para fundamentar su consideración relativa a la obtención de un consentimiento
insuficiente, se indica que: “Se considera que el consentimiento así prestado no resulta
ajustado a lo previsto en el RGPD y en la LOPDGDD. Se pide un consentimiento con
una información deficiente, en tanto no se indican ni qué bases de terceros se van a
consultar ni qué tipo de datos se van a recabar, de modo que el interesado desconoce
absolutamente que es lo que está consintiendo. Tampoco se determina quien va a ser
el responsable del tratamiento, se hace una referencia genérica a EDP, sin que el
cliente que haya contratado un servicio únicamente con una de las dos entidades
(EDP COMERCIALIZADORA S.A.U. o EDP ENERGIA, S.A.U.) sepa si está
consintiendo que tales tratamientos lo lleven a cabo ambas entidades o solamente
aquella de la que es cliente. Tampoco se aclara que tipo de servicios se va a permitir
contratar o no. Tales deficiencias no permiten que el interesado conozca las
consecuencias de su decisión y valore así la conveniencia de prestar o no su
consentimiento.” (Página 50 del Acuerdo de Inicio de Procedimiento Sancionador).

Del mismo modo, en cuanto a la supuesta infracción del artículo 22 RGPD, relativa a la
comisión de decisiones automatizadas, la AEPD en su propio escrito de Acuerdo de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/141

Inicio de Procedimiento Sancionador, tras recoger los aspectos relacionados con el
tratamiento de datos en los que existan decisiones automatizadas, recoge lo siguiente:
“De todo ello cabe concluir que el consentimiento prestado para tales finalidades no
es conforme a lo establecido en el artículo 4.7 del RGPD en tanto no está
debidamente informado con carácter general, no se da cumplimiento a los requisitos
específicos de información establecidos en el artículo 13.2 para las decisiones
automatizadas y tampoco es específico. La ausencia de tales requisitos determina que
el mismo no sea válido de modo que los tratamientos basados en él carecen de
legitimación contraviniéndose así lo previsto en los artículos 6 y 22 del RGPD.”
(Página 52 del Acuerdo de Inicio de Procedimiento Sancionador).

A la luz de lo anterior, cada insuficiencia mencionada, deriva acumulativamente, al
potencial incumplimiento del artículo 13 del RGPD, relativo al deber de información.

A estos efectos, no resulta admisible en Derecho la exposición efectuada por parte de
esa Agencia de dos infracciones derivadas de la ausencia de base legitimación
suficiente al no ser el consentimiento informado y, de forma simultánea, otra infracción
a causa de la ausencia de transparencia en la información otorgada. Al respecto, bien
es sabido por la AEPD que nuestra jurisprudencia ha reiterado en multitud de
ocasiones como principio fundamental del Derecho, que un mismo hecho no puede ser
sancionado en dos ocasiones.
La aplicación de este principio non bis in idem supone una imposibilidad manifiesta de
imponer dos o más sanciones administrativas, por un mismo hecho, siempre que se
produzca una identidad de hecho, sea atribuida a un mismo sujeto y se impongan
sobre la base de un común fundamento en lo que se refiere al bien jurídico protegido.

Por tanto, no cabe duda de que, en caso de ser aplicable la apreciación de la AEPD
de la comisión de una infracción por parte de EDP COMERCIALIZADORA de los
hechos expuestos referente a los artículos señalados, ésta requerirá el necesario
concurso de leyes aplicables. En este sentido, resulta esencial traer a colación lo
dispuesto en el artículo 29.5 de la LRJSP, que señala que: “Cuando de la comisión de
una infracción derive necesariamente la comisión de otra u otras, se deberá imponer
únicamente la sanción correspondiente a la infracción más grave cometida.”
Sin perjuicio de la escasa jurisprudencia derivada de dicho precepto, fruto de su
anterior regulación (Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el
Reglamento de Procedimiento para la Potestad Sancionadora), nuestros Tribunales
han predicado que, para la valoración del citado concurso, la normativa
“(…) exige, para la aplicación del concurso medial, una necesaria derivación de unas
infracciones respecto de las demás y viceversa” (Sentencia del Tribunal Supremo de 8
de febrero de 1999).

En aplicación de dicho precepto, constan sentencias favorables de la Sala de lo
contencioso-administrativo de la Audiencia Nacional que, en análisis de la materia que
nos ocupa, expuso que: “De acuerdo con ello, esta Sala considera que en el caso de
autos existe una conexión directa entre la vulneración del artículo 6 (tratamiento de
datos de carácter personal sin el consentimiento del afectado) y la vulneración de los
artículos 4.3 (tratamiento de datos inexactos), ambos de la LOPD. Conexión que se
pone de relieve por el hecho de que el tratamiento de los datos del denunciante sin su
consentimiento, se lleva a cabo únicamente en la comunicación mediante carta (de la
información sobre los movimiento del TPV de Cortefiel) a su antiguo domicilio, que es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/141

lo que da lugar a la denuncia presentada por él, y que al no corregirse (precisamente
porque dicho tratamiento incorrecto no tenía ningún reflejo económico ni contable en
dicho Banco), se mantiene en las distintas comunicaciones por carta realizadas. Es
decir, tal y como indica la parte actora en la demanda, resulta que el tratamiento que
ha consistido, exclusivamente, en incluir indebidamente unos datos del afectado en un
informe de operaciones que no se refieren a él, solo puede producirse sin mediar su
consentimiento, por lo que el tratamiento inconsentido de datos del articulo 6.1 LOPD
deriva necesariamente del tratamiento indebido o erróneo de los mismos (Art
4.3).Resulta por ello de aplicación al caso el citado artículo 4.4 del Reglamento para el
ejercicio de la potestad sancionadora, por lo que, al ser ambas infracciones de igual
gravedad, procede imponer una sola sanción 60.101,21 Euros, que se considera debe
ser en este caso la correspondiente a la infracción del principio de tratamiento no
consentido, en la que vendría a quedar embebida o subsumida la infracción del
principio de calidad del dato, ambas del artículo 44.3.d) LOPD.” (Sentencia de 19 de
noviembre de 2009, rec 338/2009)

A tenor de ello, aun a pesar de que resultaran de aplicación los preceptos de la
normativa precedente al RGPD y abarcara un escenario diferenciado, no cabe duda de
que la Audiencia Nacional apreció la procedencia de estimar la concurrencia de
infracciones sobre la base de un concurso medial entre las infracciones contempladas
en la normativa de protección de datos, cuando necesariamente la comisión de una
requiera la producción de la otra. A este respecto, dicha Audiencia manifiesta que,
existiendo una única acción de la que pudieran derivarse dos infracciones, solo puede
ser tenida en cuenta la de mayor gravedad. De igual modo que en el caso señalado,
en el que la obtención indebida de un dato ocasionó necesariamente un tratamiento de
datos inexacto, en el caso que nos ocupa, la consideración por parte de esta AEPD de
una obtención ilegítima por no atender los principios definidos por el RGPD para
determinar que el consentimiento es informado e inequívoco, ha de quedar subsumido
en la valoración pertinente al deber de informar, no cabiendo de modo alguno la doble
valoración señalada en el propuesta de sanción. No cabe, por tanto, como se ha
plasmado por parte de la AEPD en este procedimiento, aplicar distintos preceptos
normativos (artículos 6, 22 y 13 del RGPD) de forma independiente, para sancionar
sobre una potencial infracción directamente relacionada con el cumplimiento del deber
de información, debiendo en todo caso eliminarse las sanciones propuestas en el
Acuerdo de Procedimiento Sancionador.

D. FALTA DE PRUEBAS FEHACIENTES PARA LA IMPUTACIÓN DE LA INFRACCIÓN
Y CORRESPONDIENTE IMPOSICIÓN DE LA SANCIÓN.

En preciso traer a colación el principio inquisitivo o de oficialidad dominante en el
procedimiento administrativo, el cual implica que es la autoridad administrativa la
obligada a proceder a la verificación de los hechos alegados mediante la práctica ex
oficio de las pruebas pertinentes, predominando así el principio de verdad material. Así
pues, en el procedimiento administrativo es requisito imprescindible que todas las
afirmaciones efectuadas se sometan a la confrontación con los hechos, recayendo
sobre la autoridad competente la acreditación de los mismos, en aras a garantizar la
seguridad jurídica exigida con el único objetivo de dar cumplimiento a los fines de la
Administración Pública.
Asimismo, es pertinente señalar lo dispuesto en el artículo 53 de la Ley 39/2015 de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/141

en cuanto a la presunción de inocencia y la no existencia de responsabilidad mientras
que no se demuestre lo contrario.
A mayor abundamiento, debe hacerse referencia a la Sentencia del Tribunal
Constitucional 76/1990, de 26 de abril de 1990, Rec/695/1985 que delimita el alcance
y respeto a la presunción de inocencia en el procedimiento sancionador y que señala
lo siguiente: “En efecto, no puede suscitar ninguna duda que la presunción de
inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada
en la imposición de cualesquiera sanciones, sean penales, sean administrativas en
general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas
manifestaciones está condicionado por el art. 24,2 CE al juego de la prueba y a un
procedimiento contradictorio en el que puedan defenderse las propias posiciones. En
tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté
basada en actos o medios probatorios de cargo o incriminadores de la conducta
reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté
obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de
las pruebas, practicadas, libremente valorado por el órgano sancionador, debe
traducirse en un pronunciamiento absolutorio.

Asimismo, tampoco podemos afirmar que la actividad probatoria desarrollada por la
Administración pueda ser considerada de cargo, y, para el caso de que este órgano
así lo considere, (STS de 18 de diciembre de 2000- RJ 2000/92) la misma ha quedado
plenamente desvirtuada por medio de las afirmaciones efectuadas por esta parte, así
como por medio de los documentos que se adjuntan con la presente demanda.

De igual modo, debe ponerse de manifiesto la línea jurisprudencial seguida por
Tribunal Constitucional en su sentencia de 20 de febrero de 1989, en relación con los
principios y garantías del procedimiento judicial penal aplicables al procedimiento
administrativo sancionador y, que indica " Nuestra doctrina y jurisprudencia penal han
venido sosteniendo que, aunque ambos puedan considerar como manifestaciones de
un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción
de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas
o cuando las practicadas no reunión las garantías procesales y el principio
jurisprudencial in dubio pro reo que pertenece al momento de la valoración o
apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad
probatoria indispensable, exista una duda racional sobre la real concurrencia de
elementos objetivos y subjetivos que integran el tipo penal de que se trate”

Respecto a tales criterios, se ha pronunciado la Agencia Española, acordando el
archivo de actuaciones (E/04684/2017) e indicando a tenor literal lo siguiente:

“(…) Por ello es obligado reseñar en relación con el principio de presunción de
inocencia que, al Derecho Administrativo Sancionador, por su especialidad, le son de
aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del
orden penal, resultando clara la plena virtualidad de este principio de presunción de
inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990, considera
que el derecho a la presunción de inocencia comporta “que la sanción esté basada en
actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que
la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar
su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas
practicadas, libremente valorado por el órgano sancionador, debe traducirse en un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/141

pronunciamiento absolutorio”. De acuerdo con este planteamiento, hay que tener en
cuenta que sólo podrán ser sancionados por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas que resulten responsables de los
mismos a título de dolo o culpa” (…) En definitiva, la aplicación del principio de
presunción de inocencia impide imputar una infracción administrativa cuando no se
haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los
hechos que motivan esta imputación. (…)
Por último, reseñar la Sentencia de fecha 25 de mayo de 2001, dictada en recurso
contencioso administrativo por esta Audiencia Nacional, al número 29/2000, se
pronuncia respecto a la imposición de una sanción con base en una presunción
realizada por parte de la Agencia, y dictamina que “(…)la Sala, como pasamos a
razonar, de la valoración de la prueba obrante en el expediente administrativo llega a
la conclusión que no ha quedado debidamente acreditado este hecho integrador del
tipo, es decir no se prueba que el Banco entregara al Sr... el respectivo extracto,
suscitándole este hecho concreto serias dudas, frente a la exigible certidumbre”. Y
concluye afirmando que sin negar que pudieron producirse los hechos como indica la
denunciante, tampoco puede rechazarse la posibilidad que el extracto no le fuera
entregado al marido por el Banco, sino que aquel lo obtuviera aprovechando alguna
visita al domicilio o mediante la actuación de algún familiar, dicho ello en términos de
pura hipótesis”.

En este mismo sentido se pronunció el Tribunal Superior de Justicia de Madrid en
Sentencia de 21/02/2001, en la que señala que “La única prueba de cargo, de la que la
APD infiere la responsabilidad de la recurrente, es el hecho de que fuera el ex marido
de Dña... quien suministrara al abogado dicho extracto que fue aportado al incidente
de modificación de medidas, debiendo convenirse con la recurrente que la tenencia del
extracto, a juicio de esta Sala, es una prueba indiciaria insuficiente para destruir su
presunción de inocencia pues, ciertamente, dicho extracto pudo llegar a la posesión de
D... por conductos distintos de su entrega directa por parte de la entidad bancaria, por
lo que no quedando acreditada ninguna de estas hipótesis, esta duda razonable
acerca de la forma en la que el ex marido obtuvo el extracto de la cuenta de la
denunciante ha de operar siempre en beneficio de la sancionada, procediendo, en
consecuencia, estimar su pretensión de anulación de la sanción impuesta por falta de
prueba bastante de la participación de la recurrente en la entrega del extracto bancario
a persona distinta de la titular de la cuenta” En definitiva, apreciando los diversos
criterios que ha tenido en cuenta el organismo competente en materia de protección
de datos a la hora de llevar a cabo el archivo de actuaciones en aquellos supuestos en
los que se considera que existe falta de prueba y en los cuales, se han seguido las
líneas jurisprudenciales reseñadas, esta parte considera que no se han protegido las
garantías jurídicas que todo procedimiento debe respetar.

E. FALTA DE FUNDAMENTACIÓN JURÍDICA

Tal y como hemos expuesto a lo largo del presente escrito, las supuestas infracciones
cometidas por mi representada, no han tenido lugar, por lo que ni se ha materializado,
ni existe posibilidad alguna de que EDP COMERCIALIZADORA haya infringido los
mencionados artículos siguiendo lo alegado por la AEPD en el Acuerdo de Inicio de
Procedimiento Sancionador.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/141

Es preciso señalar que todo procedimiento sancionador y en su caso, la sanción
resultante, debe ser motivada, fundamentada, y aún más determinante, ha de cumplir
con el debido principio de legalidad, tipicidad. A raíz de este aspecto se trae a colación
la Sentencia del Tribunal Superior de Justicia de Cataluña, número 870/2019,
Rec:454/2016, del que extraemos lo siguiente:
“La debida efectividad del principio de tipicidad en materia sancionadora administrativa
cuya exigencia ciertamente deriva de nuestro ordenamiento administrativo
sancionador, también en materia tributaria, como manifestación esta de las garantías
formal y material que se contienen en el principio constitucional de legalidad
sancionadora ex artículo 25.1 de la Constitución, y que antes recogía el artículo 129 de
la ya derogada Ley 30/1992, de 26 de noviembre, de régimen jurídico de las
administraciones públicas y del procedimiento administrativo común , aplicable al
presente caso supletoriamente por razones temporales (y hoy el artículo 27 de la Ley
40/2015 ), así como en este específico orden tributario el artículo 178 de la Ley
58/2003, General Tributaria, atendido el contenido implícito del mencionado precepto
constitucional ( artículo 25.1 de la Constitución ), pese a su notable laconismo
( sentencia del Tribunal Constitucional número 34/1996, de 11 de marzo ), en el que se
ha destacado la denominada garantía material del principio de legalidad (entre otras, y
ya desde la sentencia del Tribunal Constitucional 42/1987, de 7 de abril , las
sentencias del Tribunal Constitucional 3 , 11 , 12 , 100 y 101/1988, de 8 de junio , 161 ,
200 y 219/1989, de 21 de diciembre , 61/1990, de 29 de marzo , 207/1990, de 17 de
diciembre , 120 y 212/1996 , 133/1999, de 14 de julio , 142/1999, de 22 de julio , y 60 y
276/2000, de 16 de noviembre ), que se identifica con el tradicional principio de
tipicidad de las faltas y sanciones administrativas y que exige una determinación
normativa previa y cierta de la concreta conducta o conductas que por acción u
omisión se estimen constitutivas de una falta o de un ilícito administrativo, con
prohibición de cualquier interpretación analógica o extensiva in malam partem
( sentencia del Tribunal Constitucional 125/2001, de 4 de junio , con cita de las
sentencias del Tribunal Constitucional 81/1995, de 5 de junio , 34/1996, de 11 de
marzo , 64/2001, de 17 de marzo , y 113/2002, de 9 de mayo ), siendo asimismo
doctrina jurisprudencial ya bien consolidada la que enseña que en el ejercicio de su
potestad administrativa sancionadora la administración sancionadora actuante no
responde, propiamente, al ejercicio de una potestad administrativa de esencia o de
tendencia discrecional sino predominantemente reglada para la aplicación a cada caso
concreto del marco normativo sancionador preestablecido con carácter general en el
ordenamiento jurídico sancionador aplicable, lo que comporta, ya de entrada, la
exigencia de la necesaria adecuación y rigor en la calificación de los hechos
imputados y en su incardinación puntual y adecuada subsunción en el tipo infractor
legalmente definido para su corrección, de tal forma que lo contrario, ciertamente,
resultaría determinante de violación del derecho fundamental subjetivo antes ya
apuntado y a todos reconocido por el vigente texto constitucional ex artículo 25.1 de la
Constitución ( sentencias del Tribunal Constitucional 77/1983, de 3 de octubre , y
3/1988, de 21 de enero ), que por ser susceptible de amparo constitucional haría
incurrir a una eventual actuación administrativa sancionadora infractora del mismo en
el vicio de nulidad de pleno derecho antes previsto por el artículo 62.1. a ) de la
repetida Ley 30/1992 , aplicable al caso por razones temporales (hoy artículo 47.1. a )
de la Ley 39/2015)”

A mayor abundamiento, el artículo 89 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, que recoge lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/141

siguiente: 1. El órgano instructor resolverá la finalización del procedimiento, con
archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de
resolución, cuando en la instrucción procedimiento se ponga de manifiesto que
concurre alguna de las siguientes circunstancias: a) La inexistencia de los hechos que
pudieran constituir la infracción. b) Cuando los hechos no resulten acreditados. c)
Cuando los hechos probados no constituyan, de modo manifiesto, infracción
administrativa. d) Cuando no exista o no se haya podido identificar a la persona o
personas responsables o bien aparezcan exentos de responsabilidad. e) Cuando se
concluyera, en cualquier momento, que ha prescrito la infracción. En el presente
supuesto, concurren tanto la a), la b) como c) motivo por el cual, no cabría por tanto
continuar con el procedimiento sancionador iniciado, debiendo resolver en su caso el
archivo de las actuaciones, petición que exponemos ante la AEPD con carácter
reiterado, ya que tal y como queda evidenciado en el presente escrito ni se han
cometido los hechos infractores, ni se fundamenta debidamente las supuestas
conductas infractoras, ni la interpretación y sanciones propuestas por la AEPD quedan
motivadas.

DECIMOSEGUNDO: Recibidas las alegaciones formuladas por EDP
Comercializadora, S.A.U. al acuerdo de inicio del procedimiento de referencia,
advertido que en documento adjunto a las mismas denominado “anexos 1, 2 y 4“ se
expone que “dadas las limitaciones técnicas de la sede electrónica para la
presentación del contenido de los anexos 1, 2 y 4, estos se presentan por medio de un
enlace a una carpeta”, indicando un enlace a un sitio web y una contraseña, mediante
escrito, de fecha 3 de octubre de 2020, se concede un plazo de 5 días hábiles para
presentar la documentación que consta en dicho documento en el Registro de esta
Agencia a través de la Sede Electrónica, a los efectos de que quede constancia
registral de la documentación presentada, de su procedencia y de su integridad.

Con fecha 8 de octubre de 2020, se presentan a través del Registro de esta Agencia
los siguientes documentos:

Anexo 1:
- Anexo.1.a) Metodología de análisis de riegos y realización de Días
- Anexo 1.b) RAT contratación EDPC
- Anexo 1.c) Evaluación de riesgos RAT- Contratación EDPC
- Anexo 1.e) Evaluaciones de impacto -Valoraciones de Riesgos
- Anexo 1.f) Evaluaciones de impacto- Informes

Anexo 2:
- Metodología_Privacy by Design by Default de EDP
- Instrucción Operativa Privacy by Design & Privacy by Default
- Formulario Privacy by Design & Privacy by Default
- Flujograma Procedimiento Privacy By Design.

Anexo 4:

- Ejemplos de solicitudes de ejercicio de derechos.

En lo que respecta a dichos documentos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/141

- Se aporta una metodología de análisis de riesgos, cuyo histórico de
versiones data la versión 1.0 el 24/11/2017, indicando en las notas de
revisión que es una “versión inicial-documento de trabajo” y la versión 1.1 se
fecha el 11/05/2108 indicando las notas de revisión “revisión previa a la
aplicación del RGPD”. No consta que se haya realizado ninguna revisión
posterior. Se aportan diversos anexos, cuya fecha no consta, en concreto
estos anexos son los siguientes: 1.b) RAT contratación EDPC
- Anexo 1.c) Evaluación de riesgos RAT- Contratación EDPC
- Anexo 1.e) Evaluaciones de impacto -Valoraciones de Riesgos
- Anexo 1.f) Evaluaciones de impacto- Informes

El documento contenido en el anexo 1.b RAT, contratación EDPC, cuya fecha no
consta, incluye una finalidad de tratamiento no incluida en el Registro de actividades
de tratamiento remitidas a esta Agencia con fecha 17 de junio de 2020. En concreto
dicho tratamiento que ahora se incluye tiene el siguiente contenido:
Responsable: EDP Comercializadora S.A.U.
Finalidad del tratamiento: “Realización de Scoring de clientes del segmento B2C previo
a la contratación”,
Descripción: “Realización de Scoring de clientes del segmento B2C previo a la
contratación de acuerdo a la deuda pendiente interna e información de ficheros de
solvencia (ASNEF).”
Categoría de los titulares de los datos: “Clientes y clientes potenciales.”
Categoría de datos personales tratados: “Datos identificativos y datos económicos.”
Base legal para la realización del tratamiento: “Satisfacción de intereses legítimos.”
Plazo de conservación de los datos personales: “5 años desde la finalización de la
relación contractual. La deuda cierta, vencida y exigible derivada de la ejecución del
contrato se mantendrá hasta su cancelación o el plazo de prescripción de las acciones
legales pertinentes de recobro.”
Cesiones de datos (destinatarios datos, diferentes a los encargados del tratamiento):
“ASNEF es corresponsable de tratamiento, según deberá recoger el acuerdo firmado
con ASNEF.”
Categorías encargados tratamiento: La casilla no tiene contenido.
Transferencia internacional de datos: No

El anexo 1.c) bajo el nombre “Evaluación de Riesgos RAT- Contratación EDPC”, cuya
fecha tampoco se refleja en el documento, contiene un análisis de riesgos, en forma
de matriz, igual al presentado en fecha 17 de junio de 2020, si bien se han añadido
dos columnas bajo el título el “tratamiento requiere PIA”, las dos tituladas “Nº de
criterios EDP-W29”, en la primera se indica un número que parece corresponderse con
su título y en la segunda se indica la necesidad de efectuar una evaluación de
impacto. En dicha matriz aparece también un nuevo tratamiento cuya finalidad es la
“Realización de Scoring de clientes del segmento B2C previo a la contratación”.

Se aportan diversos documentos titulados evaluaciones de impacto, cuya fecha
tampoco consta, estas evaluaciones de impacto son las siguientes:
-Evaluación de riesgos realización de Scoring de clientes B2C previo a la contratacion,
en el que entre otras amenazas se indican las siguientes:
-“la base que legitima el tratamiento no es adecuada, es ilícita o no se ha formulado
adecuadamente”, cuyo probabilidad se fija como alta, con un impacto calificado como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/141

muy alto y resultando el riesgo inherente Alto. En cuanto a los controles implantados
frente a dicha amenaza se señala que “la base legal del tratamiento es satisfacer un
interés legítimo (prevención del fraude)”.
–“En el momento de la recogida de los datos no se proporciona la información mínima
prevista a la persona o no se le proporciona ninguna información.” En este supuesto
se considera que “no aplica” ni la probabilidad ni el impacto, ni existe un riesgo
inherente, siendo los controles la “cláusula de Protección de datos incluida en el
contrato firmado con el cliente con toda la información requerida por el RGPD” y la
“información facilitada al cliente previamente a la realización del proceso de scoring”

-Evaluación de canal leads a convertir por telemarketing
-Evaluación de riesgos Telemarketing upselling y abandonos
-Evaluación de riesgos canal CAC a clientes o clientes potenciales (inbound)
-Evaluación Canal OOCC clientes y potenciales clientes
- Evaluación de riesgos canal tiendas ajenas para venta a clientes potenciales.
En todas estas evaluaciones de impacto se contemplan como amenazas entre otras
muchas, las relativas a que “la base que legitima el tratamiento no es adecuada, es
ilícita o no se ha formulado adecuadamente” y “en el momento de la recogida de los
datos no se proporciona la información mínima prevista a la persona o no se le
proporciona ninguna información” En ambos casos se valora la probabilidad como alta,
el impacto como muy alto y el riesgo inherente alto. Se mencionan los controles
adoptados, referidos a la base legitimadora del tratamiento en el primero de los casos
y “cláusula de Protección de datos incluida en el contrato firmado con el cliente con
toda la información requerida por el RGPD” en el segundo. Se describen entre los
controles en curso para ambas amenazas en todos los canales, excepto en el canal
OOCC, “la implantación de un nuevo procedimiento de contratación a través de
representante, incorporando el envío de un mensaje SMS/Email a través del cual se
facilita la información básica necesaria en materia de protección de datos al titular del
contrato.”
No se expresa la fecha en que se incorporaron las actuaciones en curso a las
correspondientes evaluaciones de impacto.

DECIMOTERCERO: Con fecha 11/03/2021, se emitió propuesta de resolución en el
sentido siguiente:

PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a la entidad EDP COMERCIALIZADORA, S.A.U, por una infracción del
artículo 25 del RGPD, tipificada en el artículo 83.4.a) y calificada como grave a efectos
de prescripción en el artículo 73.d) de la LOPDGDD, con una multa por importe de
500.000 euros (quinientos mil euros).

SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a la entidad EDP COMERCIALIZADORA, S.A.U, por una infracción del
artículo 13 RGPD, tipificada en el artículo 83.5.b) y calificada como leve a efectos de
prescripción en el artículo 74.a) de la LOPDGDD, con una multa por importe de
1.000.000 euros (un millón de euros).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/141

TERCERO: Que, por falta de evidencias, en aplicación del principio de presunción de
inocencia, se declare no imputables a EDP COMERCIALIZADORA, S.A.U., las
infracciones de lo establecido en los artículos 6 y 22 del RGPD.

DECIMOCUARTO: Notificada a la entidad EDP COMERCIALIZADORA, S.A.U. la
citada propuesta de resolución, dicha entidad presentó con fecha 15/03/2021 escrito
en el que se solicitaba ampliación de plazo para formular alegaciones. Concedida la
ampliación de plazo, con fecha 07/04/2021 se recibió en esta Agencia escrito de
alegaciones, en el que se solicita que se acuerde el archivo del procedimiento
sancionador o, subsidiariamente, la reducción sustancial de cada sanción propuesta a
su cuantía mínima o su substitución incluso, por el apercibimiento, en su caso. Basa
sus peticiones en las consideraciones que resumidamente se exponen a continuación:

ADQUISICIÓN DE LA SOCIEDAD OBJETO DE EXPEDIENTE SANCIONADOR. Con
carácter preliminar y con fines aclaratorios, EDP COMERCIALIZADORA pone en
conocimiento de esta Agencia que, con fecha 1 de diciembre de 2020, Total Gaz
Electricité Holdings France (“Grupo Total”) adquirió el 100% de las acciones de EDP
COMERCIALIZADORA. Como consecuencia de lo anterior, se ha llevado a cabo la
migración de la página web www.edpenergia.es a un nuevo dominio transitorio
(www.edp-residencialbytotal.es) y se han modificado las cuentas de correo electrónico
que anteriormente estaban bajo el dominio @edpenergia.es.

PRIMERA.- PRESUNTO INCUMPLIMIENTO DEL ARTÍCULO 25 DEL RGPD:

(i) El proceso de contratación por medio de representante es conforme a la
normativa:

Se reiteran aquí los argumentos expuestos en las alegaciones a la propuesta de
resolución, relativas a la libertad de forma del contrato de mandato conforme a lo
previsto en el código civil, en particular se insiste en que “En este supuesto, no parece
que tan amplia libertad de forma sea compatible con la obtención de una evidencia de
la existencia de la representación o el mandato, más allá de las manifestaciones del
mandatario, amparada en la buena fe contractual. Igualmente, resulta poco
comprensible que se requiera de un consentimiento separado para el tratamiento de
sus datos o una confirmación del encargo por parte del mandante, dado que esto
implicaría desnaturalizar la representación, por cuanto sería absurdo que quien es
designado para la celebración de un contrato en favor de un tercero no pueda facilitar
los datos de la persona por cuya cuenta actúa, o que sea necesaria la confirmación
separada de ésta para autorizar dicha comunicación, puesto que la necesidad de
dirigirse directamente al representado haría inútil la intervención del representante,
pues la misma carecería de sentido. (el subrayado es de la propia entidad que formula
las alegaciones)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/141

Ciertamente, el artículo 1725 del Código Civil prevé que el tercero pueda solicitar al
mandatario que le dé conocimiento de sus poderes para determinar si la contratación
está dentro del perímetro de los mismos o si está asumiendo el riesgo de que el
mandante no ratifique a posteriori la actuación del mandatario. Pero esta regulación se
traduce en una carga para el mandatario, no para el tercero, puesto que los intereses
que se trata de salvaguardar son los de éste, y no los del mandatario ni tampoco los
del mandante. Por lo tanto, para el tercero resulta facultativo pedir al mandatario que le
dé conocimiento de los poderes con que dice obrar.

En la visión que maneja la AEPD en la Propuesta de Resolución, esa obligación
estaría encaminada, sin embargo, no a proteger el interés del tercero en cuanto al
objeto de la contratación hecha por el mandatario, sino a preservar el interés del
mandante en lo relativo a la legitimación del mandatario para expresar la voluntad del
mandante a propósito del tratamiento de sus datos personales por parte del tercero.
Sin embargo, esa consecuencia no se puede extraer de la regulación del Código Civil
en materia del contrato de mandato, en la que –como acabamos de ver– el interés a
proteger con la exhibición de poderes del mandatario es estrictamente el del tercero, y
no el del mandante, el cual, en el esquema del Código Civil, queda salvaguardado a
través de la facultad de ratificación, cuyo otorgamiento o no queda siempre en manos
del mandante.

De manera que los riesgos a los que alude la Propuesta de Resolución (“se pueden
generar diversos riesgos pudiendo mencionarse, a título de ejemplo, el consistente en
un tratamiento de datos del representado sin legitimación, el riesgo de suplantación de
identidad o los perjuicios económicos o de otro tipo que se puedan ocasionar al
interesado”) no son tales: en caso de que el mandatario se haya extralimitado en el
ejercicio del mandato, el mandante no estará vinculado por esa actuación, salvo
ratificación posterior suya, de donde ningún perjuicio podrá realmente sufrir a menos
que acepte – expresa o tácitamente– lo hecho por el mandatario a posteriori

A partir de aquí, y en tanto potestad facultativa del tercero que contrata con el
mandatario, si y cómo ejercite el tercero esa facultad depende de su voluntad y de las
circunstancias de la contratación. En este sentido, el dato de que en la contratación en
el canal de oficinas comerciales propias EDP COMERCIALIZADORA requiera al
representante una acreditación de su condición de tal, no prueba absolutamente nada,
a diferencia de lo que dice la Propuesta de Resolución. Dado que EDP
COMERCIALIZADORA, como tercero que contrata con el autorizado, goza de la
facultad de realizar o no esa comprobación, el que la realice en unas ocasiones y no
en otras, o el que no la realice igual en todos los canales de contratación, no es fuente
de ninguna obligación –que no viene impuesta ni por ley ni por contrato– sino simple
manifestación del ejercicio de un permiso.

A nivel doctrinal y jurisprudencial está admitido el ejercicio de derechos de la
personalidad a través de la representación voluntaria, en particular cuando se trata de
articular la autorización ad hoc para actos de intromisión concretos1. Esa posibilidad
se debe entender reforzada cuando el mandato para el ejercicio de un derecho de la
personalidad está ligado al apoderamiento para celebrar un contrato, del cual dicho
ejercicio es un elemento condicionante o complementario. Así, el agente o
representante de un artista mandatado para celebrar en nombre de su representado
un contrato de arrendamiento de servicios para actuar en una sala de conciertos o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/141

grabar un disco, aparece comúnmente mandatado para autorizar al organizador del
espectáculo o a la compañía discográfica para el uso de la voz e imagen del artista.

Análogamente, los autorizados para contratar con EDP COMERCIALIZADORA en
nombre de otra persona, aparecen en primer lugar como sujetos mandatados para la
concertación del contrato de suministro, y de manera concomitante, porque se trata de
un factor inherente a la propia contratación, lo están también para autorizar el empleo
y tratamiento de los datos personales de sus representados. En este sentido, resulta
necesario destacar que no cabe duda de que el tratamiento de los datos del
representado que sea necesario para la ejecución del contrato del que el representado
pasa a ser parte, debe considerarse un tratamiento plenamente lícito a la luz del
artículo 6.1.b) del RGPD.

Pero además, en tanto cabe establecer que el mandatario goza de legitimación para
tomar todas las decisiones pertinentes en el marco del proceso de contratación para el
que ha sido apoderado, el consentimiento que dicho mandatario preste sobre el
tratamiento de datos del representado y que EDP COMERCIALIZADORA recabe para
uno o varios fines específicos en el marco del proceso de contratación, permite
considerar igualmente lícito el tratamiento de los datos así obtenidos ex artículo 6.1.a)
del RGPD o cualquier otra base de legitimación. Y es que, quien contrata en nombre
de otro –una vez asumido que actúa en condición de tal– debe poder prestar los
mismos consentimientos en materia de datos personales que el propio interesado si
fuera éste quien celebrara la contratación, y esto tanto si el contrato se celebra in situ
en una oficina comercial como si se celebra por vía telefónica.

Debe concluirse, en contra de lo que señala la AEPD en la Propuesta de Resolución,
que:
(i) EDP COMERCIALIZADORA no está obligada a efectuar con los terceros
autorizados que contratan a través del canal telefónico o fuerzas de venta
externas ninguna comprobación sobre la existencia y alcance de su
mandato, ni a fortiori esa comprobación tiene por qué ser análoga a la que
eventualmente realice con los que contratan a través de oficinas
comerciales propias;
(ii) (ii) en el poder para contratar el servicio a través de tercero autorizado
reside el poder para prestar los consentimientos inherentes al proceso de
contratación, incluidos los relativos al tratamiento de datos personales;
(iii) y (iii) no cabe poner en cuestión la licitud del tratamiento por parte de EDP
COMERCIALIZADORA de los datos personales de quienes contratan con
ella a través de un tercero autorizado, sea a través de oficinas comerciales
propias o por medio del canal telefónico o a través de fuerzas de venta
externas, por el simple hecho de haber contratado a través de un tercero
autorizado, en tanto que la base jurídica del tratamiento de los datos
personales de una persona que actúa por medio de representación debería
ser la misma que cuando actúa en su propio nombre.

(ii) EDP COMERCIALIZADORA ha evaluado correctamente los riesgos reales e
implementado las medidas mitigadoras adecuadas.

Reitera que las evaluaciones de riesgos aportadas en el presente procedimiento son
acordes a la normativa de protección de datos y a las guías de la AEPD, vigentes en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/141

momento de realización de los análisis, e identifican los riesgos reales aplicables a los
distintos procesos de contratación.

La AEPD, en su Propuesta de Resolución, alude a unos riesgos hipotéticos o teóricos
que cita, además, a mero título ejemplificativo y de los que no ofrece mayor detalle o
explicación.
Como se ha explicado en el punto anterior y en las Alegaciones al Acuerdo de Inicio,
estos riesgos son inexistentes o carecen de una entidad suficiente para su
consideración. Así, puede afirmarse frente al listado contenido en la Propuesta de
Resolución–sin carácter exhaustivo puesto que la lista de la AEPD es a mero título
ejemplificativo–, entre otros: (i) que no existe un riesgo de suplantación de identidad en
tanto que existe representación y mandato, (ii) que no existe perjuicio económico para
los interesados en tanto que el coste lo asume EDP COMERCIALIZADORA en todo
caso; o (iii) que no existe riesgo de falta de base de legitimación en tanto que EDP
COMERCIALIZADORA puede asumir, conforme a la legislación civil antes mencionada
y de acuerdo con el marco jurídico aplicable a estas contrataciones, la existencia de
autorización al mandatario para el tratamiento de datos y (iv) que, en caso de
extralimitación, los intereses del mandante están salvaguardados por su derecho a
ratificar o no lo actuado por el mandatario fuera de los límites del mandato.

Por este motivo, EDP COMERCIALIZADORA ha evaluado correctamente los riesgos
reales propios de los distintos canales de contratación de conformidad con un análisis
jurídico sólido -y respaldado doctrinal y jurisprudencialmente- de la figura del mandato
en el ordenamiento jurídico español y ha implementado las medidas mitigadoras
adecuadas en relación con tales riesgos. El análisis de riesgos efectuado es, por tanto,
coherente y fue realizado conforme al instituto jurídico del mandato civil y su
jurisprudencia.

En la medida que la coherencia del análisis efectuado ha quedado acreditada, la
AEPD deberá valorar el análisis conforme a estos criterios civiles consolidados o, si
por el contrario la AEPD considera que debe adoptarse un criterio jurídico distinto y
contrario al de la normativa civil y su jurisprudencia asentada, deberá fundamentar de
alguna manera su base jurídica con el fin de permitir a EDP COMERCIALIZADORA su
comprensión y defensa. En todo caso, la interpretación del mandato por parte de EDP
COMERCIALIZADORA conforme a la normativa, jurisprudencia y doctrina civilista
-incluida la relativa a derechos de la personalidad- debe interpretarse hecha de buena
fe y excluye cualquier culpabilidad por su parte.

(iii) La contratación por medio de representante constituye una proporción muy
minoritaria del total de contrataciones que realiza EDP COMERCIALIZADORA.

Es imprescindible señalar que la contratación por medio de representante constituye
una parte minoritaria del total de contrataciones que realiza EDP
COMERCIALIZADORA. En concreto, del total de contrataciones que EDP
COMERCIALIZADORA realizó en 2019, menos del 13% corresponde a contrataciones
por medio de representantes de las cuales en menos del 1,8% el representante y el
representado no tendrían una relación de parentesco.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/141

Por ello, cuando la AEPD manifiesta que el procedimiento de contratación de EDP
COMERCIALIZADORA vulnera el principio de protección de datos desde el diseño, lo
hace erróneamente, dicho sea en estrictos términos de defensa, como si el
procedimiento de contratación en su totalidad vulnerara dicho principio. Más aún, a la
hora de cuantificar la sanción, la AEPD se refiere al volumen de facturación global de
EDP COMERCIALIZADORA para cuantificarla, cuando debería tener en cuenta
exclusivamente, y en su caso, los datos de facturación (volumen) generados por el
eventual incumplimiento alegado -relativo exclusivamente a la contratación por
representación-.

Téngase en cuenta, además, que, en todo caso, la AEPD podría haber invocado el
artículo 83.2.k) del RGPD y el artículo 76.2.(c) de la LOPDGDD (“los beneficios
obtenidos como consecuencia de la comisión de la infracción”) para graduar la sanción
propuesta. Por tanto, en el hipotético y eventual caso de que se considerara infringido
el artículo 25 del RGPD, el máximo volumen de negocio obtenido por EDP
COMERCIALIZADORA a tener en cuenta debiera ser 2.550.000 euros
aproximadamente, que es la cuantía obtenida “como consecuencia de la [eventual]
infracción”, esto es, en la contratación por representación, y no en el global de
contratación. En este sentido, el volumen de negocio anual de la contratación a través
de representante supondría un 0,26% (aproximadamente) del volumen de negocio
total anual de toda la cartera de clientes de EDP COMERCIALIZADORA. Asimismo, la
sanción que esta Agencia propone imponer a EDP COMERCIALIZADORA por esta
infracción presupone un 20% del volumen de negocio de la contratación a través de
representante. Dado que el beneficio es muy inferior al volumen de negocio, la sanción
propuesta sería desproporcionada en relación con el mismo

En un procedimiento administrativo de naturaleza sancionadora, contando como hacía
la AEPD con criterios cuantificadores objetivos y suficientes en relación con el volumen
(marginal) que supone la representación, es especialmente relevante el cumplimiento
de los principios de proporcionalidad de la sanción y legalidad y debería, por tanto,
haberse tenido en cuenta: (i) Que la parte que corresponde a los procedimientos de
contratación por representación es una parte pequeña y muy limitada del
procedimiento global de contratación de EDP COMERCIALIZADORA, y, por ello, debe
tenerse en cuenta la escasa magnitud de la contratación que tiene el uso de este tipo
de contratación en EDP COMERCIALIZADORA, siendo un tipo de contratación
minoritario. Además, tal y como consta en la información aportada en el presente
procedimiento, existe una única reclamación ante la Agencia durante los años 2018-
2019 (respecto de un total de 33.848 contrataciones realizadas por medio de
representante), lo cual refleja la escasa relevancia y materialización de los riesgos
atribuidos por la AEPD al proceso de contratación implantado por EDP
COMERCIALIZADORA.

Que la propuesta de sanción de la AEPD de quinientos mil (500.000) euros ha sido
realizada en la Propuesta de Resolución erróneamente por atender a un factor no
previsto en la normativa (el volumen de negocio y la condición de gran empresa) y por
tener en cuenta el volumen de contratación y los beneficios globales de EDP
COMERCIALIZADORA -que incluyen tanto contratación directa (mayoritaria) como
contratación por representación (minoritario)-, que nada tiene que ver “los beneficios
obtenidos como consecuencia de la comisión de la infracción” a los que se refiere
expresamente el artículo 83.2.k) del RGPD y el artículo 76.2.(c) de la LOPDGDD -los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/141

cuales representarían un 0,26% del volumen de negocio-. Por tanto, de forma
subsidiaria y en el hipotético caso de que la AEPD cuestione la validez del mandato
civil para los procedimientos de contratación y declare cometida la infracción, la
cuantificación de la eventual sanción debería corregirse significativamente para tener
en cuenta el volumen real de negocio generado por la contratación por representación
exclusivamente.

Todo lo anterior deja patente la desproporcionalidad de la sanción propuesta en la
Propuesta de Resolución

En último lugar y sin perjuicio de lo anterior, pese a que EDP COMERCIALIZADORA
no considera que su actuación merezca reproche jurídico alguno, en atención a las
sugerencias manifestadas por la AEPD, EDP COMERCIALIZADORA informa a la
AEPD de que ha procedido a reforzar el proceso de contratación por medio de
representante en línea con el protocolo que ya se aportó a la AEPD en fecha 16 de
julio de 2020. Este protocolo, que se presentó a la AEPD de forma voluntaria y antes
del inicio del presente procedimiento sancionador, tenía como finalidad precisamente
colaborar con esta Agencia para alcanzar un procedimiento acordado en materia de
representación y que satisficiera las propuestas que pudiera tener la AEPD.

En las Alegaciones al Acuerdo de Inicio, EDP COMERCIALIZADORA respondió
además a las dudas planteadas por la AEPD en cuanto a su contenido e
implementación y confirmó que se trata de un procedimiento con doble verificación por
SMS y en cumplimiento de los mejores estándares del mercado. A estos efectos, la
AEPD debe tener en cuenta: (i) que EDP COMERCIALIZADORA contactó
proactivamente en julio de 2020, sin éxito, con la AEPD para presentar un nuevo
protocolo que proponía cambios en el procedimiento de contratación por
representación. Lejos de poder considerarse, como hace la Propuesta de Resolución,
negativamente y en contra de EDP COMERCIALIZADORA, esa proactividad como
signo de reconocimiento de culpa -los argumentos de licitud ya han sido manifestados
anteriormente-, la propuesta de cooperación con la AEPD debería valorarse como un
signo de buena fe y del firme compromiso de EDP COMERCIALIZADORA con el
cumplimiento de la normativa de protección de datos y la mejora de sus procesos así
como una circunstancia atenuante en la graduación de la sanción (artículo 83.2.f) del
RGPD);

(ii) que pese a no obtener respuesta distinta de la apertura del presente
procedimiento, EDP COMERCIALIZADORA a la luz de los comentarios de la AEPD en
el Acuerdo de Inicio y la Propuesta de Resolución, ha eliminado de su procedimiento
de contratación por representación la posibilidad de solicitar consentimientos para
finalidades de marketing y comerciales a los que se refiere la AEPD en las páginas
112, 113 y 114 de la Propuesta. Se adjuntan como Documentos nº 1 y nº 2 ejemplo de
contrato y script de locución para el canal telefónico que evidencian esta eliminación.
En la medida que EDP COMERCIALIZADORA ha adoptado medidas para ajustar su
procedimiento a las propuestas de la AEPD, esta circunstancia, conforme al artículo
83.2.c) del RGPD también debe ser considerada como una circunstancia atenuante
para la graduación de una eventual sanción, y

(iii) que EDP COMERCIALIZADORA confirma a la AEPD que el nuevo protocolo -con
el contenido comunicado en julio de 2020- está ya implantado para todos los canales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/141

de contratación, desde el pasado mes de enero. Se adjunta de nuevo a este escrito
como Documento nº 3, el protocolo de contratación por representante mencionado.

En el documento número 1 bajo el título soporte duradero, una empresa en calidad de
tercero de confianza certifica que los datos consignados en el documento son los que
constan en su registro de procesos y comunicaciones electrónicas. Tales datos son el
envío de un e-mail con una URL asociada, en relación con una contratación,
informando al destinatario que una persona ha realizado en su nombre la contratación
relacionada con su suministro de energía/servicios. Se aporta como documento
adjunto el contrato, en el que no aparecen las referencias a consentimientos para el
envío de comunicaciones comerciales ni para la realización de perfilados, y las
condiciones generales de contratación.

El documento 2, tiene el siguiente contenido:

Alta (representante) ML - Castellano

"[XXX] vamos a grabar su conformidad. Son las [hh:mm] del día [dd] de [mm] de [20XX].
[nombre y apellidos] con DNI [nº DNI], como [marido/mujer/hijo/apoderado/representante] y en
representación del titular [nombre y apellidos / razón social] con DNI/CIF [nº DNI/CIF] teléfono
[teléfono] y correo electrónico [email] acepta la oferta de EDP Residencial para la dirección
[dirección de suministro] que consiste en [condiciones del plan -dto. en la luz-] para [CUPS
LUZ: ES…] sobre el precio EDP Residencial vigente de electricidad [precio de potencia (€/kW
mes) y precio término energía (€/kWh)] y/o [condiciones del plan -dto. en gas] para [CUPS
GAS: ES…] y precio EDP Residencial vigente de gas [precio término disponibilidad (€/mes) y
precio término energía (€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan
promoción funciona].
[Si no se elige la fecha de cobro] La forma de pago escogida es [domiciliación bancaria en su
cuenta actual/en la cuenta...] y se pasará al cobro en la fecha indicada en la factura.
[Si se elige la fecha de cobro] La forma de pago escogida es [domiciliación bancaria en su
cuenta actual/en la cuenta...] y se pasará al cobro en una fecha concreta, los días [DD] del
mes. En ese caso el periodo de pago podrá ser inferior o superior a los 20 días establecidos en
la normativa".
En nombre de su representado y tras superar un análisis del riesgo de la operación, haremos
las gestiones necesarias para activar los contratos de acceso, momento a partir del cual entrará
en vigor el nuevo contrato.

El/los contrato/s no tiene/n permanencia y tendrá/n una duración de un año, prorrogable por
igual periodo salvo denuncia con antelación de 15 días. ¿Está conforme con la anterior
información y condiciones del/los contrato/s? [Sí/Vale]. Muchas gracias.

En unos días, su representado recibirá el contrato (incluyendo documento de desistimiento) por
duplicado, de la que solo tendrá que devolvernos firmada una de las copias en el sobre
autofranqueo, no necesita sello, que le adjuntaremos.

Su representado dispone de 14 días naturales para ejercer su derecho de desistimiento. No
obstante, si usted nos lo solicita, podemos iniciar ahora los trámites. En ese caso, si
posteriormente desistiera del contrato, deberá abonar el importe correspondiente al periodo de
suministro prestado. ¿Desea que su contratación se tramite de forma inmediata? [SÍ/NO]

Con la entrada en vigor del contrato, su representado recibirá la factura de EDP Residencial
con todas nuestras ventajas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/141

Sus datos personales y los de su representado podrán ser tratados por EDP Residencial para
la gestión de sus contratos, prevención de fraude, realización de perfiles basados en
información de cliente y EDP Residencial, envío de comunicaciones personalizadas sobre
productos o servicios relacionados, así como participar en sorteos, promociones y encuestas
de calidad, pudiendo oponerse en cualquier momento.

[Leer solo a personas jurídicas que llaman en representación de un negocio] Además, para que
podamos asesorarle con las mejores propuestas: • ¿Nos permite presentarle a su representado
ofertas relacionadas con la energía tras la finalización del contrato, o remitirle información de
productos y servicios no energéticos, propios de Empresas Colaboradoras? [SÍ/NO] • ¿Nos
permite completar el perfil comercial de su representado con información proporcionada por
terceros, para enviarle propuestas personalizadas? [SÍ/NO]

En breve, los técnicos de la Distribuidora se pondrán en contacto con Ud. [recuerde que debe
entregarles el Certificado de Instalación Individual de Gas, cuando pasen a realizar el alta].
[Altas Gas] Por su seguridad, le recordamos la obligación legal de colaborar con su Compañía
Distribuidora, facilitando el acceso a sus instalaciones. Esta solicitud ha sido registrada con el
código [indicamos el código]"

TERCERA.- PRESUNTO INCUMPLIMIENTO DEL ARTÍCULO 13 DEL RGPD

(i) Respecto de la información aportada en el Canal CAC Inbound.

Señala que proporciona la información relativa al tratamiento de los datos personales a
través de un sistema basado en diversas capas. Así reitera que en todas las llamadas
entrantes se reproduce automáticamente una locución que informa de lo siguiente
“Esta llamada puede ser grabada. Los datos que nos proporcione serán tratados por
EDP Energía, S.A.U. y/o EDP Comercializadora, S.A.U. para la gestión de su solicitud
o consulta. Puede ejercitar los derechos de acceso, rectificación, supresión, oposición,
limitación y portabilidad en cualquier momento. Consulte la Política de Privacidad en
nuestra web edpenergia.es o pulse 0”

Señala que se ha actualizado en la locución la dirección que se facilita a los usuarios,
indicando actualmente edp-residencialbytotal.es/privacidad, de forma que, si el usuario
escribe esa dirección en el navegador, accede -directamente y de forma sencilla- a la
información relativa a protección de datos.

El interesado puede consultar la segunda capa a través de la política de privacidad de
la página web o pulsando 0. En tal caso se reproduce una locución cuyo contenido es
el siguiente:

“La utilización de este CANAL TELEFONICO no obliga al usuario a facilitar ninguna información
sobre sí mismo. Sin embargo, para utilizar ciertos servicios o acceder a determinados
contenidos, los usuarios deberán proporcionar previamente algunos datos de carácter personal.
En el caso de que el usuario facilite información de carácter personal, le informamos de que los
datos serán PS/00037/2020 Escrito de alegaciones a la Propuesta de Resolución 15/37
tratados por EDP Energía, S.A.U. y EDP Comercializadora, S.A.U., con domicilio social en
Oviedo, Plaza del Fresno 2, 33007 y NIF A33543547 y A95000295 respectivamente, en
adelante “EDP”, como responsables del tratamiento, según lo establecido por el Reglamento
General de Protección de Datos ((UE) 2016/679), en adelante “RGPD”, y su normativa de
desarrollo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/141

En concreto, sus datos podrán ser tratados, cuando el usuario así lo solicite, para gestionar la
atención y seguimiento de las solicitudes y consultas dirigidas a través del sitio web, así como
para la realización de encuestas y la participación en sorteos, juegos y promociones.

Los datos solicitados serán de carácter obligatorio y limitados a los necesarios para proceder a
la prestación y/o gestión del servicio solicitado, lo que le será convenientemente informado en
el momento de la recogida de sus datos de carácter personal. En caso de no facilitarlos o no
facilitarlos correctamente, no se le podrá prestar el servicio.
En estos supuestos, el usuario garantiza que los datos personales facilitados son veraces y se
hace responsable de comunicar cualquier modificación de los mismos.

En el caso de las gestiones tramitadas a través del CANAL TELEFONICO y el registro en el
mismo, los tratamientos de datos realizados se fundamentan en la relación jurídica derivada de
su solicitud.

El tratamiento de datos para la realización de encuestas se basa en el interés legítimo de EDP
a fin de mejorar la calidad de los servicios prestados a los clientes y/o usuarios, pudiendo
oponerse a dichos tratamientos en cualquier momento, sin que esto afecte a la licitud de los
tratamientos efectuados anteriormente.

En ningún caso podrán incluirse en los formularios contenidos en el CANAL TELEFONICO
datos de carácter personal correspondientes a terceras personas, salvo que el solicitante
hubiese recabado con carácter previo su consentimiento en los términos exigidos por el artículo
7 del RGPD, respondiendo con carácter exclusivo del incumplimiento de esta obligación y
cualquier otra en materia de datos de carácter personal.
Los datos personales de los usuarios registrados en el sitio web podrán ser cedidos a las
Administraciones Públicas que por ley corresponda, a otras empresas del grupo empresarial
para fines administrativos internos, y a los proveedores del responsable del tratamiento
necesarios para el adecuado cumplimiento de las obligaciones contractuales.

En aplicación de lo establecido en el artículo 32 del RGPD, EDP se compromete a cumplir las
obligaciones de seguridad de aquellos datos facilitados por los usuarios, procurando establecer
todos los medios técnicos a su alcance para evitar la pérdida, mal uso, alteración, acceso no
autorizado y robo de los datos que el usuario facilite a través del mismo, habida cuenta del
estado de la tecnología, la naturaleza de los datos facilitados y los riesgos a los que puedan
estar expuestos. Sin perjuicio de lo anterior, el usuario debe ser consciente de que las medidas
de seguridad en el CANAL TELEFONICO no son inexpugnables.

EDP tratará los datos del usuario de forma confidencial, en todo momento, guardando el
preceptivo deber de secreto sobre los mismos, de conformidad con lo previsto en la normativa
de aplicación.

El usuario puede ejercitar sus derechos de acceso, rectificación, supresión, oposición,
limitación y portabilidad, así como el de revocación de los consentimientos otorgados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/141

previamente, en los términos establecidos legalmente, comunicándolo por escrito a EDP, a la
siguiente dirección: Canal de Comunicación LOPD, Plaza del Fresno, nº2, 33007 Oviedo.
Asimismo, puede ejercitar dichos derechos enviando un correo electrónico con sus datos
personales a [email protected]. En ambos casos se deberá adjuntar una fotocopia del
DNI del titular o documento que acredite su identidad.

Igualmente, podrá ponerse en contacto con el Delegado de Protección de Datos de EDP, en la
siguiente dirección postal: Plaza del Fresno, 2 33007 Oviedo o en el correo electrónico
[email protected], en el caso de que entienda vulnerado alguno de sus derechos
relacionados con la protección de datos, o en su caso, interponer una reclamación ante la
Agencia Española de Protección de Datos en la dirección Calle de Jorge Juan, 6, 28001
Madrid".

En el proceso de contratación, se vuelve a informar de lo siguiente: “Sus datos
personales y los de su representado serán tratados por EDP Comercializadora SAU y
EDP Energía SAU para la gestión de sus contratos, prevención de fraude, realización
de perfiles basados en información del cliente y de EDP, así como la realización de
comunicaciones personalizadas sobre productos o servicios directamente relacionados
con sus contratos, pudiendo en cualquier momento oponerse a las mismas”.

Por tanto, no cabe reprochar una falta de información a los interesados en las
llamadas entrantes en tanto que la información referida en la primera capa informativa
(i.e., la que se proporciona al inicio de cada llamada) cumple con la información
necesaria del artículo 11 de la LOPDGDD (esto es, identidad del responsable, fines de
tratamiento y posibilidad de ejercitar los derechos) y se facilita un medio directo y
sencillo para acceder al resto de la información (accediendo a la página web o
pulsando 0). Es importante destacar que la locución de la primera capa informativa se
reproduce automáticamente al inicio de cada una de las llamadas entrantes y, por
tanto, es de obligada escucha por todos los interesados que realizan una llamada. Por
este motivo, todos los interesados antes de llegar a la contratación ya han sido
informados sobre la posibilidad de ejercer sus derechos y la manera de acceder al
resto de información sobre el tratamiento de sus datos. Asimismo, antes de la
contratación, EDP COMERCIALIZADORA recuerda a los interesados -a través de una
segunda locución- parte de la información básica en protección de datos.

Conforme al artículo 13.4 del RGPD, la obligación de informar no resulta de aplicación
en la medida en que el interesado ya disponga de la información; en el caso que nos
ocupa, teniendo en cuenta que la locución inicial se reproduce de manera automática
en cada llamada, queda suficientemente acreditado que cualquier interesado que se
pone en contacto con EDP COMERCIALIZADORA a través del Canal CAC Inbound
recibe la información relativa a protección de datos personales. En este sentido, el
Grupo del Artículo 29 (actualmente conocido como Comité Europeo de Protección de
Datos) indica en sus Directrices sobre la transparencia en virtud del Reglamento (UE)
2016/67 (“Directrices de Transparencia”) que deberá entenderse que el artículo 13.4
del RGPD resulta de aplicación en aquellos casos en los que la información hubiese
sido proporcionada, por ejemplo, en los seis meses anteriores. En lo que se refiere al
Canal CAC Inbound, no sólo habría pasado un tiempo claramente inferior a 6 meses
sino que el lapso de tiempo puede medirse en minutos, por lo que es manifiesto que el
interesado sabe, conoce y recuerda perfectamente la información sobre protección de
datos sin que sea necesario reiterarle esta información

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/141

(ii) Respecto de la información aportada en los canales de Telemarketing y
Leads

Señala que esta Agencia cuestiona el medio para acceder a la segunda capa
informativa (i.e., las Condiciones Generales disponibles en el sitio web
edpenergia.es) sea “sencillo e inmediato”

Señala que EDP COMERCIALIZADORA ha acreditado en el presente
procedimiento lo siguiente: • En primer lugar, la información sobre protección de
datos (i) está claramente identificada dentro de las condiciones generales de
contratación de EDP COMERCIALIZADORA (en el apartado 16 y titulado LOPD) y
(ii) ocupa en extensión una de las cuatro páginas del documento, por lo que su
localización no tiene pérdida para el interesado.

Informa a esta Agencia de que ha creado un documento separado que contiene,
exclusivamente, la información de protección de datos de las condiciones
generales de contratación, el cual es fácilmente accesible a través de la propia
página web y en siguiente dirección: www.edp-residencialbytotal.es/rgpd; y que
asimismo, las condiciones generales de contratación continúan incluyendo la
cláusula relativa al tratamiento de datos personales, de modo que el interesado
dispone de diversos medios a través de los cuales podrá acceder a la información
de manera sencilla.

• En segundo lugar, alega que la manera de facilitar la información sobre la
segunda capa informativa puede ser diversa y, como tal, ha sido reconocido por las
autoridades de protección de datos. Tal y como se indicó en las Alegaciones al
Acuerdo de Inicio, cuando se produce la contratación, se remiten las condiciones
generales de contratación -donde se incluye la cláusula específica en materia de
protección de datos-; por tanto, la puesta a disposición de esta información a
través de la página web debe entenderse como un sistema alternativo y
complementario.

En este sentido, las Directrices de Transparencia expresamente indican que
“cuando el primer contacto con un interesado sea a través del teléfono, esta
información [primera capa informativa] podría facilitarse durante la llamada con el
interesado y este podría recibir el resto de la información requerida en virtud del
artículo 13 o 14 por otro medio adicional distinto, por ejemplo, enviándole una
copia de la política de privacidad por correo electrónico o un enlace a la
declaración/aviso de privacidad en línea del responsable”.

Conforme al criterio de las autoridades competentes, incluida la AEPD, EDP
COMERCIALIZADORA no habría cometido una infracción del deber de
transparencia, en tanto que la información completa sobre protección de datos
(con el contenido exigido por la normativa) se contiene dentro de las condiciones
generales de contratación que se remiten al interesado tras la contratación. Las
Directrices de Transparencia indican además que, en función de las circunstancias
de la recogida y tratamiento de los datos, un responsable de tratamiento podría
verse obligado a utilizar de manera adicional otras vías posibles para transmitir la
información a los interesados aplicables a los entornos pertinentes siempre que la
información de la primera capa informativa se transmita en la primera modalidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/141

utilizada para comunicarse con el interesado. Por este motivo, EDP
COMERCIALIZADORA cumple con su obligación de transparencia al facilitar la
información de la primera capa informativa por vía telefónica y la segunda capa
informativa por escrito (ya sea documento físico o electrónico). Asimismo, es
importante señalar que la forma más transparente e idónea de que el interesado
reciba información sobre el tratamiento de sus datos personales es incluyéndola
junto con la información sobre la contratación de los servicios, en tanto que esta es
la circunstancia con la que se relaciona el tratamiento de sus datos y es, además,
un documento que el interesado conservará durante su relación contractual con
EDP COMERCIALIZADORA.

(iii) Respecto del contenido de la información aportada telefónicamente y en las
condiciones generales:

• Concreción del responsable del tratamiento:

La AEPD cuestiona la claridad con la que el interesado conoce qué entidad actúa
como responsable del tratamiento, no obstante, como se acredita en las condiciones
generales de contratación de EDP COMERCIALIZADORA (aportadas como evidencia
6) de este procedimiento, el cliente es informado sobre la identidad del responsable
del tratamiento a través de la política de privacidad en relación con las condiciones de
contratación:
Política de privacidad: “los datos serán tratados por EDP Comercializadora SAU y
EDP Energía SAU”.
Condiciones Específicas del contrato:
“El cliente contrata, para el suministro que se indica, el suministro de gas con EDP
Comercializadora, S.A.U. y el suministro de electricidad y/o los servicios
complementarios con EDP ENERGIA, S.A.U., (en adelante conjunta y/o
individualmente, según proceda, referidas como “EDP”) con arreglo a las Condiciones
Específicas que se recogen a continuación y a las Condiciones Generales en anexo”.

Como se explicaba en las alegaciones al Acuerdo de Inicio, se incluye información
sobre ambas entidades en tanto que, según el servicio que sea solicitado por el
interesado (gas y/o electricidad), será responsable del tratamiento una u otra entidad
(o ambas en caso de que el interesado contrate ambos servicios). Por tanto, el
interesado -el cual dispone de plena capacidad para contratar y, por tanto, se
presupone que debería ser capaz de comprender los términos y condiciones que
gobiernan dicha contratación, es consciente en todo momento de que, según contrate
el servicio de suministro de gas y/o electricidad, sus datos serán tratados por una o
ambas entidades.

• Finalidades y bases de legitimación

Se alega que ni el artículo 13 del RGPD ni ningún otro precepto legal exige que la
política de privacidad enumere cada finalidad indicando específicamente la base de
legitimación que resulta de aplicación. Aun así, en lo que se refiere a los tratamientos
sujetos a consentimiento, sí se indica expresamente cuales son. En todo caso, como
ya se indicaba en las Alegaciones al Acuerdo de Inicio, tratándose de las bases de
legitimación de “ejecución contractual” e “interés legítimo”, resulta evidente para
cualquier persona que contrata los servicios de suministro de EDP
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/141

COMERCIALIZADORA que los tratamientos estrechamente vinculados a la ejecución
del contrato tales como “gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio” encuentran su base de legitimación en la ejecución del
contrato, siendo los demás tratamientos asignables al interés legítimo (p.ej. la
realización de acciones de prevención del fraude o el envío de comunicaciones
comerciales). Los intereses legítimos están claramente expuestos y puestos en
relación con las finalidades que se persiguen (esto es, prevención del fraude y
mercadotecnia, en relación con el envío de comunicaciones comerciales
personalizadas) y dado que existe una identificación entre la finalidad informada y el
propio interés perseguido, hacer una alusión separada resultaría redundante.

• Elaboración de perfiles

Se afirma en las alegaciones que en la Propuesta de Resolución, la AEPD considera
que, en relación con la “realización de perfiles”, no queda claro cuál es su finalidad ni
el interés legítimo que sustenta el tratamiento. En este sentido, la AEPD manifiesta en
la Propuesta de Resolución lo siguiente: “No se cumplen en este caso, a juicio de esta
Agencia, las exigencias de información antes descritas. EDP COMERCIALIZADORA,
S.A.U., se limita a informar sobre la “realización de perfiles”, pero no ofrece una
información sobre el tipo de perfiles que se van a realizar, los usos específicos a que
se van a destinar estos perfiles o la posibilidad de que el interesado pueda ejercer el
derecho de oposición en aplicación del artículo 21 del RGPD.” Sin embargo, la
elaboración de perfiles está asociada con el envío de comunicaciones comerciales
personalizadas: “serán tratados (...) con la finalidad de (...) realización de perfiles,
comunicaciones comerciales personalizadas basadas en información facilitada por el
Cliente y/o derivada de la prestación del servicio por parte de la/s Comercializadora/s y
relativas a productos y servicios relacionados con el suministro y consumo de energía,
mantenimiento de instalaciones y equipamiento”.

Si bien la redacción podría haber incluido “para el envío de” (es decir, que el texto
fuera “así como realización de perfiles para el envío de comunicaciones comerciales
personalizadas basadas en información facilitada por el Cliente (...)”), esa ausencia no
debe entenderse como que EDP COMERCIALIZADORA infringe el artículo 13 del
RGPD.

• Ejercicio de derechos:

Se alega que a juicio de la AEPD, deberían indicarse expresamente cuáles son los
tratamientos a los que aplica el derecho de oposición. Sin embargo, como ya se
manifestó en las Alegaciones al Acuerdo de Inicio, la obligación de detallar los
tratamientos concretos a los que el interesado tiene derecho a oponerse no sólo no es
una obligación recogida en el RGPD, la LOPDGDD ni ninguna otra normativa de
aplicación, sino que además la AEPD en sus guías y herramientas (entre otras, la Guía
para el cumplimiento del deber de informar2 o la herramienta Facilita3 ) no indica que
las cláusulas informativas sobre el derecho de oposición deban especificar los
tratamientos sobre los que aplica el derecho de oposición, ni siquiera como ejemplo de
buena práctica. En todo caso, EDP COMERCIALIZADORA indica expresamente que
el interesado podrá oponerse a algunos tratamientos voluntarios como por ejemplo la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/141

promoción, la elaboración de perfiles, la adopción de decisiones automatizadas y la
realización de ofertas comerciales.

Señala que en la propuesta de resolución se indicaba que: “Resulta impreciso señalar
que el interesado puede oponerse a la adopción de decisiones automatizadas de sus
datos personales. Estas solamente pueden llevarse a cabo por el responsable en los
supuestos previstos en el artículo 22 del RGPD, basándose en el presente caso en el
consentimiento del interesado, por lo que éste debe poder conocer que puede revocar
el consentimiento prestado para la adopción de tales decisiones en cualquier
momento, sin perjuicio de que se le informe también de los derechos conferidos por el
artículo 22 a los interesados.” Se alega que, el matiz semántico y técnico asociado a
los términos “oposición” y “revocación” en el contexto del ejercicio de derechos no
puede tener un impacto en el interesado, pues con ambos términos el usuario logra un
mismo objetivo, que es que un tratamiento específicamente identificado en la política
deje de producirse.
Más aún, el término utilizado por EDP COMERCIALIZADORA (oposición) en el
contexto de este tipo de tratamientos se entiende en la normativa y por el propio
mercado de forma más amplia -y por tanto más garantista- puesto que permite al
usuario eliminar un tratamiento sea basado en consentimiento, sea basado en interés
legítimo.

• Tratamientos basados en el consentimiento:
La AEPD considera que la información sobre los tratamientos sujetos a consentimiento
no es completamente clara. Sin embargo, esta parte no puede estar de acuerdo con
esta interpretación por los siguientes motivos:
En primer lugar, la AEPD cuestiona que en el punto (IV) no es claro respecto a qué
datos se refiere la frase “los resultados obtenidos de la agregación de los datos
indicados” y argumenta la existencia de una confusión sobre si los datos agregados
son los referidos en el punto (II) y/o en el punto (III). No obstante, como se manifestó
en las Alegaciones al Acuerdo de Inicio, de la lectura queda claro que “los resultados
obtenidos de la agregación de los datos indicados” se refiere a los datos indicados
anteriormente, es decir, los datos referidos en el punto (II) y (III), pues es evidente que
el uso del término anafórico “indicados” se refiere a los datos referidos en los puntos
anteriores.

En segundo lugar, la AEPD manifiesta que la diferencia del tratamiento de datos
publicitarios de este punto con los puntos anteriores no es evidente. No obstante, la
diferencia es clara:
el tratamiento publicitario derivado del punto (I) se refiere a ofertas de “servicios
financieros, servicios de protección de pagos, automoción o afines y electrónica,
propios o de terceros, ofrecidos por EDP y/o la participación en concursos
promocionales, así como para la presentación de propuestas comerciales vinculadas
al sector energético tras la finalización del contrato”, es decir, servicios ofrecidos por
EDP COMERCIALIZADORA no relacionados con los servicios contratados sino con el
sector energético u otros sectores como el financiero o la automoción y además de
tipo genérico - no personalizada;
▪ el punto (II) se refiere a “productos y servicios personalizados”, es decir, ofertas
adaptadas al perfil comercial del cliente; y
▪ el punto (IV) se refiere “a realizar ofertas personalizadas, y concretamente orientadas
a lograr la contratación de determinados productos y/o servicios de EDP o de terceras
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/141

entidades”, es decir, a la realización de ofertas personalizadas con un objetivo
concreto de conseguir la venta de determinados productos o servicios, siendo la
personalización no solo respecto del cliente sino también respecto del concreto
servicio o producto ofertado.
La crítica de la AEPD a la granularidad ofrecida por EDP COMERCIALIZADORA no
puede entenderse a la luz de sus propias recomendaciones y las del Comité Europeo
de Protección de Datos, que piden precisamente tal detalle y granularidad.

CUARTA.- COOPERACIÓN Y ACTITUD PROACTIVA DE EDP
COMERCIALIZADORA.

EDP COMERCIALIZADORA está estudiando y analizando la implementación de las
medidas oportunas de cara a la adopción y adecuación a las recomendaciones,
mejores prácticas y los criterios sentados por la AEPD tanto en el presente
procedimiento como en sus guías y publicaciones (además de las mejoras ya
implantadas a que se ha hecho referencia anteriormente), a fin de mejorar todas sus
políticas de protección de datos, clausulados y condiciones generales a través de las
cuales se informa sobre el tratamiento de los datos personales de sus clientes y
potenciales clientes

QUINTA.- INCUMPLIMIENTO DEL PRINCIPIO DE INTERDICCIÓN DE LA
ARBITRARIEDAD.

Se señala que ciertas prácticas recomendadas (e incluso aplicadas por la AEPD en
sus propias políticas de privacidad) han servido en este caso para argumentar y
motivar las supuestas infracciones cometidas por EDP COMERCIALIZADORA (por
ejemplo, la presentación de la información relativa al ejercicio de derechos de los
interesados recogido en la Alegación Segunda). Estos aspectos que, a priori, la AEPD
recomienda y pone en práctica, considerándolos ejemplos que se adecuan a la
normativa aplicable, son utilizados como elementos infractores para justificar el
supuesto incumplimiento de distintos preceptos legales por EDP
COMERCIALIZADORA.

SEXTA.- FALTA DE CULPABILIDAD EN LA ACTUACIÓN DE EDP
COMERCIALIZADORA-

En virtud de todo lo expuesto anteriormente, la actuación de EDP
COMERCIALIZADORA no puede ser considerada culpable en la eventual comisión de
los ilícitos administrativos en materia de protección de datos que se le imputan. En el
ámbito administrativo sancionador no basta con que la conducta sea típica y
antijurídica (que en este caso, tampoco lo es), sino que también es exigencia
ineludible que sea culpable, esto es, consecuencia de una acción u omisión imputable
al responsable por dolo o culpa inexcusable, sin que resulte admisible ninguna suerte
de responsabilidad objetiva que dispense a la Administración de acreditar
cumplidamente la exigencia de culpabilidad o intencionalidad en la comisión de la
infracción. (Sentencias del Tribunal Supremo de 9 de julio de 1994, 16 de mayo de
1995, 12 de diciembre de 1995, 12 y 19 de enero de 1996, 15 de abril de 1996, entre
otras muchas.)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/141

También conviene hacer mención a que la apreciación del elemento subjetivo de la
infracción viene determinada por el grado de previsibilidad que tenía para el sujeto
afectado el que su conducta pudiera ser considerada típica y antijurídica y, por tanto,
susceptible de ser sancionada. El elemento subjetivo de culpabilidad sólo puede
concurrir cuando, a la vista de la situación existente en el momento de realizarse la
conducta, el sujeto pudiera anticipar razonablemente que estaba cometiendo una
infracción Sentencias de la Excma. Sala Tercera del Tribunal Supremo de 8 de mayo
de 2003 — ref. Aranzadi RJ 4209—, de 7 de julio de 2003 — ref. Aranzadi RJ 5832—,
y de 28 y 27 de enero de 2010 — ref. Aranzadi RJ 1362 y 1357.
Asimismo, la doctrina de los tribunales contencioso-administrativos ha excluido la
concurrencia del imprescindible elemento culpabilístico cuando el sujeto que haya
cometido objetivamente la infracción haya actuado con base en una razonable
interpretación del ordenamiento jurídico.

Una interpretación razonable de la normativa aplicable, aun cuando no sea finalmente
considerada correcta por los tribunales, excluye la culpabilidad, especialmente en
aquellos casos en los que las normas jurídicas aplicables no sean claras o unívocas.

SÉPTIMA.- SUBSIDIARIAMENTE, LAS SANCIONES PROPUESTAS SON
MANIFIESTAMENTE DESPROPORCIONADAS Y DEBERÍAN APLICARSE
CIRCUNSTANCIAS ATENUANTES.

En definitiva, analizando cada una de las supuestas infracciones que se imputan a
EDP COMERCIALIZADORA, no cabe sino interpretar que existe una absoluta
desproporcionalidad en la interpretación realizada por la AEPD en la Propuesta de
Resolución, no sólo porque carece de motivación a la hora de considerar cometida la
supuesta infracción, sino por el hecho de que las sanciones propuestas escapan de
cualquier criterio valorado con carácter previo por la propia AEPD. En este sentido,
cabe añadir que las cuantías de sanciones anteriores impuestas en supuestos de
hecho similares no son comparables a las propuestas en este caso.

Deben aplicarse circunstancias atenuantes: En efecto, cualquier sanción que se
impusiera a EDP COMERCIALIZADORA habría de fijarse de conformidad con los
artículos 83.2 del RGPD y 76.2 de la LOPDGDD, que contemplan instrumentos
relevantes para que la Administración adecúe la proporcionalidad de las sanciones. En
el presente caso, tal y como se hizo constar en las Alegaciones al Acuerdo de Inicio,
concurren sobradamente las siguientes circunstancias atenuantes que aquí se
resumen:

• La naturaleza, gravedad y duración de la infracción: según el artículo 83.2.a) del
RGPD, la apreciación de esta circunstancia debe tener en cuenta “la naturaleza,
alcance o propósito de tratamiento” (...) y “el nivel de los daños y perjuicios que hayan
sufrido”. En este sentido, lo que se imputa a EDP COMERCIALIZADORA es la
necesidad de mejorar algunos aspectos de sus políticas de protección de datos, sin
que en ningún caso los textos utilizados hasta el momento puedan entenderse que
hayan generado un nivel alto de daños y perjuicios. Asimismo, los tratamientos
previstos en estas políticas -los cuales son conocidos por los interesados- no son
particularmente sensibles, ni por la tipología de datos tratados ni por las características
de las actividades de tratamiento. Por tanto, no sólo no procede considerar como

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/141

circunstancia agravante la naturaleza de esta infracción sino que, lo anterior ha de
considerarse como circunstancia atenuante aplicable al presente procedimiento.

• La intencionalidad o negligencia en la infracción: EDP COMERCIALIZADORA no ha
mostrado intencionalidad o negligencia alguna. La AEPD, en su Propuesta de
Resolución, indica que “los defectos señalados en la información facilitada muestran la
falta de diligencia de EDP COMERCIALIZADORA en dar cumplimiento a las
obligaciones de transparencia”. Por tanto, a lo que esta Agencia parece referirse es a
la ausencia de toda la diligencia que, según dicha Autoridad, se esperaría de EDP
COMERCIALIZADORA. No obstante, no parece que dicha afirmación pueda
entenderse como “intencionalidad o negligencia” en su actuación en tanto que, como
se ha manifestado en las Alegaciones al Acuerdo de Inicio y en las presentes
alegaciones, EDP COMERCIALIZADORA ha observado cuidadosamente las guías,
directrices y herramientas puestas a disposición por la propia AEPD y el Comité
Europeo de Protección de Datos para el cumplimiento de sus obligaciones de
protección de datos. Por este motivo, la diligencia de EDP COMERCIALIZADORA
debe tenerse en cuenta como circunstancia atenuante.

• La alta vinculación de la actividad del infractor con la realización de tratamientos de
datos personales: EDP COMERCIALIZADORA se dedica, como afirma la AEPD en la
Propuesta de Resolución, al suministro de gas, una actividad que no es intensiva en el
tratamiento de datos personales y que aunque es cierto que el desarrollo de la
actividad de EDP COMERCIALIZADORA implica el tratamiento de datos personales,
éste es de forma instrumental sin que su actividad se base en la explotación de datos
personales. En este sentido, la baja vinculación de la actividad de EDP
COMERCIALIZADORA en el tratamiento de datos personales debe considerarse una
circunstancia atenuante.

• Cualquier medida tomada para paliar los daños y perjuicios: tal y como se ha puesto
en conocimiento de la AEPD, EDP COMERCIALIZADORA se encuentra inmersa en la
revisión y mejora de sus procedimientos y clausulados con el fin de adaptar e
implementar las recomendaciones realizadas por esta Agencia, evitando que pueda
producirse cualquier tipo de daño o perjuicio a los interesados. Prueba de ello es que
algunas de las recomendaciones de esta Agencia se encuentran ya implementadas,
como la mejora del acceso a la información sobre protección de datos, que ya está
disponible en la dirección edp-residencialbytotal.es/rgpd así como el nuevo protocolo
de contratación mediante representante, el cual ya fue aportado al procedimiento el
pasado 16 de julio de 2020 y ya ha sido implementado el pasado mes de enero.

• Grado de cooperación con la autoridad: EDP COMERCIALIZADORA ha mostrado
desde el inicio de este procedimiento una actitud completamente colaborativa con la
AEPD, tal y como ha sido acreditado en el presente escrito. En las Alegaciones al
Acuerdo de Inicio se proporciona información más completa en relación con la
cooperación mostrada por EDP COMERCIALIZADORA.

• Categorías de datos y afectación de los derechos de los menores: los datos objeto
de tratamiento no son categorías especiales de datos y no se han visto afectados los
derechos de los menores (los clientes de EDP COMERCIALIZADORA son siempre
mayores de edad con capacidad para contratar).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/141

• Carácter continuado de la infracción: como ha sido acreditado, EDP
COMERCIALIZADORA, desde el momento en que ha tenido conocimiento de las
mejoras que, a juicio de la AEPD, podían adoptarse en sus políticas, ha procedido a
analizar sus textos y procedimientos. Por ello, no puede entenderse que se trata de
una infracción de carácter continuado, si bien esta Agencia debe entender que en
grupos corporativos complejos los procesos de cambio y adaptación de
procedimientos no pueden hacerse de manera inmediata. No obstante, no por ello la
presunta infracción que se imputa debe entenderse como “continuada”.

• Condición de gran empresa y su volumen de negocio: el hecho de que EDP
COMERCIALIZADORA sea considerada una gran empresa no puede ser utilizado
como una circunstancia agravante al no ser una circunstancia prevista ni en el RGPD
ni en la LOPDGDD. Además, en este sentido, el Tribunal Supremo (sentencia de 4 de
noviembre de 2015, recurso 100/2014) ha manifestado en jurisprudencia reciente pero
consolidada que "no es factible, en ningún caso, presumir una conducta dolosa por el
mero hecho de las especiales circunstancias que rodean al sujeto pasivo de la
imposición (importancia económica, clase de asesoramiento que recibe, etc.) (...). [L]o
que no puede hacer el poder público, sin vulnerar el principio de culpabilidad que
deriva del art. 25 CE [véase, por todas, la Sentencia de esta Sección de 6 de junio de
2008 (rec. cas. para la unificación de doctrina núm. 146/2004), FD 4], es imponer una
sanción a un obligado tributario (o confirmarla en fase administrativa o judicial de
recurso) por sus circunstancias subjetivas -aunque se trate de una persona jurídica,
tenga grandes medios económicos, reciba o pueda recibir el más competente de los
asesoramientos y se dedique habitual o exclusivamente a la actividad gravada por la
norma incumplida”. Por este motivo, no cabe legal ni constitucionalmente valorar la
condición de gran empresa como circunstancia agravante. Asimismo, la AEPD también
alude a “su volumen de negocio” (hecho que tampoco se contempla como
circunstancia agravante ni en el RGPD ni en la LOPDGDD). A la hora de cuantificar la
sanción, la AEPD se refiere al volumen de facturación global de EDP
COMERCIALIZADORA para cuantificarla, cuando debería tener en cuenta
exclusivamente, y en su caso, los datos de facturación generados por el eventual
incumplimiento alegado -en el caso del artículo 25 del RGPD, relativo exclusivamente
a la contratación por representación-. En este sentido, la AEPD, en su investigación en
el marco del procedimiento, solicitó y obtuvo datos concretos sobre el volumen de
contratación por representación y la ínfima parte que corresponde en el global de la
actividad de EDP COMERCIALIZADORA, y debiera en todo caso haberlo tenido en
cuenta en la Propuesta de Resolución, lo que no ha ocurrido. Asimismo, tal y como ha
sido indicado en la Alegación Primera, el volumen de negocio derivado de la
contratación con representante supone aproximadamente un 0,26% del volumen de
negocio global. Por su parte, en lo que se refiere a la sanción asociada a la presunta
infracción del artículo 13 del RGPD, la AEPD tampoco debió tomar en consideración la
facturación global de su actividad
Beneficios obtenidos como consecuencia de la infracción: la presunta comisión de la
infracción imputada no ha generado ningún tipo de beneficio económico, directo o
indirecto, a EDP COMERCIALIZADORA. En todo caso, si esta Agencia considera lo
contrario, el beneficio debería calcularse atendiendo a los criterios que han sido
indicados en la Alegación Primera, teniendo en cuenta que el volumen de negocio
derivado de la contratación a través de representante, suponen solo un 0,26% del
volumen de negocio global y que la sanción propuesta (500.000 euros), supone un
importe desproporcionado en relación a los beneficios obtenidos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/141

. • Elevado volumen de datos y tratamientos: en contra de lo que indica esta Agencia
en su Propuesta de Resolución, las presuntas infracciones que se imputan a EDP
COMERCIALIZADORA no afecta a “todos los tratamientos de datos efectuados por la
entidad EDP COMERCIALIZADORA S.A.U.”, sino solo a los tratamientos relativos a
clientes. De hecho, la propia AEPD reconoce en el apartado relativo a “Elevado
número de interesados” que “[l]a infracción afecta a todos los clientes personas físicas
de la entidad”, pero no indica ningún otro colectivo de interesados. Asimismo, en lo
que se refiere a la contratación por terceros en nombre de su titular, es relevante
señalar que dicha contratación únicamente afecta a un 0,26% del volumen de negocio
de EDP COMERCIALIZADORA por lo que es evidente que el volumen de datos y
tratamientos afectados es mínimo. Por este motivo, el reducido número de
tratamientos afectados, y especialmente, en relación con la contratación mediante
representante, debe ser tenido en cuenta como circunstancia atenuante.

• Reciente adquisición de EDP COMERCIALIZADORA: como hemos indicado en la
alegación Preliminar de este escrito, EDP COMERCIALIZADORA ha sido
recientemente adquirida por el Grupo Total. En virtud del artículo 76.2.e) de la
LOPDGDD, en conjunto con el artículo 83.2.k) del RGPD, entiende esta parte que
debe tenerse en consideración esta circunstancia a la hora de, en su caso, modular y
atenuar la potencial sanción -sanción que en todo caso esta parte entiende que no
procede-. Aunque el mencionado precepto recoge los supuestos en que la
modificación estructural es una fusión por absorción, en aplicación del principio de
interpretación teleológica, su regulación debe extenderse a otras modificaciones
estructurales realizadas con posterioridad a la comisión de la infracción y que tengan
como consecuencia la imposición de sanciones desproporcionadas y gravosas a la
nueva entidad que no cometió la infracción inicial.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

1. Consta en el expediente que EDP COMERCIALIZADORA utiliza los siguientes
canales para formalizar la contratación de sus servicios:

A. Canal Telefónico, con cierre parcial o definitivo del proceso de contratación
mediante una llamada de teléfono. Incluye los siguientes subcanales:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/141

- LEADS: Emisión o recepción de llamadas, sobre usuarios que han
manifestado un interés en alguna plataforma o página web (sorteos,
promociones, comparadores de ofertas, blogs, agencias de publicidad, etc.)
dejando sus datos básicos para ser contactados o contactando ellos mismos en
el número de teléfono que se les muestra. Normalmente dichos usuarios aún
no tienen contratos activos con EDP.

B. Canal Web, con cierre mediante un formulario digital. El usuario accede a través de
una web e inicia un proceso de contratación totalmente online, sin interacción con
agentes.

C. Distribuidores, con cierre presencial o digital del proceso de contratación,
incluyendo:

- Oficinas Comerciales propias de EDP. Normalmente ya clientes de EDP que
acuden proactivamente a la oficina, aunque puede tratarse también de clientes
potenciales.
- Tiendas ajenas (ej. ***TIENDA.1). En general nuevos clientes que acuden a
realizar sus compras y se interesan por la oferta de EDP.

D. Fuerzas de Venta Externas, con cierre presencial del proceso de contratación,
incluyendo:

- Stands en Ferias, Centros Comerciales, etc. En general nuevos clientes que
acuden a dichos eventos o lugares y se interesan por la oferta de EDP.

- Visitas a domicilio con solicitud previa. Clientes o potenciales clientes que han
facilitado sus datos y consentimiento para recibir propuestas de un agente de
EDP a domicilio.

2. Los procedimientos de contratación implantados en aquellos casos en que la
contratación es realizada por tercero en representación del titular son los siguientes:

A) Canales telefónicos:
A.1 – CAC INBOUND 1) Cuando el usuario indica que desea realizar una contratación
como representante se le pregunta por su relación con el titular y si cuenta con
autorización de dicha persona. 2) Una vez confirmado el punto anterior, se solicitan
datos identificativos del representante, y todos los datos del titular necesarios para
formalizar la contratación. 3) Finalmente se lee y registra en audio el Consentimiento
Expreso de representante. 4) Al titular del contrato, a efectos informativos, se le remite
por duplicado, con sobre franqueado, la documentación contractual en cumplimiento
de lo dispuesto en la normativa de protección de consumidores y usuarios.

88/141

duplicado, con sobre franqueado, la documentación contractual en cumplimiento de lo
dispuesto en la normativa de protección de consumidores y usuarios.

B. Distribuidores:

C. Fuerzas de Venta Externas:

Para acreditar la representación, se formaliza el talonario de contratación donde el
representante declara disponer de facultades suficientes para suscribir el contrato en
nombre del cliente a quien se responsabiliza de informar de todas las condiciones de
este. Igualmente, se aporta copia del NIF del representante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/141

3. Consta en el expediente que la documentación que se utiliza por EDP
COMERCIALIZADORA, S.A.U. para acreditar la representación del titular al suscribir
un contrato es la siguiente:

A. Canal Telefónico:

En los tres subcanales del canal telefónico (evidencias 2, 3 y 4, canales CAC Inbound,
Telemárketing y Leads respectivamente) se solicita al representante, durante la
grabación del procedimiento de contratación, confirmación de los siguientes aspectos:
de su identidad y DNI, de su actuación en representación del titular, de la relación con
el representado (como marido, mujer, hijo, apoderado, representante); de la identidad
(nombre, apellidos, DNI) del representado, y de teléfono y correo electrónico. La
documentación acreditativa de la representación del titular del contrato consiste en las
grabaciones en las que el representante efectúa las confirmaciones mencionadas. En
el caso de los canales telemarketing y LEADS se envía además al representante un
sms/email con el siguiente texto “Oferta EDP: Por favor, responde con un SI a este
SMS para aceptar y activar descuentos.” (evidencias 10 y 12).

B. Distribuidores: En el caso de oficinas comerciales propias de EDP Comercializadora
DP, se solicita cumplimentado y firmado por ambas partes interesadas (representante
y titular) un documento de autorización expresa en el que figuran los datos de ambas
personas y copias de sus NIF.

En el canal oficinas comerciales propias (evidencia 5) la representación se acredita
mediante un documento denominado “plantilla autorización gestiones representante”,
en ella el titular (identificado con su nombre y DNI o CIF), en nombre propio o
representación de la empresa autoriza al representante igualmente identificado con su
nombre y DNI para realizar diferentes gestiones (alta/baja, cambio de titularidad,
cambio de domiciliación bancaria y/o otras gestiones) debiendo indicarse en la casilla
contigua a cada una de ellas cual o cuales son las gestiones autorizadas. Dicho
documento exige la firma del autorizante y el autorizado. Asimismo, dicho documento
contiene la siguiente advertencia “PARA TENER VALIDEZ, ESTA AUTORIZACIÓN
DEBE PRESENTARSE ACOMPAÑADA DE FOTOCOPIA DEL DNI DEL TITULAR Y
DEL AUTORIZADO. CUANDO SE TRATE DE AUTORIZACIÓN CONCEDIDA POR UN
REPRESENTANTE DEL TIPO S.A., S.L., A.I.E, U.T.E, CB, COMUNIDAD DE
PROPIETARIOS, FUNDACIONES, COLEGIOS, ADEMÁS SE REQUERIRÁ
FOTOCOPIA DE LA ESCRITURA DE PODER OPORTUNA”.

C. Fuerzas de Venta Externas: En el caso de las fuerzas de venta externas (stands de
ferias, centros comerciales y visitas a domicilio, siempre que exista solicitud previa por
parte del interesado), se utiliza para acreditar la representación un documento
denominado talonario de ventas (evidencia 6). En dicho talonario, se contienen
espacios para cumplimentar los datos del titular del contrato (nombre, apellidos,
teléfono y correo electrónico) y datos del representante (nombre, NIF y domicilio) y se
incluyen varias casillas para marcar que el representante lo es en calidad de
cónyuge/pareja registrada, ascendiente/ descendiente o apoderado) debajo de tales
casillas un texto señala que “declara disponer de facultades suficientes para suscribir
el presente contrato en nombre del cliente a quien se responsabiliza de informar de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/141

todas las condiciones del mismo.” Se realiza una grabación de verificación donde se
confirma con el representante los datos del representado, así como la relación o
parentesco que les une (evidencia 16)

4. Consta en las evidencias presentadas que en los subcanales de contratacion
telefónica se informa a los representantes de que “En nombre de su representado, y
tras superar un análisis del riesgo de la operación, haremos las gestiones necesarias
para activar los contratos de acceso, momento a partir del cual entrará en vigor el
nuevo contrato quedando resuelto el anterior.”

5. Consta que durante el proceso de contratación, en los canales de contratación
telefónica se solicita al representante el consentimiento en nombre del representado
para llevar a cabo otros tratamientos como el envío de ofertas relacionadas con la
energía adaptadas a su perfil tras la finalización del contrato o remitirle en cualquier
momento información de productos o servicios no energéticos de empresas o
colaboradas de EDP. (evidencias 2, 3 y 4).

Durante dicho proceso, se solicita también el consentimiento del representante en
nombre del representado para completar el perfil comercial con información de bases
de datos de terceros, con la finalidad de enviarle propuestas personalizadas y la
posibilidad de contratar o no determinados servicios.

En el canal de fuerzas externas, está prevista igualmente la posibilidad de prestar tales
consentimientos. Tal y como muestra la evidencia 6 bajo el título
CLIENTE/REPRESENTANTE, tras advertir que la información relativa a protección de
datos puede leerse en el reverso, permite marcar los siguientes consentimientos,
marcando la casilla conjunta a cada uno de ellos:
 Consiento el tratamiento de mis datos personales una vez finalizada la relación
contractual, para la realización de comunicaciones comerciales adaptadas a mi perfil
de productos y servicios relativos al suministro y consumo de energía. Asimismo,
consiento los mencionados tratamientos durante la vigencia y tras la finalización del
contrato, sobre productos y servicios no energéticos, tanto de las empresas del Grupo
EDP como de terceros.
 Consiento el tratamiento de mis datos personales para la elaboración de mi perfil
comercial con información proveniente de bases de datos de terceros, para la
adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar
propuestas comerciales personalizadas, así como para permitir, o no, la contratación
de determinados servicios.

6. Consta en las evidencias 2, 3 y 4 que durante el proceso de contratación telefónica
se aporta al representante la siguiente información: “Sus datos personales y los de su
representado serán tratados por EDP Comercializadora SAU y EDP Energía SAU para
la gestión de sus contratos, prevención de fraude, realización de perfiles basados en
información del cliente y de EDP, así como la realización de comunicaciones
personalizadas sobre productos o servicios directamente relacionados con sus
contratos, pudiendo en cualquier momento oponerse a las mismas".

En el canal telemarketing y leads evidencias 3 y 4 se añade lo siguiente “Les
recordamos que podrán ejercitar en cualquier momento sus derechos de acceso,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

91/141

rectificación, oposición, supresión, limitación y portabilidad, a través de cualquiera de
las vías indicadas en las Condiciones Generales que pueden consultar en nuestra web
www.edpenergia.es.”
Dicha información no consta en la evidencia 2 correspondiente el canal CAC inbound.

En el canal oficinas propias la información que se facilita es la siguiente (evidencia 5)
“Los interesados quedan informados que los datos de carácter personal facilitados en
este formulario serán tratados como responsable del tratamiento por EDP ENERGÍA,
S.A.U. y EDP COMERCIALIZADORA, S.A.U. con el fin de que puedan ser utilizados
para la tramitación de la gestión autorizada.
Los datos personales que usted nos facilita serán utilizados, en la forma y con las
limitaciones y derechos que reconoce el Reglamento General de Protección de Datos
(UE) 2016/679.

En el Canal fuerzas externas, el talonario de ventas proporciona la siguiente
información. En el reverso de la primera página aparece un apartado, titulado
“Información básica sobre Protección de Datos”: en el que figura lo siguiente:

“Los datos personales serán tratados por parte de EDP COMERCIALIZADORA,
S.A.U. y EDP ENERGÍA, S.A.U. (en adelante, conjuntamente, EDP) en calidad de
Responsables del Tratamiento, para el mantenimiento, desarrollo, cumplimiento y
gestión de la relación contractual, prevención del fraude, realización de perfiles
basados en información facilitada por el Cliente y/o derivada de la prestación del
servicio por parte de EDP, así como envío de comunicaciones comerciales, relativas a
productos y servicios relacionados con el suministro y consumo de energía,
mantenimiento de instalaciones y equipamiento, y que podrán ser personalizadas en
base a su perfil de Cliente, según se informa en las Condiciones Generales, pudiendo
oponerse en cualquier momento al envío de comunicaciones comerciales.
Adicionalmente, el Cliente presta su consentimiento explícito para los tratamientos de
datos personales recogidos en el anverso. Sin perjuicio de los consentimientos
prestados, el cliente podrá ejercitar, en todo momento, sus derechos de acceso,
rectificación, oposición, supresión, limitación y portabilidad, a través de cualquiera de
las vías indicadas en las Condiciones Generales.”

En la parte de condiciones generales figura la siguiente información relativa a
protección de datos personales:

92/141

Dichos datos, además de los obtenidos como consecuencia de la ejecución del
contrato, serán tratados por EDP COMERCIALIZADORA, S.A.U, con domicilio en
c/General Concha, 20, 48001, Bilbao y por EDP ENERGIA, S.A.U con domicilio en
Plaza del Fresno, 2 -33007, Oviedo en su calidad de Responsables del tratamiento,
con la finalidad de gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio, para la realización de acciones de prevención del
fraude, así como realización de perfiles, comunicaciones comerciales personalizadas
basadas en información facilitada por el Cliente y/o derivada de la prestación del
servicio por parte de EDP y relativas a productos y servicios relacionados con el
suministro y consumo de energía, mantenimiento de instalaciones y equipamientos.
Dichos tratamientos serán realizados dando estricto cumplimiento a la legislación
vigente y en la medida que sean necesarios para la ejecución del contrato y/o la
satisfacción de los intereses legítimos de EDP, siempre que sobre estos últimos no
prevalezcan otros derechos del cliente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/141

Los datos personales serán conservados durante la vigencia de la relación contractual
y como máximo, durante el plazo de prescripción de las acciones legales
correspondiente, salvo que el Cliente autorice su tratamiento por un plazo superior,
aplicándose desde el comienzo del tratamiento medidas organizativas y de seguridad
para garantizar la integridad, confidencialidad, disponibilidad y resiliencia de los datos
personales
Comunicaciones y destinatarios de los datos personales.
Todos los datos personales derivados de la prestación del servicio y los obtenidos en
virtud del presente contrato podrán ser comunicados a las siguientes entidades:
i) La empresa distribuidora correspondiente, produciéndose con la misma un
intercambio de información permanente para la adecuada prestación del
servicio, entre ellos la solicitud de acceso a su red, las lecturas (que en el caso
de contador telegestionado serán horaria) y/o estimación de consumo, control
de calidad del suministro, solicitud de cortes de suministro, modificaciones en
la potencia, etc.
ii) Los Organismos y Administraciones Públicas que por Ley corresponda.
iii) Los Bancos y entidades financieras para el cobro de los servicios prestados.
iv) Otras empresas del grupo empresarial, únicamente para fines administrativos
internos y la gestión de los productos y servicios contratados.
v) Servicios de solvencia patrimonial y crédito de ámbito nacional (Asnef-Equifax,
…) a los que en caso de impago, sin causa justificada por parte del Cliente, se
podrá comunicar la deuda, así como servicios de prevención contra el fraude,
con el único fin de identificar información errónea o fraudulenta facilitada
durante el proceso de contratación.
vi) Proveedores de EDP necesarios para el adecuado cumplimiento de las
obligaciones contractuales, incluso aquellos que pueden estar ubicados fuera
del Espacio Económico Europeo encontrándose en tal caso debidamente
adecuada la transferencia internacional de datos.
Derechos del titular de los datos
El cliente contará en todo momento con la posibilidad de ejercitar de forma libre y
completamente gratuita los siguientes derechos:
i) Acceder a sus datos personales que sean tratados por parte de
EDP.
ii) Rectificar sus datos personales que son tratados por parte de EDP
que resulten inexactos o incompletos.
iii) Suprimir sus datos personales que son tratados por EDP
iv) Limitar el tratamiento por parte de EDP de todos o parte de sus
datos personales.
v) Oponerse a determinados tratamientos y adopción de decisiones
automatizadas de sus datos personales, requiriendo la intervención
humana en el proceso, así como a impugnar las decisiones que
sean finalmente adoptadas en virtud del tratamiento de sus datos.
vi) Portar sus datos personales en un formato interoperable y
autosuficiente.
vii) Retirar en cualquier momento, los consentimientos otorgados
previamente.
De conformidad con la normativa vigente, el usuario puede ejercer sus derechos
solicitándolo por escrito, y junto a una copia de documento fehaciente de acreditación
de la identidad, en la siguiente dirección postal: Plaza del Fresno, 2, 33007 Oviedo o
en el correo electrónico cclopd@edpenergía.es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/141

Igualmente, podrá ponerse en contacto con el delegado de protección de datos de
EDP en la siguiente dirección postal Plaza del Fresno, 2, 33007 Oviedo o en el correo
electrónico dpd,es@edpenergía.es, en el caso de que entienda vulnerado alguno de
sus derechos relacionados con la protección de datos, o en su caso, interponer una
reclamación ante la Agencia Española de Protección de Datos, en la dirección Calle de
Jorge Juan, 6, 28001. Madrid “

7. Consta que el número de contratos suscritos en los años 2018 y 2019 por terceros
en representación de personas físicas es el siguiente:
A. Canal Telefónico:

A.1 – CAC INBOUND
Año Canal Representación Nº Contratos
2018 CAC Parentesco 1.346
2018 CAC Sin parentesco 394
2019 CAC Parentesco 983
2019 CAC Sin parentesco 278

A.3 – LEADS
Año Canal Representación Nº Contratos
2018 LEADS Parentesco 5.518
2018 LEADS Sin parentesco 849
2019 LEADS Parentesco 6.127
2019 LEADS Sin parentesco 1.160

B. Web: No se contempla la contratación con representante.

C. Distribuidores (Oficinas comerciales propias):

Año Canal Representación Nº Contratos
2018 OOCC Parentesco 194
2018 OOCC Sin parentesco 67
2019 OOCC Parentesco 174
2019 OOCC Sin parentesco 78

D. Fuerzas de Venta Externas: (stands ferias, centros comerciales – visita a domicilio)

Año Canal Representación Nº Contratos
2018 FVE Parentesco 10.758
2018 FVE Sin parentesco 118
2019 FVE Parentesco 1.556
2019 FVE Sin parentesco 58

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/141

8.Consta que con fecha 16 de julio tuvo entrada en la AEPD escrito de EDP
Comercializadora S.A.U. en el que expone que” ha revisado el procedimiento a seguir
en las contrataciones por terceros en nombre del titular, a fin de fortalecer dicho
procedimiento y reducir los riesgos de posibles suplantaciones de identidad realizadas
de mala fe por la parte contratante en este tipo de procesos, teniendo en cuenta,
adicionalmente, las necesidades particulares identificadas con motivo del estado de
alarma decretado el pasado mes de marzo y que necesariamente ha requerido que
todas las contrataciones sean realizadas de forma no presencial.
Que a fin de poner en el conocimiento de la AEPD las concretas acciones que se
están llevando a cabo en relación con este asunto por parte de EDP, en cumplimiento
de su deber de cumplimiento proactivo (accountability), les adjuntamos el
“Procedimiento de contratación por terceros en nombre del titular”, para que tengan
visibilidad sobre las modificaciones que se están implementando en dichos procesos
con el fin de atender su petición al respecto, así como para poner de manifiesto la
proactividad de EDP en cuanto a su sugerencia de adaptación de dicho
procedimiento.” Dicho procedimiento se detalla a continuación.

9. EDP COMERCIALIZADORA S.A.U, aporta en respuesta a la petición efectuadas
por esta Agencia en el marco de las actividades de investigación extracto del Registro
de Actividades de Tratamiento que incluye los registros relativos a las actividades que
se realizan en el ámbito de la contratación de productos y/o servicios y el análisis de
riesgos realizado relativo a los tratamientos que se realizan en el contexto de la
contratación de productos y/o servicios.

El análisis de riesgos se contiene en un documento de Excel, no contiene fecha
ni firma. Se enumeran 15 factores de riesgo; 1. Información comercialmente
sensible, 2. Comunicaciones Comerciales, 3. Origen Datos (fuente externa o
interna), 4. Cesiones de Datos. 5, Encargados Tratamiento. 6. Transferencias
internacionales. 7. Actividades de scoring/Profiling. 8.Decisiones
automatizadas. 9. Monitorización sistemática de titulares. 10. Categorías
especiales de datos. 11. Tratamientos de datos a gran escala. 12.
Interconexiones de datos/ Big Data. 13. Datos Menores/ Titulares vulnerables.
14. Aplicación o uso de tecnologías innovadoras.15. Tratamiento inevitable/
Restricción ejercicio derechos o acceso servicio. En cuanto a la valoración
potencial del riesgo inherente, la escala de riesgo tiene 4 niveles: bajo, con una
valoración de 0 a 12; medio valoración de 13 a 25; alto de 26 a 38 y muy alto
de 39 a 51. La valoración o peso que se da a cada uno de los factores de
riesgo es de 1 a 4. En el análisis de riesgos se marca para cada uno de los
canales de venta un sí o un no en cada uno los 15 factores de riesgo antes
enumerados. La suma del peso atribuido a de cada uno de los factores para
cada canal determina el riesgo inherente. El resultado del riesgo inherente es
medio en todos los canales de contratación, excepto en los canales web y
fuerzas externas a través de visitas a domicilio en los que el resultado del
riesgo inherente es bajo. No se indican medidas de corrección de riesgo.

Estos documentos se declaran reproducidos en este acto a efectos probatorios

10. Consta que para acceder a las Condiciones Generales, a las que se remite en los
procesos telefónicos para obtener el resto de la información respecto al tratamiento de
los datos personales, en la página www.energía.es debe seguirse el proceso siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/141

-Acceso mediante el navegador de internet a la dirección
https://www.edpenergia.es/es/

- Introducción en el buscador de la propia página del texto: “Condiciones Generales”

11.Se aportan los siguientes documentos en apoyo de las alegaciones formuladas:

Anexo.1.a) Metodología de análisis de riegos y realización de Días
- Anexo 1.b) RAT contratación EDPC
- Anexo 1.c) Evaluación de riesgos RAT- Contratación EDPC
- Anexo 1.e) Evaluaciones de impacto -Valoraciones de Riesgos
- Anexo 1.f) Evaluaciones de impacto- Informes

Anexo 2 :
- Metodología_Privacy by Design by Default de EDP
- Instrucción Operativa Privacy by Design & Privacy by Default
- Formulario Privacy by Design & Privacy by Default
- Flujograma Procedimiento Privacy By Design.

Anexo 4:

- Ejemplos de solicitudes de ejercicio de derechos.

La Metodología de análisis de riesgos y realización de DPIAS (DATA PRIVACY
ASSESSMENTS) contiene en su primera página un histórico de versiones, siendo la
fecha de la versión inicial 24/11/2017 y la última el 11/05/2018 fecha de la revisión
previa a la aplicabilidad del RGPD. A ella se acompañan diversos anexos cuya fecha
no consta.

El documento contenido en el anexo 1.b RAT, EDPC, cuya fecha no consta, incluye
una finalidad de tratamiento no incluida en el Registro de actividades de tratamiento
remitidas a esta Agencia con fecha 17 de junio de 2020. En concreto dicho tratamiento
que ahora se incluye tiene el siguiente contenido:
Responsable: EDP Comercializadora S.A.U.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/141

Finalidad del tratamiento: “Realización de Scoring de clientes del segmento B2C previo
a la contratación”,
Descripción: “Realización de Scoring de clientes del segmento B2C previo a la
contratación de acuerdo a la deuda pendiente interna e información de ficheros de
solvencia (ASNEF).”
Categoría de los titulares de los datos: “Clientes y clientes potenciales.”
Categoría de datos personales tratados: “Datos identificativos y datos económicos.”
Base legal para la realización del tratamiento: “Satisfacción de intereses legítimos.”
Plazo de conservación de los datos personales: “5 años desde la finalización de la
relación contractual. La deuda cierta, vencida y exigible derivada de la ejecución del
contrato se mantendrá hasta su cancelación o el plazo de prescripción de las acciones
legales pertinentes de recobro.”
Cesiones de datos (destinatarios datos, diferentes a los encargados del tratamiento):
“ASNEF es corresponsable de tratamiento, según deberá recoger el acuerdo firmado
con ASNEF.”
Categorías encargados tratamiento: La casilla no tiene contenido.
Transferencia internacional de datos: No

El anexo 1.c) bajo el nombre “Evaluación de Riesgos RAT- Contratación EDPC”, cuya
fecha tampoco se refleja en el documento, contiene el análisis de riesgos, en forma de
matriz, igual al presentado en fecha 17 de junio de 2020, con el mismo contenido, si
bien se han añadido dos columnas bajo el título el “tratamiento requiere PIA”, las dos
tituladas “Nº de criterios EDP-W29”, en la primera se indica un número que parece
corresponderse con su título y en la segunda se indica la necesidad de efectuar una
evaluación de impacto. En dicha matriz aparece también un nuevo tratamiento cuya
finalidad es la “Realización de Scoring de clientes del segmento B2C previo a la
contratación”.
Se aportan diversos documentos titulados evaluaciones de impacto, cuya fecha
tampoco consta, estas evaluaciones de impacto son las siguientes:
-Evaluación de riesgos realización de Scoring de clientes B2C previo a la contratación,
en el que entre otras amenazas se indican las siguientes:
-“la base que legitima el tratamiento no es adecuada, es ilícita o no se ha formulado
adecuadamente”, cuyo probabilidad se fija como alta, con un impacto calificado como
muy alto y resultando el riesgo inherente Alto. En cuanto a los controles implantados
frente a dicha amenaza se señala que “la base legal del tratamiento es satisfacer un
interés legítimo (prevención del fraude)”.
–“En el momento de la recogida de los datos no se proporciona la información mínima
prevista a la persona o no se le proporciona ninguna información.” En este supuesto
se considera que “no aplica” ni la probabilidad ni el impacto, ni existe un riesgo
inherente, siendo los controles la “cláusula de Protección de datos incluida en el
contrato firmado con el cliente con toda la información requerida por el RGPD” y la
“información facilitada al cliente previamente a la realización del proceso de scoring”

98/141

ilícita o no se ha formulado adecuadamente” y “en el momento de la recogida de los
datos no se proporciona la información mínima prevista a la persona o no se le
proporciona ninguna información” En ambos casos se valora la probabilidad como alta,
el impacto como muy alto y el riesgo inherente alto. Se mencionan los controles
adoptados, referidos a la base legitimadora del tratamiento en el primero de los casos
y “cláusula de Protección de datos incluida en el contrato firmado con el cliente con
toda la información requerida por el RGPD” en el segundo. Se describen entre los
controles en curso para ambas amenazas en todos los canales, excepto en el canal
OOCC, “la implantación de un nuevo procedimiento de contratación a través de
representante, incorporando el envío de un mensaje SMS/Email a través del cual se
facilita la información básica necesaria en materia de protección de datos al titular del
contrato.”
No se expresa la fecha en que se incorporaron las actuaciones en curso a las
correspondientes evaluaciones de impacto.

Estos documentos se declaran reproducidos en este acto a efectos probatorios.

FUNDAMENTOS DE DERECHO

En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679,
del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las
Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante
RGPD) reconoce a cada Autoridad de Control, y según lo establecido en los artículos
47, 48, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la
Directora de la Agencia Española de Protección de Datos es competente para iniciar y
resolver este procedimiento.

El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

El artículo 4 del Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de estos datos
(Reglamento General de Protección de Datos, en adelante RGPD), bajo la rúbrica
“Definiciones”, dispone lo siguiente:

“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

99/141

automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción”.

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros”

El artículo 24.1 del RGPD dispone respecto de la responsabilidad del responsable del
tratamiento que “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del
tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.”

En el presente supuesto, consta que EDP COMERCIALIZADORA, S.A.U es el
responsable de los tratamientos de datos, referidos en los antecedentes de hecho del
presente acuerdo de inicio del procedimiento sancionador, toda vez que, conforme a la
definición del artículo 4.7 del RGPD, es quien determina la finalidad y medios de los
tratamientos realizados con las finalidades señaladas en la documentación aportada
relativa a la contratación de sus servicios, por lo que en su condición de responsable del
tratamiento está obligada a cumplir con lo dispuesto en el transcrito art 24 del RGPD y en
especial en cuanto al control efectivo y continuado de “medidas técnicas y organizativas
apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el
presente Reglamento”

Asimismo, el artículo 25.1 del RGPD establece que “Teniendo en cuenta el estado de
la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del
tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el
tratamiento para los derechos y libertades de las personas físicas, el responsable del
tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento
como en el momento del propio tratamiento, medidas técnicas y organizativas
apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los
principios de protección de datos, como la minimización de datos, e integrar las
garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados.”

Se tiene en cuenta a estos efectos lo señalado en los siguientes considerandos del
RGPD:

74. “Debe quedar establecida la responsabilidad del responsable del tratamiento por
cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En
particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y
ha de poder demostrar la conformidad de las actividades de tratamiento con el
presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

100/141

en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el
riesgo para los derechos y libertades de las personas físicas.”

75. “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y
probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar
daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los
que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de
identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de
confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la
seudonimización o cualquier otro perjuicio económico o social significativo; en los
casos en los que se prive a los interesados de sus derechos y libertades o se les
impida ejercer el control sobre sus datos personales; en los casos en los que los datos
personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión
o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos,
datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones
penales o medidas de seguridad conexas; en los casos en los que se evalúen
aspectos personales, en particular el análisis o la predicción de aspectos referidos al
rendimiento en el trabajo, situación económica, salud, preferencias o intereses
personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o
utilizar perfiles personales; en los casos en los que se traten datos personales de
personas vulnerables, en particular niños; o en los casos en los que el tratamiento
implique una gran cantidad de datos personales y afecte a un gran número de
interesados.”

76. “La probabilidad y la gravedad del riesgo para los derechos y libertades del
interesado debe determinarse con referencia a la naturaleza, el alcance, el contexto y
los fines del tratamiento de datos. El riesgo debe ponderarse sobre la base de una
evaluación objetiva mediante la cual se determine si las operaciones de tratamiento de
datos suponen un riesgo o si el riesgo es alto.”

Por consiguiente, el responsable del tratamiento debe llevar a cabo un análisis de los
riesgos que los tratamientos de datos que efectúa puedan tener para los derechos y
libertades de las personas físicas, implantando las medidas técnicas y organizativas
apropiadas para aplicar los principios de protección de datos e integrar las garantías
necesarias en el tratamiento a fin de cumplir los requisitos del RGPD, debiendo poder
demostrar que el tratamiento es conforme con lo previsto en la citada norma.

Los principios de protección de datos se encuentran recogidos en el artículo 5 del
RGPD, debiendo destacarse aquí el primero de ellos relativo a la licitud del
tratamiento. Conforme al artículo 5.1.a del RGPD “Los datos personales serán: a)
tratados de manera lícita, leal y transparente en relación con el interesado («licitud,
lealtad y transparencia»). El número segundo del artículo 5 dispone que “El
responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el
apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).”

La licitud del tratamiento implica que los datos personales solamente pueden ser
tratados por el responsable del tratamiento cuando concurra alguna de las bases
legitimadoras enumeradas en el artículo 6 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

101/141

Teniendo en cuenta la documentación aportada por el responsable del tratamiento,
cabe señalar que la contratación de los servicios de gas por parte de EDP,
COMERCIALIZADORA, S.A.U. puede llevarse a cabo por diferentes canales siendo
estos los siguientes:
A- Telefónico, que incluye los siguientes subcanales: CAC Inbound, Telemarketing y
Leads.
B. Canal Web.
C. Distribuidores, que incluye Oficinas Comerciales propias de EDP y Tiendas ajenas.
D. Fuerzas de Venta Externas, que pueden ser: Stands en Ferias, Centros
Comerciales, etc., o visitas a domicilio con solicitud previa.

Conforme a dicha documentación, la contratación del servicio puede llevarse a cabo
con un representante del cliente, excepto cuando se trata del canal web y el subcanal
tiendas ajenas en que no está permitida. El examen de los procedimientos de
contratación del servicio descritos por el responsable y la documentación aportada
evidencian que cuando la contratación del servicio se lleva a cabo mediante
representante no se requiere a éste que acredite la representación que dice ostentar.
Esta ausencia de acreditación tiene una única excepción cuando la contratación del
servicio se efectúa en el subcanal Oficinas comerciales propias en que se recaba un
documento acreditativo de la autorización otorgada para la contratación por el
representado unida a la presentación del DNI de éste (evidencia 5).

De este modo, en la medida en que no se ha implantado un procedimiento que permita
acreditar la representación de quien efectúa una contratación en nombre de un
tercero, se pueden generar diversos riesgos pudiendo mencionarse, a título de
ejemplo, el consistente en un tratamiento de datos del representado sin legitimación, el
riesgo de suplantación de identidad o los perjuicios económicos o de otro tipo que se
puedan ocasionar al interesado como consecuencia del cambio de compañía
suministradora del servicio con la consiguiente cancelación del contrato de origen o el
cambio de titularidad del contrato o de la modalidad del contrato con la compañía
suministradora, sin que el interesado haya consentido tales cambios.

En segundo lugar, en la documentación aportada se observa que en el canal de
contratación telefónica ( subcanales CAC inbound, Telemarketing y leads) junto a la
contratación del servicio, se solicita el consentimiento para llevar a cabo otros
tratamientos, tales como el envío de ofertas relacionadas con la energía adaptadas al
perfil del cliente tras la finalización del contrato o la remisión en cualquier momento de
información de productos o servicios no energéticos de empresas colaboradoras o de
EDP. Esta solicitud se efectúa al representante como se desprende de la propia
literalidad del texto de las evidencias 2, 3 y 4 remitidas, según las cuales se pregunta a
éste: “¿Nos permite presentar a su representado ofertas relacionadas con la energía
adaptadas a su perfil tras la finalización del contrato, o remitirle en cualquier momento
información de productos y servicios no energéticos, de Empresas Colaboradoras o de
EDP?” (evidencia 2) “¿Nos permite presentar a su representado ofertas relacionadas
con la energía tras la finalización del contrato, o remitirle en cualquier momento
información de productos y servicios del sector financiero, asegurador y de
automoción, de Empresas Colaboradoras o de EDP?” (evidencia 3). “¿Nos permite
presentarle ofertas relacionadas con la energía adaptadas a su perfil tras la
finalización del contrato, o remitirle en cualquier momento información de productos y
servicios no energéticos, de Empresas Colaboradoras o de EDP? (evidencia 4).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

102/141

En ninguno de los tres supuestos, según se desprende del análisis de los
procedimientos seguidos por el responsable en los procesos de contratación, se
solicita acreditación de que el representante ha sido autorizado para prestar tal
consentimiento en nombre del representado.

Tampoco se acredita que el representante haya sido autorizado por su representado
para consentir el tratamiento de datos con fines publicitarios a que arriba se ha hecho
referencia, en el caso de que así lo haga, cuando el proceso de contratación se lleve a
cabo a través del canal de oficinas comerciales propias de EDP
COMERCIALIZADORA, S.A.U. ya que no se contempla tal posibilidad en el
documento presentado como evidencia 5, en el que se contienen las autorizaciones
para diversos tratamientos por parte del representante, debiendo tenerse en cuenta
que debe, en su caso, tratarse de un mandato específico sin que pueda deducirse de
una autorización general para otros tratamientos.

En el caso de la contratación a través del canal fuerzas externas, la evidencia 6, a la
que el responsable denomina talonario de ventas, contiene, en el recuadro titulado
“cliente/representante”, una casilla para consentir el tratamiento de datos personales,
en los siguientes términos: “Consiento el tratamiento de mis datos personales una vez
finalizada la relación contractual, para la realización de comunicaciones comerciales
adaptadas a mi perfil de productos y servicios relativos al suministro y consumo de
energía. Asimismo, consiento los mencionados tratamientos durante la vigencia y tras
la finalización del contrato, sobre productos y servicios no energéticos, tanto de las
empresas del Grupo EDP como de terceros.” En dicho contrato o talonario de ventas,
como se ha denominado por el responsable, consta igualmente, tras los espacios
destinados a los datos del representante que “declara disponer de facultades
suficientes para suscribir el presente contrato en nombre del cliente a quien se
responsabiliza de informar de todas las condiciones del mismo.” Tampoco en este
procedimiento de contratación se exige una acreditación de la representación que se
dice ostentar para contratar o prestar el consentimiento para otros tratamientos en
nombre del representado, siendo la representación meramente declarada por el
representante.

Tampoco en estos supuestos se ha implantado un procedimiento que permita acreditar
que el representante disponía de la autorización del representado para consentir tales
tratamientos, produciéndose el riesgo de tratamiento de datos del representado sin
legitimación, quedando éste expuesto a la recepción de publicidad incluso después de
finalizada la relación contractual. En el caso del canal fuerzas de venta externas se
incrementa el riesgo, dado que ni siquiera se envía el contrato al representado, sino
que se le da la copia al representante al que se responsabiliza de informar al
representado.

En tercer lugar, se observa en la documentación obrante en el presente procedimiento
que, en el momento de la contratación a través del canal telefónico, en todos los
subcanales, se solicita al representante permiso para “completar el perfil comercial del
representado con información de bases de terceros, con la finalidad de enviarle
propuestas comerciales y la posibilidad de contratar o no determinados servicios”
(evidencia 2, 3 y 4). Al igual que en el supuesto anterior no queda acreditado que el
representante esté autorizado por el representado para consentir tal tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

103/141

Lo mismo puede decirse cuando el consentimiento para este tratamiento se presta por
el representante en el canal oficinas comerciales propias, ya que no consta tampoco
en el documento en que se reflejan las autorizaciones que se otorgan al representante
(evidencia 5), autorizaciones específicas para que el representante preste su
consentimiento para tales tratamientos.

En el caso del canal fuerzas externas, en el denominado talonario de ventas, aparece
una casilla para prestar el consentimiento, que se formula de la siguiente manera:
“Consiento el tratamiento de mis datos personales para la elaboración de mi perfil
comercial con información proveniente de bases de datos de terceros, para la
adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar
propuestas comerciales personalizadas, así como para permitir, o no, la contratación
de determinados servicios.” Igualmente, no se exige acreditación de la autorización del
representado para prestar su consentimiento a estos tratamientos, considerando que
basta su declaración en tal sentido. Por otra parte, al igual que se puso de manifiesto
anteriormente, se aumenta el riesgo para el representado toda vez que del talonario de
ventas (evidencia 6) se desprende que se entrega una copia del documento al
representante al que se responsabiliza de informar al representado.

Tampoco en estos supuestos se ha implantado un procedimiento que permita acreditar
que el representante disponía de la autorización del representado para consentir tales
tratamientos, quedando el interesado expuesto a que se haga un perfilado con
información procedente de bases de datos de terceros o se tomen decisiones
automatizadas respecto de él sin haberlo consentido.

En las alegaciones al acuerdo de inicio del presente procedimiento se manifestaba que
la libertad de forma en el modo establecido en el Código Civil para el contrato de
mandato resulta incompatible con la obtención de una evidencia de la existencia de la
representación o mandato, más allá de las manifestaciones del mandatario, amparada
en la buena fe contractual. Sin embargo, tal y como esta Agencia ha señalado en la
propuesta de resolución, nada impide que una de las partes de un contrato requiera a
quien actúa como mandatario de la otra parte la acreditación de la representación que
dice ostentar, prueba de ello es que la propia EDP COMERCIALIZADORA, S.A.U. así
lo exige en su procedimiento de contratación en el canal oficinas comerciales propias,
requiriendo al representante un documento acreditativo de la autorización otorgada
para la contratación por el representado firmada por ambos a la que debe
acompañarse el DNI tanto del representante como del representado. Se alega ahora
por dicha entidad que no está obligada a efectuar con los terceros autorizados que
contratan a través del canal telefónico o fuerzas de venta externas ninguna
comprobación sobre la existencia y alcance de su mandato, sobre la base de que la
posibilidad de comprobación de los poderes del mandante constituyen una carga para
el mandatario, no para el tercero, puesto que los intereses que se trata de
salvaguardar, en el marco del derecho civil, son los de éste, y no los del mandatario ni
tampoco los del mandante. Se alega, asimismo, que en el poder para contratar el
servicio a través de tercero autorizado reside el poder para prestar los consentimientos
inherentes al proceso de contratación, incluidos los relativos al tratamiento de datos
personales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

104/141

Esta Agencia no puede compartir tales argumentos, la normativa de protección de
datos personales pone el foco en la protección de este derecho de los interesados, de
manera que sus datos solamente pueden ser tratados cuando existe una legitimación,
sin la cual no puede llevarse a cabo ningún tratamiento de datos. En el caso que nos
ocupa la legitimación puede derivar de la existencia de un contrato o de la prestación
de un consentimiento para determinados tratamientos, de modo que si el contrato se
efectúa por un tercero en representación del interesado o tales consentimientos se
prestan por un tercero en nombre del interesado, el responsable del tratamiento debe
actuar diligentemente para comprobar que efectivamente quien afirma estar
autorizado para actuar en nombre de otro, efectivamente lo está y que esa
autorización alcanza no solamente a la realización de un contrato, sino a la prestación
de consentimientos para otros tratamientos de datos diferentes que se le solicitan
durante el proceso de contratación. En este último caso, con mayor motivo puede
dudarse de la existencia de tal autorización por el interesado para consentir
tratamientos en su nombre, teniendo en cuenta que las solicitudes de consentimiento
para el envío de comunicaciones comerciales y de la realización de perfilados se
efectúan durante el proceso de contratación telefónica, de manera inesperada, de
manera que es difícil pensar que el representado haya autorizado previamente al
representante a prestar tales consentimientos. De la misma manera, resulta dudoso
que en un proceso de contratación en el canal fuerzas externas, que debe recordarse
se refiere a la contratación en stands de ferias o centros comerciales, exista una
autorización previa para consentir tratamientos en nombre del representado, ya que tal
solicitud se hace igualmente durante el proceso de contratación, agravándose el
riesgo para el interesado en tanto que ni siquiera se le envía el contrato, sino que se le
da copia al representante al que se responsabiliza de informar al representado.

De este modo el primero de los riesgos a valorar es precisamente la legitimación para
cada tratamiento, y en particular, y en el caso de que se actúe mediante representante
los riesgos que para el interesado tiene el tratamiento de sus datos sin la debida
legitimación, en el caso de que el representante carezca de poder para permitir tales
tratamientos.

El análisis de riesgos presentado inicialmente no contempla los riesgos mencionados
anteriormente, limitándose a mencionar como riesgos las comunicaciones comerciales
y el scoring/profiling, riesgos que ni siquiera se contemplan para el canal fuerzas de
venta externas. El análisis de riesgos presentado con las alegaciones al acuerdo de
inicio tampoco contempla tales riesgos, resultando sustancialmente igual al anterior
incluyéndose solamente dos columnas que bajo el mismo título “Nº criterios EIPD-
WP29” señalan en una de ellas el supuesto número de criterios y la necesidad de
llevar a cabo una EIPD.

Se aportan con las alegaciones al acuerdo de inicio varias evaluaciones de impacto,
una por cada uno de los canales de venta, en las que se se contemplan como
amenazas, entre otras, las dos siguientes: “la base que legitima el tratamiento no es
adecuada, es ilícita o no se ha formulado adecuadamente” y “en el momento de la
recogida de los datos no se proporciona la información mínima prevista a la persona o
no se le proporciona ninguna información” En ambos casos se valora la probabilidad
como alta, el impacto como muy alto y el riesgo inherente como alto. Se mencionan los
controles adoptados, que respecto de la primera amenaza vienen constituidos por la
referencia a la base legitimadora del tratamiento y en el caso de la segunda se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

105/141

señala como control adoptado lo siguiente: “cláusula de Protección de datos incluida
en el contrato firmado con el cliente con toda la información requerida por el RGPD”.
Se describen entre los controles en curso para ambas amenazas en todos los canales,
excepto en el canal OOCC a clientes o clientes potenciales, “la implantación de un
nuevo procedimiento de contratación a través de representante, incorporando el envío
de un mensaje SMS/Email a través del cual se facilita la información básica necesaria
en materia de protección de datos al titular del contrato.” No consta la fecha en que se
incorporó a las evaluaciones de impacto esa actuación en curso.

Alega EDP COMERCIALIZADORA, S.A.U que la AEPD pretende justificar el inicio de
este expediente sancionador en la supuesta inexistencia de una documentación que
nunca se ha solicitado. Y señala que cuenta con una metodología de identificación,
análisis y gestión de riesgos, tanto para identificar los riesgos inherentes, como
específicamente para valorar la necesidad de la realización de las Evaluaciones de
Impacto, incluyendo como anexo la documentación justificativa que acredita
sobradamente que cumple íntegra y plenamente con estas obligaciones.

A este respecto, debe tenerse en cuenta que las obligaciones establecidas en los
artículos 24 y 25 del RGPD no constituyen meras obligaciones formales, sino que
como señala el artículo 24 “el responsable aplicará medidas técnicas y organizativas
apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el
presente Reglamento.” Y el artículo 25, igualmente reitera que “el responsable del
tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento
como en el momento del propio tratamiento, medidas técnicas y organizativas
apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los
principios de protección de datos, como la minimización de datos, e integrar las
garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados.” Se trata además de una
obligación dinámica, cada modificación de las medidas técnicas y organizativas debe
igualmente ser objeto de un análisis de riesgos para determinar si dicha modificación
es apta para aplicar de forma efectiva los principios de protección de datos e integrar
las garantías necesarias en el tratamiento.

En el presente supuesto, con independencia de cuándo se haya incluido en cada
Evaluación de impacto entre los controles en curso la implantación de ese nuevo
procedimiento de contratación a través de representante, ya que dicha fecha no
consta, no es hasta el 16 de julio de 2020 en que se presenta ante esta Agencia un
escrito en el que se expone que “ha revisado el procedimiento a seguir en las
contrataciones por terceros en nombre del titular, a fin de fortalecer dicho
procedimiento y reducir los riesgos de posibles suplantaciones de identidad realizadas
de mala fe por la parte contratante en este tipo de procesos, teniendo en cuenta,
adicionalmente, las necesidades particulares identificadas con motivo del estado de
alarma decretado el pasado mes de marzo y que necesariamente ha requerido que
todas las contrataciones sean realizadas de forma no presencial.

Que a fin de poner en el conocimiento de la AEPD las concretas acciones que se
están llevando a cabo en relación con este asunto por parte de EDP, en cumplimiento
de su deber de cumplimiento proactivo (accountability), les adjuntamos el
“Procedimiento de contratación por terceros en nombre del titular”, para que tengan
visibilidad sobre las modificaciones que se están implementando en dichos procesos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

106/141

con el fin de atender su petición al respecto, así como para poner de manifiesto la
proactividad de EDP en cuanto a su sugerencia de adaptación de dicho
procedimiento.” Dicho escrito no señalaba la fecha de implantación de tales medidas.

En las alegaciones al acuerdo de inicio de EDP COMERCIALIZADORA S.A.U., se
expone que “el protocolo de contratación propuesto ha sido puesto en conocimiento
de la AEPD en fecha 16 de julio de 2020, presentado en todo caso antes de recibir el
escrito de Acuerdo de Inicio de Procedimiento Sancionador, siendo un Requerimiento
de información con número común para EPD ENERGÍA y EDP COMERCIALIZADORA
sin que hasta la fecha la AEPD se haya pronunciado respecto al mismo con el
correspondiente informe jurídico de valoración, tal y como se le solicitaba, para poder
implementar un sistema que fuera totalmente conforme con los criterios e
interpretaciones de la AEPD, limitándose hasta el momento a incluir en el Acuerdo de
Inicio remitido a EDP COMERCIALIZADORA determinadas consideraciones en
relación con el mismo.” Afirma igualmente que “En cuanto a la fecha de implantación,
la misma depende precisamente de la opinión que sobre este procedimiento
manifieste la AEPD, puesto que no tendría sentido ponerlo en marcha si la autoridad
de control considera que no se ajusta a sus criterios para considerarlo un
procedimiento adecuado, teniendo en cuenta los costes económicos asociados a esta
implementación, además de los recursos de tiempo y dedicación necesarios para el
despliegue de estas medidas.”

En las alegaciones a la propuesta de resolución se indica que el procedimiento se ha
implantado en enero de 2021. Añade también que se ha eliminado de su
procedimiento de contratación por representación la posibilidad de solicitar
consentimientos para finalidades de marketing y comerciales a los que se refiere la
AEPD, adjuntado unos documentos para evidenciar esta eliminación. Sin perjuicio de
que esta Agencia valore positivamente que se haya eliminado la posibilidad de solicitar
tales consentimientos, resulta sorprendente el procedimiento seguido en los canales
telefónicos, en los que la supresión consiste en indicar “[Leer solo a personas jurídicas
que llaman en representación de un negocio] Además, para que podamos asesorarle
con las mejores propuestas: • ¿Nos permite presentarle a su representado ofertas
relacionadas con la energía tras la finalización del contrato, o remitirle información de
productos y servicios no energéticos, propios de Empresas Colaboradoras? [SÍ/NO] •
¿Nos permite completar el perfil comercial de su representado con información
proporcionada por terceros, para enviarle propuestas personalizadas? [SÍ/NO].” La
normativa de protección de datos no ampara a las personas jurídicas, de modo que
resulta ajena a ella el que se solicite un consentimiento para llevar a cabo un perfilado
de éstas con información proporcionada por terceros para enviarle propuestas
personalizadas. En todo caso, no se indica qué tratamiento se va a dar a las
autorizaciones prestadas por representante de personas físicas para el envío de
comunicaciones comerciales y realización de perfilados solicitados con anterioridad a
la adopción de dicha medida. Por otra parte, tampoco se ha aportado el análisis de
riesgo del que deriva la modificación del procedimiento de contratación ni la
fundamentación sobre la aptitud de las medidas adoptadas para minimizarlos.
Reiterando el incumplimiento del principio de responsabilidad proactiva exigido por el
Reglamento.

Todo ello viene a demostrar que no se habían adoptado medidas para comprobar la
existencia de autorización para contratar o para prestar en nombre del representado el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

107/141

consentimiento para otros tratamientos hasta enero de este año en que se implantó
según exponen un nuevo procedimiento, para comprobar la realidad de la
representación y se ha eliminado, sin indicar desde que fecha, la posibilidad de
solicitar al representante la autorización para llevar a cabo tratamientos de datos
distintos al contrato como el envío de comunicaciones comerciales y la realización de
perfiles comerciales, incumpliéndose así las obligaciones establecidas en el artículo 25
que no vienen limitadas a aspectos formales, sino a la efectiva implantación de
medidas técnicas y organizativas apropiadas, medidas que a su vez deben ser objeto
del correspondiente análisis de riesgos para determinar su aptitud para conseguir el
resultado perseguido.

Por otra parte, en relación con lo expuesto en las alegaciones al acuerdo de inicio, en
que se indicaba que tales medidas no habían sido implantadas en tanto que esta
Agencia no había emitido un informe jurídico para evaluarlas, tal y como resulta de lo
previsto en el RGPD es el responsable, en cumplimiento de sus obligaciones de
responsabilidad proactiva, quien debe implantar las medidas técnicas y organizativas
necesarias, tal y como expresan los artículos 24 y 25 del RGPD, o como se señala en
los términos del considerando 73 de la misma norma: “En particular, el responsable
debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas” y es al responsable a quien corresponde valorar si tales
medidas resultan adecuadas. En segundo lugar, esta Agencia no está obligada a emitir
informe jurídico alguno sobre tales actuaciones, que además en el caso de que
voluntariamente pudiera emitirse, no tiene carácter vinculante, por lo que no cabe
justificar en la ausencia de un informe jurídico de la AEPD el incumplimiento de las
obligaciones del responsable.

Asimismo, en las alegaciones al acuerdo de inicio se indicaba por EDP
COMERCIALIZADORA la aplicación del principio non bis in idem, por considerar que
los presentes hechos fueron sancionados en un procedimiento que, a la fecha se
encuentra recurrido. A este respecto cabe recordar que la sentencia del Tribunal
Constitucional 77/2010, de 19 de octubre viene a señalar respecto de dicho principio
que “tal como hemos afirmado la citada triple identidad de sujeto, hecho y fundamento
"constituye el presupuesto de aplicación de la interdicción constitucional de incurrir en
bis in idem, sea éste sustantivo o procesal, y delimita el contenido de los derechos
fundamentales reconocidos en el art. 25.1 CE, ya que éstos no impiden la
concurrencia de cualesquiera sanciones y procedimientos sancionadores, ni siquiera si
éstos tienen por objeto los mismos hechos, sino que estos derechos fundamentales
consisten precisamente en no padecer una doble sanción y en no ser sometido a un
doble procedimiento punitivo, por los mismos hechos y con el mismo fundamento" No
puede admitirse tal alegación, ya que no cabe apreciar aquí que se trate de los
mismos hechos y fundamento que en el procedimiento a que hace referencia EDP
COMERCIALIZADORA, S.A.U., ya que en el mismo se le imputó una infracción del
artículo 6.1 del RGPD, por tratar los datos personales del reclamante sin legitimación.

En consecuencia, de conformidad con las constataciones expuestas, los citados
hechos suponen una vulneración del artículo 25 del RGPD, que da lugar a la
aplicación de los poderes correctivos que el artículo 58 del RGPD otorga a la Agencia
Española de Protección de datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

108/141

III

El número 11 del artículo 4 del RGPD define el consentimiento como “Toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen”

Por su parte, los artículos 6 y 7 del RGPD se refieren, respectivamente, a la “Licitud
del tratamiento” y las “Condiciones para el consentimiento”:

Artículo 6 del RGPD.“1. El tratamiento solo será lícito si se cumple al menos una de
las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas
a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al
tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más
precisa requisitos específicos de tratamiento y otras medidas que garanticen un
tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de
tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser
establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo
relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener
disposiciones específicas para adaptar la aplicación de normas del presente
Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento
por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

109/141

de tal comunicación; la limitación de la finalidad; los plazos de conservación de los
datos, así como las operaciones y los procedimientos del tratamiento, incluidas las
medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras
situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión
o de los Estados miembros cumplirá un objetivo de interés público y será proporcional
al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización”.

Artículo 7 del RGPD.
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita
que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de
tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de
fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte
de la declaración que constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La
retirada del consentimiento no afectará a la licitud del tratamiento basada en el
consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado
será informado de ello. Será tan fácil retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la
mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato,
incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de
datos personales que no son necesarios para la ejecución de dicho contrato”.

Se tiene en cuenta lo expresado en los considerandos 32, 40 a 44 y 47 del RGPD en
relación con lo establecido en los artículos 6 y 7 antes reseñados. De lo expresado en
estos considerandos, cabe destacar lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

110/141

(32) El consentimiento debe darse mediante un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada, e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernen, como una
declaración por escrito, inclusive por medios electrónicos, o una declaración verbal.
Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros
técnicos para la utilización de servicios de la sociedad de la información, o cualquier
otra declaración o conducta que indique claramente en este contexto que el interesado
acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las
casillas ya marcadas o la inacción no deben constituir consentimiento. El
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a
raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no
perturbar innecesariamente el uso del servicio para el que se presta.

(42) Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el
responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su
consentimiento a la operación de tratamiento. En particular en el contexto de una
declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el
interesado es consciente del hecho de que da su consentimiento y de la medida en
que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo (LCEur 1993, 1071),
debe proporcionarse un modelo de declaración de consentimiento elaborado
previamente por el responsable del tratamiento con una formulación inteligible y de
fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas
abusivas. Para que el consentimiento sea informado, el interesado debe conocer como
mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los
cuales están destinados los datos personales. El consentimiento no debe considerarse
libremente prestado cuando el interesado no goza de verdadera o libre elección o no
puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.

(43) (…) Se presume que el consentimiento no se ha dado libremente cuando no
permita autorizar por separado las distintas operaciones de tratamiento de datos
personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un
contrato, incluida la prestación de un servicio, sea dependiente del consentimiento,
aún cuando este no sea necesario para dicho cumplimiento.

Procede tener en cuenta, igualmente lo establecido en el artículo 6 de la LOPDGDD:

“Artículo 6. Tratamiento basado en el consentimiento del afectado
1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679,
se entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

111/141

De acuerdo con lo expresado, el tratamiento de datos requiere la existencia de una
base legal que lo legitime, como el consentimiento del interesado prestado
válidamente.

Del análisis de los procedimientos de contratación del servicio de gas establecidos por
EDP COMERCIALIZADORA, S.A.U, se desprende que en la contratación efectuada a
través de los subcanales telefónicos (CAC Inbound, Telemarketing y Leads) se solicita
al representante permiso para “completar el perfil comercial de representado con
información de bases de terceros, con la finalidad de enviarle propuestas comerciales
y la posibilidad de contratar o no determinados servicios” (evidencia 2, 3 y 4).

Consta en las evidencias 2,3 y 4 que se facilita la siguiente información al contratante
“Sus datos personales y los de su representado serán tratados por EDP Comercializa-
dora SAU y EDP Energía SAU para la gestión de sus contratos, prevención de fraude,
realización de perfiles basados en información del cliente y de EDP, así como la reali-
zación de comunicaciones personalizadas sobre productos o servicios directamente
relacionados con sus contratos, pudiendo en cualquier momento oponerse a las mis-
mas". A continuación, se le solicita su consentimiento en los siguientes términos:
"Adicionalmente, para que desde EDP podamos asesorarle con las mejores propues-
tas:
¿Nos permite completar el perfil comercial de su representado con información de ba-
ses de datos de terceros, con la finalidad de enviarle propuestas personalizadas y la
posibilidad de contratar o no determinados servicios? [SI/NO]”
En lo que respecta al canal ventas por fuerzas de venta externas, en el Talonario de
ventas (evidencia 6), figura la siguiente solicitud de consentimiento junto con una
casilla para marcar el mismo:
“Consiento el tratamiento de mis datos personales para la elaboración de mi perfil
comercial con información proveniente de bases de datos de terceros, para la
adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar
propuestas comerciales personalizadas, así como para permitir, o no, la contratación
de determinados servicios.”
Se considera que el consentimiento así prestado no resulta ajustado a lo previsto en el
RGPD y en la LOPDGDD. Se pide un consentimiento con una información deficiente,
en tanto no se indican ni qué bases de terceros se van a consultar ni qué tipo de datos
se van a recabar, de modo que el interesado desconoce absolutamente que es lo que
está consintiendo. Tampoco se determina quien va a ser el responsable del
tratamiento, se hace una referencia genérica a EDP, sin que el cliente que haya
contratado un servicio únicamente con una de las dos entidades (EDP
COMERCIALIZADORA S.A.U. o EDP ENERGIA, S.A.U.) sepa si está consintiendo
que tales tratamientos lo lleven a cabo ambas entidades o solamente aquella de la que
es cliente. Tampoco se aclara que tipo de servicios se va a permitir contratar o no.
Tales deficiencias no permiten que el interesado conozca las consecuencias de su
decisión y valore así la conveniencia de prestar o no su consentimiento.

Se pide, asimismo, un único consentimiento para dos finalidades diferentes, aunque
ambas sean automatizadas, una de ellas es el envío de publicidad personalizada y, la
otra, dar permiso para que el responsable determine si le permite o no contratar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

112/141

determinados servicios, por lo que no puede considerarse que tal consentimiento sea
específico en los términos de los artículos 4.11 y 6,1.a) del RGPD y 6.1 de la
LOPDGDD.

Respecto a la decisión automatizada relativa a “permitir o no la contratación de un
servicio” debe, además, tenerse en cuenta lo previsto en el artículo 22 del RGPD
según el cual:
“1. Todo interesado tendrá derecho a no ser objeto de una decisión basada
únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que
produzca efectos jurídicos en él o le afecte significativamente de modo similar.
2. El apartado 1 no se aplicará si la decisión:
a) es necesaria para la celebración o la ejecución de un contrato entre el interesado y
un responsable del tratamiento;
b) está autorizada por el Derecho de la Unión o de los Estados miembros que se
aplique al responsable del tratamiento y que establezca asimismo medidas adecuadas
para salvaguardar los derechos y libertades y los intereses legítimos del interesado, o
c) se basa en el consentimiento explícito del interesado.
3. En los casos a que se refiere el apartado 2, letras a) y c), el responsable del
tratamiento adoptará las medidas adecuadas para salvaguardar los derechos y
libertades y los intereses legítimos del interesado, como mínimo el derecho a obtener
intervención humana por parte del responsable, a expresar su punto de vista y a
impugnar la decisión.
4. Las decisiones a que se refiere el apartado 2 no se basarán en las categorías
especiales de datos personales contempladas en el artículo 9, apartado 1, salvo que
se aplique el artículo 9, apartado 2, letra a) o g), y se hayan tomado medidas
adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del
interesado.”

De conformidad con lo previsto en dicho precepto, en la medida en que las decisiones
automatizadas van a producir efectos jurídicos en el interesado o le van a afectar de
modo significativo, el consentimiento debe ser explícito, por lo que su obtención no
puede efectuarse de la misma manera que para obtener un consentimiento general,
debiendo obtenerse de forma reforzada. A ello debe añadirse que el artículo 13 del
RGPD en su letra f) requiere que se aporte al interesado información significativa
sobre la lógica aplicada, así como la importancia y las consecuencias previstas de
dicho tratamiento para el interesado. Esta información no se facilita lo que, además,
puede dificultar el ejercicio por parte de los interesados de sus derechos y en especial
de los recogidos expresamente en el art. 22 del RGPD: derecho a obtener intervención
humana por parte del responsable, a expresar su punto de vista y a impugnar la
decisión.

Alega EDP COMERCIALIZADORA, S.AU. que el consentimiento se facilita en función
de las buenas prácticas enunciadas por la AEPD y ratificadas por la LOPDGDD, de
modo que se traslada a los interesados mediante el sistema de doble capa, alega
también que respecto de la ausencia de identificación de las fuentes de terceros o de
las categorías de datos, dicha información puede desprenderse de la información
facilitada al cliente en la primera capa (al identificar con claridad que el tratamiento
será efectuado con fuentes de terceros) como en la segunda capa, cuyo contenido
consta en el apartado denominado “condiciones generales del contrato”, cuyo
contenido señala: “(II) La elaboración de perfiles comerciales del Cliente mediante la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

113/141

agregación de las bases de datos de EDP con datos provenientes de bases de datos
de terceros, con el fin de ofrecer al Cliente productos y servicios personalizados,
mejorando así la experiencia del Cliente. (III)La adopción de decisiones
automatizadas, tales como permitir la contratación, o no, de determinados productos
y/o servicios basadas en el perfil del Cliente y particularmente, en datos tales como, el
histórico de impagos, el histórico de contrataciones, permanencia, ubicaciones, datos
de consumo, tipos de dispositivos conectados a la red energética, y datos semejantes
que permitan conocer con mayor detalle los riesgos asociados a la contratación. (iv)
Tomando como base los resultados obtenidos de la agregación de los datos indicados,
EDP podrá realizar ofertas personalizadas y concretamente orientadas a lograr la
contratación de determinados productos y/o servicios de EDP.”

Señala que tal y como se refleja en el texto citado, EDP COMERCIALIZADORA ha
identificado con amplio detalle las tipologías de datos que se tratan con los fines
detallados, siendo las fuentes consultadas para ello una evidente derivación de lo
anterior. Alega por último que siendo el origen de los datos el propio interesado,
únicamente corresponde a la Entidad informar de acuerdo con lo previsto en el artículo
13 RGPD, disposición que no establece, en ninguno de sus preceptos, la
obligatoriedad de identificar ni la fuente ni la tipología de los datos. Únicamente en el
caso de que dicho tratamiento se hubiera llegado a efectuar, la Entidad debía haber
informado de tales extremos, toda vez que solo en dicho momento sería de aplicación
lo dispuesto en el artículo 14 RGPD.

Dichas alegaciones no pueden compartirse, el sistema de doble capa no está previsto
en la LOPDGDD como un mecanismo que pueda dar lugar a un incumplimiento de lo
previsto en el artículo 4.11 del RGPD, según el cual el consentimiento debe ser libre,
específico, informado e inequívoco. Cabe aquí recordar lo señalado por el Comité
Europeo de Protección de Datos en el documento ““Directrices 05/2020 sobre el
consentimiento con arreglo al Reglamento 2016/679” aprobadas el 4 de mayo de
2020, que actualiza las Directrices sobre el consentimiento en virtud del Reglamento
2016/679, adoptadas por el Grupo de Trabajo del artículo 29 y que fueron aprobadas
por el Comité Europeo de Protección de Datos en su primera reunión plenaria. Señala
dicho documento en su punto 3.3.1. Requisitos mínimos de contenido para que el
consentimiento sea «informado»:
“Para que el consentimiento sea informado es necesario comunicar al interesado
ciertos elementos que son cruciales para poder elegir. Por tanto, el CEPD opina que
se requiere, al menos, la información siguiente para obtener el consentimiento válido:
i. la identidad del responsable del tratamiento,
ii. el fin de cada una de las operaciones de tratamiento para las que se solicita el
consentimiento,
iii. qué (tipo de) datos van a recogerse y utilizarse,
iv. la existencia del derecho a retirar el consentimiento,
v. información sobre el uso de los datos para decisiones automatizadas de
conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi. información sobre los posibles riesgos de transferencia de datos debido a la
ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se
describen en el artículo 46.”

En el presente caso, no queda determinada la identidad del responsable del
tratamiento, toda vez que el mismo se recaba en nombre de EDP, se trata de una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

114/141

información ambigua, ya que el cliente de EDP COMERCIALIZADORA S.A.U.
desconoce si está consintiendo que los tratamientos de datos se lleven a cabo por
EDP COMERCIALIZADORA S.A.U y EDP ENERGIA, S.A.U o solamente por aquélla
entidad con la que está contratando. Por otra parte, en ningún momento se le informa
cuáles son las bases de datos de terceros de las que van a obtenerse datos, ni
siquiera en la segunda capa, resultando inadmisible que deba deducirla el propio
cliente de las categorías de datos que trata. Tampoco cabe admitir que solamente en
el supuesto de que se hubiera llevado a cabo el tratamiento debería informarse al
interesado de qué datos van a tratarse, ya que solamente en tal caso resultaría de
aplicación el artículo 14 del RGPD. Por el contrario, es fundamental que el interesado
conozca que tipos de datos van a recogerse y utilizarse, por lo que tal información,
esto es los datos de bases de terceros que van a utilizarse y, obviamente, que bases
son esas, es un elemento esencial para que el interesado sepa qué está consintiendo.

No pueden compartirse las alegaciones relativas a que el consentimiento es específico
porque existe un único propósito, como sería la generación de un perfil comercial,
cuya utilización se ciñe a dos contextos vinculados entre sí: (i) el primero, para llevar a
cabo la valoración de la posibilidad de contratar y, (ii) el segundo, para emitir las
correspondientes ofertas comerciales al usuario en cuestión. Las solicitudes de
consentimiento para permitir completar el perfil comercial mencionan dos finalidades
diferenciadas, uno el envío de propuestas comerciales personalizadas, descritas con
este carácter genérico lo que puede incluir cualquier propuesta comercial no vinculada
a sus servicios y otra, la posibilidad de contratar o no determinados servicios, entrando
esta última, en su caso, en el ámbito de las decisiones automatizadas.

Tampoco cabe admitir, como alega EDP COMERCIALIZADORA, S.A.U que la
información relativa a la elaboración de perfiles y decisiones automatizadas, cumple
con lo requerido por el artículo 13 del RGPD, ya que informa sobre la existencia de
decisiones automatizadas, incluida la elaboración de perfiles y facilita información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.

En este sentido cabe tener en cuenta lo señalado en las Directrices sobre decisiones
individuales automatizadas y elaboración de perfiles a los efectos del Reglamento
2016/679 adoptadas por el Grupo de Trabajo sobre Protección de Datos del artículo 29
el 3 de octubre de 2017, revisadas por última vez y adoptadas el 6 de febrero de 2018
y aprobadas por el Comité Europeo de Protección de Datos en su primera reunión
plenaria, que se refiere a la información significativa sobre la lógica aplicada en los
siguientes términos:

“Información significativa sobre la «lógica aplicada»
El crecimiento y la complejidad del aprendizaje automático pueden hacer que resulte difícil
entender cómo funciona un proceso de decisiones automatizadas o de elaboración de perfiles.
El responsable del tratamiento debe hallar formas sencillas de informar al interesado acerca de
la lógica subyacente o los criterios utilizados para llegar a la decisión. El RGPD exige que el
responsable del tratamiento ofrezca información significativa sobre la lógica aplicada, no
necesariamente una compleja explicación de los algoritmos utilizados o la revelación de todo el
algoritmo.
No obstante, la información facilitada debe ser suficientemente exhaustiva para que el
interesado entienda los motivos de la decisión.
Ejemplo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

115/141

Un responsable del tratamiento utiliza la calificación crediticia para evaluar y rechazar una
solicitud de préstamo de una persona. La calificación puede haber sido facilitada por un
organismo de referencia de crédito, o haber sido calculada directamente a partir de información
en poder del responsable del tratamiento.

Independientemente de la fuente (se debe facilitar al interesado información sobre la fuente en
virtud del artículo 14, apartado 2, letra f), cuando los datos personales no hayan sido obtenidos
a partir del propio interesado), si el responsable del tratamiento se basa en esta calificación,
debe poder explicar al interesado dicha calificación, así como los motivos de esta.

El responsable del tratamiento debe explicar que este proceso le ayuda a tomar decisiones
justas y responsables sobre préstamos. Asimismo, debe ofrecer detalles acerca de las
principales características consideradas a la hora de tomar la decisión, la fuente de esta
información y la pertinencia. Esto puede incluir, por ejemplo: • la información ofrecida por el
interesado en el formulario de solicitud;
• información sobre el comportamiento de las cuentas, incluidos atrasos en los pagos; e •
información de registros públicos oficiales, como información sobre fraudes o registros de
insolvencia. Asimismo, el responsable del tratamiento debe incluir información para advertir al
interesado que los métodos de calificación crediticia utilizados se comprueban periódicamente
para garantizar que siguen siendo justos, efectivos e imparciales. El responsable del
tratamiento debe ofrecer información de contacto para que el interesado solicite la
reconsideración de las decisiones rechazadas, de conformidad con las disposiciones del
artículo 22.”

Señala también dicho documento respecto a la «Importancia» y «consecuencias
previstas» que “Este término sugiere que debe facilitarse información sobre el
tratamiento previsto o futuro, y sobre cómo puede afectar la decisión automatizada al
interesado. A fin de que esta información sea significativa y comprensible, deben
ofrecerse ejemplos reales y tangibles del tipo de efectos posibles.”

En el presente supuesto, a juicio de esta Agencia tales requisitos no se cumplen: no
se informa de que tipo de productos o servicios va a permitir contratar, no se indica la
lógica a aplicar para tomar dicha decisión, limitándose a indicar que se va a utilizar un
conjunto de datos que “permitan conocer con mayor detalle los riesgos asociados a la
contratación”, por tanto no conociendo ni qué tipo de productos o servicios se puede
permitir contratar ni la lógica a aplicar para la toma de dicha decisión tampoco se
puede conocer su importancia ni las consecuencias previstas.

Por otra parte, esta Agencia no comparte la alegación de que existe un concurso
medial entre estas infracciones y la infracción del artículo 13 del RGPD. Cabe a este
respecto citar la sentencia de 16 de julio de 2019 de la Audiencia Nacional, en la que
se señala que “Así, en cuanto a la existencia de un concurso medial entre las dos
infracciones, que determinaría la imposición de una única sanción, esta Sala ha
declarado reiteradamente (sentencias de 29 de enero y de 24 de junio de 2014
(recurso 562/12 y 141/2013), entre otras, que ambas infracciones son independientes
y no existe la relación medial que se pretende entre ambas, sino que: «[…]pueden
realizarse con independencia absoluta, pues presentan sustantividad propia y son
autónomas entre si, dado que protegen principios en materia de protección de datos
diferentes, en un caso el consentimiento inequívoco que exige todo tratamiento de
datos personales (artículo 6.1 LOPD), y, en otro, la calidad de dichos datos personales
(artículo 4.3 LOPD), a fin de salvaguardar el poder de disposición del titular de los
mismos, que integra el derecho fundamental a la protección de los datos (…) De la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

116/141

misma manera debe considerarse que las tres infracciones del artículo 6, 13 y 22 del
RGPD son infracciones independientes, en este sentido debe tenerse en cuenta que
información constituye un elemento esencial del consentimiento, de conformidad con
lo previsto en el artículo 4.11 del RGPD, siendo determinante de su existencia, de
modo que su ausencia dará lugar a que el consentimiento no sea válido pudiendo así
vulnerarse tanto el artículo 6 como, en su caso, el 22 cuando el tratamiento se
fundamente en el consentimiento explícito del interesado. Por otra parte, existe un
principio de transparencia general respecto de todos los tratamientos que lleva a cabo
el interesado y que se plasma en lo previsto en los artículos 12 a 14. De este modo
puede darse el caso de que se produzcan supuestos, en los que además de la
inexistencia de consentimiento informado, se incumpla el principio de transparencia
con carácter general para todos los tratamientos que lleva a cabo el interesado,
infringiéndose así lo previsto en los artículos 12 a 14, sin que ello suponga un
concurso medial de infracciones.

Alega EPD COMERCIALIZADORA, S.A.U, que el tratamiento relativo a la creación de
un perfil comercial en base a la información de terceros para la remisión de
información publicitaria no está, en la práctica, siendo efectuado, ni a la fecha de
emisión de las presentes alegaciones, ni con carácter previo a las mismas. Alega
también que , a pesar de que EDP COMERCIALIZADORA incluye la posibilidad de
realizar perfilados y adoptar decisiones automatizadas, el único perfilado realizado, es
el relativo a la calificación de los clientes en materia de prevención del fraude,
tratamiento para el que existe habilitación legal y se encuentra basada en el interés
legítimo de EDP COMERCIALIZADORA, con la finalidad de salvaguardar el buen
devenir de las contrataciones efectuadas por EDP COMERCIALIZADORA, así como
evitar que clientes, cuya única finalidad es consumir el servicio energético sin pagar
las facturas, pasen a formar parte de la cartera de clientes. Sin perjuicio de lo anterior,
se informa a los titulares de los datos que dicho perfilado es revisado y tramitado
finalmente por personal de EDP COMERCIALIZADORA, motivo por el cual no puede
considerarse como una decisión automatizada en sí misma, atendiendo en este
sentido al tenor literal del concepto establecido por las autoridades. En otras palabras,
ni existe tratamiento de datos basado en decisiones automatizadas, ni hay
manifestación alguna sobre dichos tratamientos, puesto que fuera de los estrictamente
necesarios para continuar con el servicio y aquellos previstos legalmente, no son
llevados a cabo, motivo por el cual, no solo no puede considerarse que hay
incumplimiento del artículo 22 del RGPD, ya que se cumple con los requisitos
recogidos por la normativa, sino que no existen, ni pueden existir titulares de datos que
hayan podido verse afectados por dichos tratamientos.

El presente procedimiento tiene como objeto en este punto el examen del
consentimiento para el enriquecimiento de perfiles con bases de datos de terceros a
efectos de envío de comunicaciones publicitarias y las posibles decisiones
automatizadas que produzcan efectos jurídicos o afecten significativamente al
interesado y que igualmente tengan como base el consentimiento del mismo. Por
tanto, no será objeto de pronunciamiento en el presente procedimiento el perfilado
efectuado para la prevención del fraude, que EDP COMERCIALIZADORA S.A.U.
fundamenta en el interés legítimo, ni en lo que respecta a su legitimación ni en lo
relativo a si se producen decisiones automatizadas en base a dicho perfilado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

117/141

La instrucción del procedimiento no ha permitido constatar que EDP
COMERCIALIZADORA, S.A.U. haya llevado a cabo perfilados incorporando datos de
bases de datos de terceros ni tratamientos de datos basados en decisiones
automatizadas que produzcan efectos jurídicos o afecten significativamente al
interesado que hubiese consentido tales tratamientos, tal y como se le solicita durante
el proceso de contratación.

Esta Agencia considera que en caso de que se pretendiesen llevar a cabo los
tratamientos mencionados en el párrafo anterior, éstos deberían ajustarse a las
exigencias expresadas y a los requisitos que permiten considerar que el
consentimiento se ha prestado de modo válido y se da cumplimiento a todos los
requisitos exigibles conforme al artículo 22 del RGPD.

En consecuencia, se estima procedente que por falta de evidencias, atendiendo al
principio de presunción de inocencia expresamente recogido para los procedimientos
administrativos sancionadores en el artículo 53.2.b) de la Ley 39/2015, de 1 de
octubre, de Procedimiento Administrativo Común de las Administraciones Públicas,
que reconoce al interesado el derecho “A la presunción de no existencia de
responsabilidad administrativa mientras no se demuestre lo contrario”, no se considere
imputable a EDP COMERCIALIZADORA,S.A.U. la vulneración de lo previsto en los
artículos 6 y 22, consideradas como posibles infracciones en el acuerdo de inicio del
presente procedimiento sancionador.

El artículo 12.1 del RGPD dispone que “El responsable del tratamiento tomará las
medidas oportunas para facilitar al interesado toda información indicada en los
artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22
y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil
acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida
específicamente a un niño. La información será facilitada por escrito o por otros
medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el
interesado, la información podrá facilitarse verbalmente siempre que se demuestre la
identidad del interesado por otros medios.”

Los artículos 13 y 14 enumeran las categorías de la información que deberá facilitarse
cuando los datos personales se obtengan del interesado y cuando los datos
personales no se hayan obtenido del interesado, respectivamente.

Cuando los datos personales se recaben directamente del interesado, la información
deberá facilitarse en el momento mismo en que tiene lugar esa recogida de datos.
Dispone el artículo 13 del RGPD

“Información que deberá facilitarse cuando los datos personales se obtengan del
interesado
1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

118/141

b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica
del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer
país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los
artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o
al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar
los datos personales y está informado de las posibles consecuencias de que no
facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos
personales para un fin que no sea aquel para el que se recogieron, proporcionará al
interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin
y cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la
medida en que el interesado ya disponga de la información.”

Artículo 14
“Información que deberá facilitarse cuando los datos personales no se hayan obtenido
del interesado
1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable
del tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

119/141

b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de ellas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que
se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.
4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.
5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida
en que:
a) el interesado ya disponga de la información;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

120/141

b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de
las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en
que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la
base de una obligación de secreto profesional regulada por el Derecho de la Unión o
de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria.

Por su parte, el artículo 11, números 1 y 2 de la LOPDGDD dispone lo siguiente:
“Artículo 11. Transparencia e información al afectado 1. Cuando los datos personales
sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al
deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679
facilitando al afectado la información básica a la que se refiere el apartado siguiente e
indicándole una dirección electrónica u otro medio que permita acceder de forma
sencilla e inmediata a la restante información.
2. La información básica a la que se refiere el apartado anterior deberá contener, al
menos: a) La identidad del responsable del tratamiento y de su representante, en su
caso. b) La finalidad del tratamiento. c) La posibilidad de ejercer los derechos
establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos
obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la
información básica comprenderá asimismo esta circunstancia. En este caso, el
afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones
individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten
significativamente de modo similar, cuando concurra este derecho de acuerdo con lo
previsto en el artículo 22 del Reglamento (UE) 2016/679”.

En relación con este principio de transparencia, se tiene en cuenta, además, lo
expresado en los Considerandos 39, 58, 60 y 61 del RGPD.

(39) “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas
físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando
o tratando de otra manera datos personales que les conciernen, así como la medida
en que dichos datos son o serán tratados. El principio de transparencia exige que toda
información y comunicación relativa al tratamiento de dichos datos sea fácilmente
accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho
principio se refiere en particular a la información de los interesados sobre la identidad
del responsable del tratamiento y los fines del mismo y a la información añadida para
garantizar un tratamiento leal y transparente con respecto a las personas físicas
afectadas y a su derecho a obtener confirmación y comunicación de los datos
personales que les conciernan que sean objeto de tratamiento. Las personas físicas
deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales así como del modo de hacer valer sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

121/141

derechos en relación con el tratamiento. En particular, los fines específicos del
tratamiento de los datos personales deben ser explícitos y legítimos, y deben
determinarse en el momento de su recogida. Los datos personales deben ser
adecuados, pertinentes y limitados a lo necesario para los fines para los que sean
tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su
plazo de conservación. Los datos personales solo deben tratarse si la finalidad del
tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que
los datos personales no se conservan más tiempo del necesario, el responsable del
tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben
tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman
los datos personales que sean inexactos. Los datos personales deben tratarse de un
modo que garantice una seguridad y confidencialidad adecuadas de los datos
personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y
del equipo utilizado en el tratamiento”.

(58) “El principio de transparencia exige que toda información dirigida al público o al
interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un
lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría
facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante
un sitio web. Ello es especialmente pertinente en situaciones en las que la proliferación
de agentes y la complejidad tecnológica de la práctica hagan que sea difícil para el
interesado saber y comprender si se están recogiendo, por quién y con qué finalidad,
datos personales que le conciernen, como es en el caso de la publicidad en línea.
Dado que los niños merecen una protección específica, cualquier información y
comunicación cuyo tratamiento les afecte debe facilitarse en un lenguaje claro y
sencillo que sea fácil de entender.”

(60) “Los principios de tratamiento leal y transparente exigen que se informe al
interesado de la existencia de la operación de tratamiento y sus fines. El responsable
del tratamiento debe facilitar al interesado cuanta información complementaria sea
necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las
circunstancias y del contexto específicos en que se traten los datos personales. Se
debe además informar al interesado de la existencia de la elaboración de perfiles y de
las consecuencias de dicha elaboración. Si los datos personales se obtienen de los
interesados, también se les debe informar de si están obligados a facilitarlos y de las
consecuencias en caso de que no lo hicieran. Dicha información puede transmitirse en
combinación con unos iconos normalizados que ofrezcan, de forma fácilmente visible,
inteligible y claramente legible, una adecuada visión de conjunto del tratamiento
previsto. Los iconos que se presentan en formato electrónico deben ser legibles
mecánicamente.”

(61) “Se debe facilitar a los interesados la información sobre el tratamiento de sus
datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra
fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los
datos personales pueden ser comunicados legítimamente a otro destinatario, se debe
informar al interesado en el momento en que se comunican al destinatario por primera
vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no
sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho
tratamiento ulterior, información sobre ese otro fin y otra información necesaria.
Cuando el origen de los datos personales no pueda facilitarse al interesado por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

122/141

haberse utilizado varias fuentes, debe facilitarse información general.”

Examinada la información ofrecida por EDP COMERCIALIZADORA, S.A.U., se
observa que la misma no responde a las exigencias del artículo 13 del RGPD.

1.En primer lugar, cuando la contratación se lleva a cabo a través de los subcanales
CAC Inbound, Telemarketing y Leads, la información se facilita telefónicamente de la
siguiente forma, tal y como se desprende de las evidencias aportadas:

En el canal CAC Inbound se indica a quien efectúa la contratación por teléfono lo
siguiente: “Sus datos personales y los de su representado serán tratados por EDP
Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos,
prevención de fraude, realización de perfiles basados en información del cliente y de
EDP, así como la realización de comunicaciones personalizadas sobre productos o
servicios directamente relacionados con sus contratos, pudiendo en cualquier
momento oponerse a las mismas". (Evidencia 2, contratación canal CAC Inbound.)

En los subcanales de contratación Telemarketing y Leads, además de la información
que figura en el párrafo anterior, se añade la información siguiente: “Les recordamos
que podrán ejercitar en cualquier momento sus derechos de acceso, rectificación, opo-
sición, supresión, limitación y portabilidad, a través de cualquiera de las vías indicadas
en las Condiciones Generales que pueden consultar en nuestra web www.edpener-
gia.es.” (evidencias 3 y 4)
Dicha información no resulta conforme a lo establecido en el artículo 13 del RGPD en
relación con lo previsto en el artículo 11 de la LOPDGDD, así en el primero de los ca-
sos la información es incompleta toda vez que durante el proceso de contratación en el
canal CAC Inbound no se informa de la posibilidad de ejercer los derechos estableci-
dos en los artículos 15 a 22 del RGPD, ni se indica a quien contrata una dirección
electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restan-
te información.
Se alega que al inicio de la llamada se escucha la siguiente locución “Esta llamada
puede ser grabada. Los datos que nos proporcione serán tratados por EDP Energía,
S.A.U. y/o EDP Comercializadora, S.A.U. para la gestión de su solicitud o consulta.
Puede ejercitar los derechos de acceso, rectificación, supresión, oposición, limitación y
portabilidad en cualquier momento. Consulte la Política de Privacidad en nuestra web
edpenergia.es o pulse 0” Considera además que conforme al artículo 13.4 del RGPD,
la obligación de informar no resulta de aplicación en la medida en que el interesado ya
disponga de la información y que en el caso que nos ocupa, teniendo en cuenta que la
locución inicial se reproduce de manera automática en cada llamada, queda suficiente-
mente acreditado que cualquier interesado que se pone en contacto con EDP CO-
MERCIALIZADORA a través del Canal CAC Inbound recibe la información relativa a
protección de datos personales
Tales alegaciones no pueden compartirse, a juicio de esta Agencia se facilita una in-
formación de forma fragmentada y dispersa que no da cumplimiento a lo previsto en
los artículos 13 del RGPD y 11 de la LOPDGDD, así en la locución inicial que según
alega se escucha en todo caso al iniciarse la llamada se informa al interesado del tra-
tamiento de sus datos con las genéricas finalidades de “gestionar la solicitud o consul-
ta” se le informa de la posibilidad de ejercer los derechos reconocidos por el RGPD y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

123/141

se le dirige a la política de privacidad en la página web o se le indica que marque 0. En
esa segunda locución, se amplían las finalidades a las de realización de encuestas y la
participación en sorteos, juegos y promociones, sin que, por otra parte, se informe de
la base legal de la participación en sorteos juegos y promociones, pero no contiene re-
ferencia alguna a otras finalidades distintas a las mencionadas en este párrafo.
En la información que se le facilita en el marco de la contratación telefónica en el canal
CAC Inbound, conforme a la evidencia 2, se enumeran otras finalidades diferentes, so-
lamente se hace referencia a la posibilidad de oponerse a las comunicaciones perso-
nalizadas sobre productos o servicios directamente relacionados con los contratos, y
no se dirige al interesado a las Condiciones generales de contratación, que conten-
drían, al margen de las deficiencias que esta Agencia ha observado en la mismas, la
información específica relativa a tales finalidades.
No resulta conforme con la posibilidad de informar por capas, que el interesado deba
acudir a diferentes locuciones para conocer la información básica a que se refiere el
artículo 11 de la LOPDGDD, de modo que el interesado deba deducir de una primera
locución que puede ejercitar derechos distintos al de oposición a comunicaciones co-
merciales, único del que se le informa en el momento de la contratación. Por otra par-
te, ninguna de las locuciones señaladas remite al interesado a las condiciones genera-
les de contratación donde se encuentra la información exigible conforme al artículo 13
relativa a las finalidades mencionadas durante la contratación en el canal CAC In-
bound, sino que remiten genéricamente a la política de privacidad de la página web,
que no contempla esa información específica.
Por otra parte, la dirección electrónica que se indica en las evidencias 3 y 4, en el mar-
co de la contratación telefónica en los canales Telemarketing y Leads, no permite ac-
ceder de forma sencilla e inmediata al resto de la información, vulnerándose así lo pre-
visto en el artículo 11.1 de la LOPDGDD. Del examen del proceso de búsqueda de las
Condiciones Generales (tal y como se ha documentado en el número noveno de los
hechos) se desprende que la dirección facilitada no conduce directamente a la infor-
mación exigible conforme al artículo 13 del RGPD, sino a la página web del interesado,
donde debe ´procederse a una búsqueda que, además, arroja diversos resultados si-
milares y exige buscar en las condiciones generales (que incluyen numerosos aspec-
tos relativos a la contratación) la información relativa a la protección de datos, por lo
que no puede considerarse que tal dirección electrónica permita acceder de forma in-
mediata a tal información ni el acceso resulta sencillo para cualquier persona.
Se alega por EDP comercializadora que para encontrar las citadas condiciones gene-
rales basta una simple búsqueda para acceder directamente a las mismas, utilizando
para ello el buscador disponible en la página web. Realizando la búsqueda de “condi-
ciones de contratación” o “condiciones generales de contratación”, se publican como
primeros resultados los documentos relativos a las condiciones generales de contrata-
ción.
Tal alegación no puede ser compartida, incluso utilizando el propio buscador de la pá-
gina la información no resulta accesible directamente, como queda demostrado en el
proceso de búsqueda documentado por esta Agencia. En este sentido cabe recordar
que las “Directrices sobre la transparencia en virtud del Reglamento 2016/679”, adop-
tadas el 29/11/2017 y revisadas el 11/04/2018.” aprobadas por el Comité Europeo de
Protección de Datos en su primera reunión plenaria señalan que “Tanto el artículo 13
como el 14 hacen referencia a la obligación por la cual el responsable del tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

124/141

«facilitará toda la información indicada a continuación» al interesado. La palabra clave
en esta expresión es «facilitará». Esto conlleva que el responsable del tratamiento
debe adoptar medidas activas para suministrar la información en cuestión al interesa-
do o dirigir activamente al interesado a la ubicación de esta (p. ej., mediante un enlace
directo, el uso de un código QR, etc.). El interesado no debe tener que buscar activa-
mente la información cubierta por dichos artículos entre información de otro tipo, como
por ejemplo las condiciones de uso de un sitio web o una aplicación.” Por otra parte, si
bien esta Agencia valora positivamente que se haya creado un acceso directo a la in-
formación exigida por el artículo 13 del RGPD, ello no invalida el hecho de hasta su
creación, con posterioridad a la propuesta de resolución, el acceso a la información ca-
recía de ese elemento de inmediatez y sencillez exigido por el artículo 11 LOPDGDD.
Se alega, asimismo, que no se habría cometido una infracción del deber de transpa-
rencia, en tanto que la información completa sobre protección de datos (con el conteni-
do exigido por la normativa) se contiene dentro de las condiciones generales de con-
tratación que se remiten al interesado tras la contratación. No puede compartirse este
argumento, debe facilitarse al interesado la información en el momento en que se ob-
tengan los datos, sin que pueda diferirse tal momento al de la recepción del contrato.
El artículo 13 del RGPD determina en su apartado primero cuando se debe facilitar la
información al disponer que “Cuando se obtengan de un interesado datos personales
relativos a él, el responsable del tratamiento, en el momento en que estos se obten-
gan, le facilitará toda la información indicada a continuación: (…)”, (el subrayado es de
la AEPD). La LOPDGDD permite que dicha información pueda facilitarse por capas,
facilitando al interesado durante la recogida de los datos una información básica, cuyo
contenido determina, y permitiendo indicar una dirección electrónica u otro medio que
permita acceder de forma sencilla e inmediata al resto de la información. El elemento
de inmediatez es fundamental para dar cumplimiento al artículo 13 del RGPD, de
modo que proporcionar la información días después cuando se reciba un contrato, no
da cumplimiento al requisito de proporcionar la información que según dicho precepto
debe comunicarse “en el momento en que se obtengan” los datos del interesado.
En este mismo sentido, las aludidas “Directrices sobre la transparencia en virtud del
Reglamento 2016/679” señalan que “ Independientemente de los formatos que se utili-
cen en este enfoque por niveles, el GT29 recomienda que el primer «nivel» (es decir,
la principal vía por la que el responsable interactúa por primera vez con el interesado)
transmita habitualmente la información más importante (mencionada en el apartado
36), a saber, los detalles de los fines del tratamiento, la identidad del responsable y la
existencia de los derechos del interesado, junto con información sobre la mayor reper-
cusión del tratamiento o el tratamiento que podría sorprender al interesado. Por ejem-
plo, cuando el primer contacto con un interesado sea a través del teléfono, esta infor-
mación podría facilitarse durante la llamada con el interesado y este podría recibir el
resto de la información requerida en virtud del artículo 13 o 14 por otro medio adicional
distinto, por ejemplo, enviándole una copia de la política de privacidad por correo elec-
trónico o un enlace a la declaración/aviso de privacidad en línea del responsable.” Es-
tos medios correo electrónico o enlace a la declaración de privacidad, inciden igual-
mente en ese elemento de inmediatez, que permite dar cumplimiento a lo previsto en
el artículo 13.
A este respecto deben tenerse en cuenta las consideraciones recogidas en el dicta-
men del Consejo de Estado al anteproyecto de Ley Orgánica de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

125/141

de carácter personal, en el que se señalaba la siguiente respecto de la información por
capas:
“(…) si la información se facilita en otro formato, o a través de “capas” distintas, no se
estará vulnerando el principio de transparencia, pero el responsable deberá valorar si
el principio se ha cumplido adecuadamente o si se precisa algún tipo de medida adi-
cional de salvaguarda de los derechos, (…)”. Y añadía “(…) Sin perjuicio de lo anterior,
debe recordarse que el artículo 13 exige que la totalidad de la información que debe
suministrarse al interesado se facilita en el momento en que se obtengan los datos
personales objeto de tratamiento. Pese a la aplicabilidad directa de esta disposición
del Reglamento, sería conveniente que el artículo 12 del anteproyecto precisara que
ese método de información” por capas” no puede en ningún caso implicar un retraso
en el suministro de la información considerada como” no básica.

2. Por otra parte, en lo que respecta a la información aportada tanto telefónicamente
(evidencias 2,3, y 4) como en las condiciones generales (evidencia 6 y documento de
condiciones generales de la página web) se observa lo siguiente:
A. Respecto del responsable del tratamiento, se indica en las evidencias 2, 3, 4 y 5
que los datos serán “tratados por EDP Comercializadora SAU y EDP Energía SAU” lo
que no necesariamente se corresponde con la entidad con la que se está contratando,
toda vez que cuando se contrata solamente el servicio de energía o solamente el de
gas, el responsable será uno u otro, sin que se informe correctamente en tales casos
al interesado sobre quien es el responsable de los tratamientos. El mismo reproche
cabe hacer a la información aportada en las condiciones generales en las que se
indica “Dichos datos, además de los obtenidos como consecuencia de la ejecución del
contrato, serán tratados por EDP COMERCIALIZADORA, S.A.U, con domicilio en
c/General Concha, 20, 48001, Bilbao y por EDP ENERGIA, S.A.U con domicilio en
Plaza del Fresno, 2 -33007, Oviedo en su calidad de Responsables del tratamiento”
igualmente se trata de una información imprecisa, toda vez, que serán responsables
una u otra entidad dependiendo del servicio contratado o, en su caso, cada una de las
entidades para los respectivos tratamientos derivados del contrato y los posibles
consentimientos otorgados, sin que esta información quede clara para el cliente. A
esta imprecisión en la determinación del responsable se añade la de referirse
genéricamente a EDP en el resto de la información facilitada, de modo que el
interesado desconoce en el caso de otros tratamientos cual es la entidad responsable.
A este respecto alega EDP COMERCIALIZADORA, S.A.U, que el cliente es informado
sobre la identidad del responsable del tratamiento a través de la política de privacidad
en relación con las condiciones de contratación: Política de privacidad: “los datos se-
rán tratados por EDP Comercializadora SAU y EDP Energía SAU”. Condiciones Espe-
cíficas del contrato: “El cliente contrata, para el suministro que se indica, el suministro
de gas con EDP Comercializadora, S.A.U. y el suministro de electricidad y/o los servi-
cios complementarios con EDP ENERGIA, S.A.U., (en adelante conjunta y/o indivi-
dualmente, según proceda, referidas como “EDP”) con arreglo a las Condiciones Es-
pecíficas que se recogen a continuación y a las Condiciones Generales en anexo”. Por
tanto, el interesado -el cual dispone de plena capacidad para contratar y, por tanto, se
presupone que debería ser capaz de comprender los términos y condiciones que go-
biernan dicha contratación, es consciente en todo momento de que, según contrate el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

126/141

servicio de suministro de gas y/o electricidad, sus datos serán tratados por una o am-
bas entidades.
Esta alegación no puede ser compartida por esta Agencia, de lo afirmado por EDP
COMERCIALIZADORA, S.A.U. solo cabe admitir que lo que conoce el cliente es la en-
tidad con quien ha contratado los servicios, pero no el responsable de los distintos tra-
tamiento de datos que puedan efectuarse, ya que como se ha expuesto anteriormente,
en otras evidencias y en las propias condiciones de contratación se señala que ambas
entidades son responsables del tratamiento de datos (evidencia 2.3 y 4 y 5) y se utiliza
la fórmula genérica EDP que comprende a ambas.
En cuanto a otras explicaciones de EDP COMERCIALIZADORA, S.A.U. como la au-
sencia de actividad de una de las entidades y la posible venta a terceros, ya realizada
según expone, no justifican la imprecisión de la información, ya que se contrata a nom-
bre de dos entidades diferentes, con independencia de que una tenga o no actividad,
aspecto que carece de relevancia desde el punto de vista de protección de datos, ya
que dicha entidad sigue actuando como responsable del tratamiento.
B. En cuanto a las finalidades y bases legitimadoras de los tratamientos de datos, se
señalan en las condiciones generales las siguientes “gestionar, mantener, desarrollar,
cumplimentar y controlar la contratación de suministro de electricidad y/o gas y/o
servicios complementarios de y/o gas y/o servicios complementarios de revisión y/o
asistencia técnica y/o programa de puntos, y/o mejora del servicio, para la realización
de acciones de prevención del fraude, así como realización de perfiles,
comunicaciones comerciales personalizadas basadas en información facilitada por el
Cliente y/o derivada de la prestación del servicio por parte de EDP y relativas a
productos y servicios relacionados con el suministro y consumo de energía,
mantenimiento de instalaciones y equipamientos. Dichos tratamientos serán realizados
dando estricto cumplimiento a la legislación vigente y en la medida que sean
necesarios para la ejecución del contrato y/o la satisfacción de los intereses legítimos
de EDP, siempre que sobre estos últimos no prevalezcan otros derechos del cliente.”
Esta Agencia considera que no resulta sencillo para cualquier persona, sin
conocimientos de la materia de protección de datos, diferenciar qué tratamientos
derivan del contrato y cuales se fundamentan en el interés legítimo del responsable.
Tampoco se indica cual es el interés legítimo que el responsable se atribuye. Resulta
esencial para el ejercicio de los derechos de los interesados conocer la base jurídica
en que se basa el tratamiento, en particular para poder ejercitar su derecho de
oposición al tratamiento cuando éste se fundamenta en el interés legítimo del
responsable conforme a lo previsto en el artículo 21 del RGPD.
En este sentido señalan las Directrices sobre la Transparencia en virtud del
Reglamento (UE) 2016/679, adoptadas el 29 de noviembre de 2017 por el Grupo de
Trabajo del artículo 29 que “El interés específico en cuestión debe identificarse en be-
neficio del interesado. Como cuestión de buena práctica, el responsable del tratamien-
to también puede facilitar al interesado la información resultante del «examen de pon-
deración» que debe llevarse a cabo para poder acogerse a lo dispuesto en el artículo
6, apartado 1, letra f), como base lícita para el tratamiento, con anterioridad a cualquier
recogida de los datos personales de los interesados. Para evitar la fatiga informativa,
esto puede incluirse dentro de una declaración/aviso de privacidad estructurado en ni-
veles (véase el apartado 35). En cualquier caso, la posición del GT29 es que la infor-
mación dirigida al interesado debe dejar claro que este puede obtener información so-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

127/141

bre el examen de ponderación previa petición. Esto resulta fundamental para que la
transparencia sea efectiva cuando los interesados duden de si el examen de pondera-
ción se ha llevado a cabo lealmente o desean presentar una reclamación.”
Esta Agencia no comparte el argumento de que ni el artículo 13 ni ninguna otro pre-
cepto legal exige que la política de privacidad enumere cada finalidad indicando espe-
cíficamente la base de legitimación que resulte de aplicación, la propia redacción del
artículo 13 exige que se informe al interesado de “los fines del tratamiento a que se
destinan los datos personales y la base jurídica del tratamiento”, esto es, el uso del
singular deja ya claro que debe indicarse la base jurídica de cada tratamiento. La
transparencia está íntimamente ligada a la licitud del tratamiento, el artículo 5.1.a) del
RGPD señala como uno de los principios relativos al tratamiento el principio de licitud,
lealtad y transparencia. La base jurídica determina la licitud del tratamiento, por lo que
el responsable debe informar al interesado en cada caso de que existe una base jurídi-
ca apropiada para llevar a cabo dicho tratamiento conforme al artículo 6 del RGPD, sin
que sea admisible que el interesado tenga que interpretar la política de privacidad para
determinar cuál puede ser la base legitimadora de cada tratamiento.

Esta Agencia tampoco está de acuerdo con la alegación de que “para cualquier perso-
na puede ser evidente que tratamientos como “gestionar, mantener, desarrollar, cum-
plimentar y controlar la contratación de suministro de electricidad y/o gas y/o servicios
complementarios de y/o gas y/o servicios complementarios de revisión y/o asistencia
técnica y/o programa de puntos, y/o mejora del servicio” están estrechamente relacio-
nados a la ejecución del contrato, siendo los demás asignables al interés legítimo.
En este sentido cabe recordar lo señalado en las anteriormente mencionadas “Directri-
ces sobre la transparencia en virtud del Reglamento 2016/679”. En ellas se analiza el
alcance que debe atribuirse a los elementos de transparencia establecidos en el artí-
culo 12 del RGPD, según el cual el responsable del tratamiento tomará las medidas
oportunas para “facilitar al interesado toda información indicada en los artículos 13 y
14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al
tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un len-
guaje claro y sencillo”, que ha de ponerse en relación con lo expresado en el Conside-
rando 39 del citado Reglamento. De lo expuesto en dichas Directrices, cabe destacar
en este momento lo siguiente: “El requisito de que la información sea “inteligible” quie-
re decir que debe resultar comprensible al integrante medio de la audiencia objetivo.
La inteligibilidad está estrechamente vinculada al requisito de utilizar un lenguaje claro
y sencillo. Un responsable del tratamiento que actúe con responsabilidad proactiva co-
nocerá a las personas sobre las que recopila información y puede utilizar este conoci-
miento para determinar lo que dicha audiencia es susceptible de comprender…”. En el
presente caso los servicios prestados por EDP COMERCIALIZADORA, S.A.U. se diri-
gen a todos los ciudadanos, de modo que no puede presumirse que cualquier persona
puede entender cuando se trata de una base jurídica u otra. En este sentido las pro-
pias alegaciones señalan que sus clientes no distinguen entre oposición y revocación
del consentimiento, lo que demuestra que, con carácter general, carecen de conoci-
mientos técnicos en la materia y no pueden tampoco distinguir entre bases jurídicas di-
ferentes, que comportan un ejercicio de derechos de forma diferente.
En cuanto a la información sobre el interés legítimo que el responsable se atribuye,
alega EDP COMERCIALIZADORA que los mismos están claramente expuestos y
puestos en relación con las finalidades que se persiguen, esto es: prevención del frau-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

128/141

de y mercadotecnia, en relación con el envío de comunicaciones comerciales persona-
lizadas. En estos casos considera obvio que existe una identificación entre la finalidad
informada y el propio interés perseguido, por lo que hacer una alusión separada a este
último resultaría redundante.
Esta alegación no puede admitirse, dentro de los tratamientos señalados por EDP
cuya base según señala en sus alegaciones es su interés legítimo, se menciona el de
“realización de perfiles” respecto del cual no se indica ni el interés legítimo ni la finali-
dad.
En este sentido cabe tener en cuenta las Directrices del Grupo de Trabajo del Artículo
29 sobre decisiones individuales automatizadas y elaboración de perfiles a efectos del
Reglamento 2016/679, adoptadas el 03/10/2017 y revisadas el 06/02/2018, señalan lo
siguiente:
“La transparencia del tratamiento es un requisito fundamental del RGPD.
El proceso de elaboración de perfiles suele ser invisible para el interesado. Funciona
creando datos derivados o inferidos sobre las personas (datos personales «nuevos»
que no han sido directamente facilitados por los propios interesados). Las personas
tienen distintos niveles de comprensión y les puede resultar difícil entender las comple-
jas técnicas de los procesos de elaboración de perfiles y decisiones automatizadas”.
“Teniendo en cuenta el principio básico de transparencia que sustenta el RGPD, los
responsables del tratamiento deben garantizar que explican a las personas de forma
clara y sencilla el funcionamiento de la elaboración de perfiles o las decisiones auto-
matizadas.
En particular, cuando el tratamiento implique la toma de decisiones basada en la ela-
boración de perfiles (independientemente de si entran en el ámbito de las disposicio-
nes del artículo 22), debe aclararse al usuario el hecho de que el tratamiento tiene fi-
nes tanto de a) elaboración de perfiles como de b) adopción de una decisión sobre la
base del perfil generado
El considerando 60 establece que facilitar información acerca de la elaboración de per-
files forma parte de las obligaciones de transparencia del responsable del tratamiento
según el artículo 5, apartado 1, letra a). El interesado tiene derecho a ser informado
por el responsable del tratamiento, en determinadas circunstancias, acerca de su dere-
cho de oposición a la «elaboración de perfiles» independientemente de si se han pro-
ducido decisiones individuales basadas únicamente en el tratamiento automatizado so-
bre la base la elaboración de perfiles”.
“El responsable del tratamiento debe mencionar explícitamente al interesado detalles
sobre el derecho de oposición según el artículo 21, apartados 1 y 2, y presentarlos cla-
ramente y al margen de cualquier otra información (artículo 21, apartado 4).
Según el artículo 21, apartado 1, el interesado puede oponerse al tratamiento (incluida
la elaboración de perfiles) por motivos relacionados con su situación particular. Los
responsables del tratamiento están específicamente obligados a ofrecer este derecho
en todos los casos en los que el tratamiento se base en el artículo 6, apartado 1, letras
e) o f)”.
No se cumplen en este caso, a juicio de esta Agencia, las exigencias de información
antes descritas. EDP COMERCIALIZADORA, S.A.U., se limita a informar sobre la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

129/141

“realización de perfiles”, pero no ofrece una información sobre el tipo de perfiles que se
van a realizar, los usos específicos a que se van a destinar estos perfiles o la posibili-
dad de que el interesado pueda ejercer el derecho de oposición en aplicación del artí-
culo 21 del RGPD.
No cabe aquí admitir la alegación de que la elaboración de perfiles está asociada con
el envío de comunicaciones comerciales personalizadas. Tal y como se ha señalado
al determinar las finalidades en el primer párrafo de las condiciones generales se enu-
meran las siguientes: “gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio, para la realización de acciones de prevención del
fraude, así como realización de perfiles, comunicaciones comerciales personalizadas
basadas en información facilitada por el Cliente y/o derivada de la prestación del
servicio por parte de EDP y relativas a productos y servicios relacionados con el
suministro y consumo de energía, mantenimiento de instalaciones y equipamientos”
separándose claramente la finalidad de realización de perfiles de la de envío de
comunicaciones comerciales.
De la misma manera, como se pone de manifiesto en las evidencias 2, 3 y 4 durante
el proceso de contratación telefónica mediante representante se informa a éste de
que: “Sus datos personales y los de su representado serán tratados por EDP Comer-
cializadora SAU y EDP Energía SAU para la gestión de sus contratos, prevención de
fraude, realización de perfiles basados en información del cliente y de EDP, así como
la realización de comunicaciones personalizadas sobre productos o servicios directa-
mente relacionados con sus contratos, pudiendo en cualquier momento oponerse a las
mismas". Igualmente se informa respecto de la realización de perfiles como un trata-
miento o tratamientos distintos y separados del envío de comunicaciones personaliza-
das sobre productos o servicios directamente relacionados con los contratos, como
prueba el uso de la locución conjuntiva “así como”.
En todo caso, aun cuando pudiera darse por cierta, que la intención de EDP COMER-
CIALIZADORA, S.A.U. era vincular ambas finalidades, la forma en que se da la infor-
mación infringe el principio de transparencia, tal y como señala el considerando 60
“Los principios de tratamiento leal y transparente exigen que se informe al interesado
de la existencia de la operación de tratamiento y sus fines. El responsable del trata-
miento debe facilitar al interesado cuanta información complementaria sea necesaria
para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias
y del contexto específicos en que se traten los datos personales. Se debe además in-
formar al interesado de la existencia de la elaboración de perfiles y de las consecuen-
cias de dicha elaboración.”
C. En las condiciones generales se facilita también la siguiente información respecto
de los tratamientos basados en el consentimiento del interesado:
“Siempre que el cliente lo haya aceptado explícitamente, sus datos personales serán
tratados, incluso una vez finalizada la relación contractual y siempre que no se
produzca la oposición a dicho tratamiento, para:
(I)La promoción de servicios financieros, servicios de protección de pagos, automoción
o afines y electrónica, propios o de terceros, ofrecidos por EDP y/o la participación en
concursos promocionales, así como para la presentación de propuestas comerciales
vinculadas al sector energético tras la finalización del contrato, (II) La elaboración de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

130/141

perfiles comerciales del Cliente mediante la agregación de las bases de datos de
terceros, con el fin de ofrecer al Cliente productos y servicios personalizados,
mejorando así la experiencia del cliente, (III) La adopción de decisiones
automatizadas, tales como permitir la contratación, o no, de determinados productos
y/o servicios basadas en el perfil del Cliente y particularmente, en datos tales como, el
histórico de impagos, el histórico de contrataciones, permanencia, ubicaciones, datos
de consumo, tipos de dispositivos conectados a la red energética, y datos semejantes
que permitan conocer con mayor detalle los riesgos asociados a la contratación. (IV)
Tomando como base los resultados obtenidos de la agregación de los datos indicados,
EDP podrá realizar ofertas personalizadas, y concretamente orientadas a lograr la
contratación de determinados productos y/o servicios de EDP o de terceras entidades
en función de si el cliente así lo ha consentido o no, siendo en todo caso tratados
datos cuya antigüedad no superará un año. En caso de que dicho proceso se llevara a
cabo de forma automatizada, el cliente siempre tendrá derecho a obtener intervención
humana por parte de EDP, admitiéndose la impugnación y en su caso valoración de la
decisión resultante.
Tampoco resulta sencillo para cualquier persona sin conocimientos especializados en-
tender que tipo de tratamientos se van a llevar a cabo sobre la base del consentimien-
to, en particular la redacción del punto IV no resulta clara en absoluto: se desconoce a
qué datos se refiere con “los resultados de obtenidos de la agregación de los datos in-
dicados” que podrían ser tanto los contenidos en el número III anterior como los obte-
nidos de bases de terceros o todos ellos. La finalidad del tratamiento parece indicar
que se trata de tratamientos publicitarios distintos de los señalados en los dos prime-
ros números, sin que sea evidente la diferencia respecto de ellos. Por otra parte, no re-
sulta comprensible el último inciso de este punto IV, al mencionar los derechos que el
artículo 22 del RGPD reconoce a los interesados cuando se adoptan decisiones auto-
matizadas que produzcan efectos jurídicos en ellos o les afecten significativamente de
modo similar.
En las alegaciones se ofrece una explicación sobre las finalidades de los diferentes
tratamientos y los datos a tratar que pretenden clarificar dichos aspectos, sin embargo,
no es en ellas donde deben aclararse tales puntos sino que es la información propor-
cionada al interesado la que debe ser clara y comprensible para el éste, incumpliéndo-
se con la información proporcionada, a juicio de esta Agencia, lo previsto en el artículo
12 del RGPD.
D. Las condiciones generales informan de la siguiente manera respecto a los derechos
del interesado:

“Derechos del titular de los datos

El cliente contará en todo momento con la posibilidad de ejercitar de forma libre
y completamente gratuita los siguientes derechos:

i) Acceder a sus datos personales que sean tratados por parte de EDP.

ii) Rectificar sus datos personales que son tratados por parte de EDP que
resulten inexactos o incompletos.

iii) Suprimir sus datos personales que son tratados por EDP.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

131/141

iv) Limitar el tratamiento por parte de EDP de todos o parte de sus datos
personales.

v) Oponerse a determinados tratamientos y adopción de decisiones auto-
matizadas de sus datos personales, requiriendo la intervención humana
en el proceso, así como a impugnar las decisiones que sean finalmente
adoptadas en virtud del tratamiento de sus datos.

vi) Portar sus datos personales en un formato interoperable y autosuficien-
te.

vii) Retirar en cualquier momento, los consentimientos otorgados previa-
mente.”
Dicha información, aunque recoge todos los derechos que el RGPD otorga al interesa-
do, debe adecuarse a los concretos tratamientos que lleva a cabo el responsable. Tal y
como señalan las aludidas Directrices sobre la Transparencia en virtud del Reglamento
(UE) 2016/579: “Esta información debe ser específica del escenario de tratamiento e
incluir un resumen de lo que implica el derecho y de qué forma el interesado puede ac-
tuar para ejercerlo, así como cualquier limitación al derecho.”
No cabe admitir las alegación de que la obligación de detallar los tratamientos concre-
tos a los que el interesado tiene derecho a oponerse no sólo no es una obligación re-
cogida en el RGPD, la LOPDGDD ni ninguna otra normativa de aplicación, sino que
además la AEPD en sus guías y herramientas (entre otras, la Guía para el cumplimien-
to del deber de informar2 o la herramienta Facilita3 ) no indica que las cláusulas infor-
mativas sobre el derecho de oposición deban especificar los tratamientos sobre los
que aplica el derecho de oposición. Debe aquí reiterarse lo señalado en las Directrices
del Grupo de Trabajo del Artículo 29 sobre decisiones individuales automatizadas y
elaboración de perfiles a efectos del Reglamento 2016/679, adoptadas el 03/10/2017 y
revisadas el 06/02/2018, que señalan lo siguiente:
“El responsable del tratamiento debe mencionar explícitamente al interesado detalles
sobre el derecho de oposición según el artículo 21, apartados 1 y 2, y presentarlos cla-
ramente y al margen de cualquier otra información (artículo 21, apartado 4).”
Por tanto, no es suficiente con mencionar el derecho a oponerse a “determinados tra-
tamientos”, sino que debe informarse de que estos tratamientos, en el presente su-
puesto, son aquellos que el responsable fundamenta en el artículo 6.1.f), esto es, en la
existencia de un interés legítimo prevalente sobre los intereses, derechos y libertades
del interesado, debiendo ser claro para el interesado cuales son estos tratamientos
frente a los que puede ejercitar su derecho de oposición.
Tampoco puede compartirse que con esta interpretación se vulnere el principio de in-
terdicción de la arbitrariedad alegada al considerar EDP COMERCIALIZADORA que la
presentación de la información relativa al ejercicio de derechos, tal y como se presenta
en su información constituye una práctica recomendada e incluso aplicada por la
Agencia Española de Protección de Datos en su política de privacidad. A este respec-
to, debe tenerse en cuenta que esta Agencia no realiza tratamientos basados en lo
previsto en el artículo 6.1.f, en particular los relativos a mercadotecnia directa.
Resulta impreciso señalar que el interesado puede oponerse a la adopción de decisio-
nes automatizadas de sus datos personales. Estas solamente pueden llevarse a cabo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

132/141

por el responsable en los supuestos previstos en el artículo 22 del RGPD, basándose
en el presente caso en el consentimiento del interesado, por lo que éste debe poder
conocer que puede revocar el consentimiento prestado para la adopción de tales deci-
siones en cualquier momento, sin perjuicio de que se le informe también de los dere-
chos conferidos por el artículo 22 a los interesados.
No puede compartirse, respecto a esta imprecisión en cuanto al ejercicio de derechos,
la alegación de que el matiz semántico y técnico asociado a los términos “oposición” y
“revocación” en el contexto del ejercicio de derechos no puede tener un impacto en el
interesado, pues con ambos términos el usuario logra un mismo objetivo, que es que
un tratamiento específicamente identificado en la política deje de producirse y que el
término utilizado por EDP COMERCIALIZADORA (oposición) en el contexto de este
tipo de tratamientos se entiende en la normativa y por el propio mercado de forma más
amplia -y por tanto más garantista- puesto que permite al usuario eliminar un trata-
miento sea basado en consentimiento, sea basado en interés legítimo. La normativa
es clara al delimitar ambos derechos y cuando pueden ejercerse en los artículos 7 y
21.1.2 del RGPD, lo que exige correlativamente, que el interesado tenga conocimiento
de la base jurídica del tratamiento. No cabe así justificar en una presunta mayor garan-
tía para los interesados la información incorrecta proporcionada sobre el ejercicio de
derechos del interesado.
En consecuencia, de conformidad con las evidencias expuestas, los hechos descritos
en el presente Fundamento de Derecho suponen una vulneración del principio de
transparencia regulado en el artículo 13 del RGPD, que da lugar a la aplicación de los
poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia
Española de Protección de datos.

Para el caso de que concurra una infracción de los preceptos del RGPD, entre
los poderes correctivos de los que dispone la Agencia Española de Protección de
Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:

“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada
caso particular;”.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
d) anterior es compatible con la sanción consistente en multa administrativa.

En el presente caso, ha quedado acreditado el incumplimiento del principio de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

133/141

privacidad desde el diseño establecido en el artículo 25 del RGPD, así como del
principio de transparencia regulado en el artículo 13 del RGPD con el alcance
expresado en los Fundamentos de Derecho anteriores, lo que supone la comisión de
sendas infracciones tipificadas en los artículos 83.4 y 83.5 de la misma norma que
bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”
dispone lo siguiente:

4. “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11,
25 a 39, 42 y 43;”

5. “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

b) los derechos de los interesados a tenor de los artículos 12 a 22;(…)”.”

A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.

A efectos del plazo de prescripción, los artículos 73 y 74 de la LOPDGDD
indican:
Artículo 73. Infracciones consideradas graves.

“1 En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

d) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para aplicar de forma efectiva los principios de protección de datos desde
el diseño, así como la no integración de las garantías necesarias en el tratamiento, en
los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679.”

Artículo 74. Infracciones consideradas leves.

“Se consideran leves y prescribirán al año las restantes infracciones de carácter
meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83
del Reglamento (UE) 2016/679 y, en particular, las siguientes: a) El incumplimiento del
principio de transparencia de la información o el derecho de información del afectado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

134/141

por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento
(UE) 2016/679”.

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturale-
za, alcance o propósito de la operación de tratamiento de que se trate, así como el nú-
mero de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para pa-
liar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habi-
da cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en parti-
cular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medi-
da;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certi-
ficación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirecta-
mente, a través de la infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

135/141

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

En este caso, considerando la gravedad de las infracciones constatadas procede
la imposición de multa.

No cabe aceptar la solicitud formulada por EDP COMERCIALIZADORA, S.A.U.
para que se impongan otros poderes correctivos, concretamente, el apercibimiento,
que está previsto para personas físicas y cuando la sanción constituya una carga
desproporcionada (considerando 148 del RGPD).

Por las mismas razones, y considerando los criterios de graduación de las
sanciones que seguidamente se indican, se desestima igualmente la petición de
imposición de una sanción en su grado mínimo.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las
sanciones de multa a imponer en el presente caso a EDP COMERCIALIZADORA,
S.AU., como responsable de infracciones tipificadas en el artículo 83.4.a) y 83.5.b) del
RGPD, procede graduar la multa que correspondería imponer por cada una de las
infracciones imputadas como sigue:

1. Infracción por incumplimiento de lo establecido en el artículo 25 del RGPD, tipificada
en el artículo 83.4.a) y calificada como grave a efectos de prescripción en el artículo
73.1.d) de la LOPDGDD:

Se estima que concurren en calidad de agravantes los siguientes factores que
revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la entidad EDP
COMERCIALIZADORA, S.A.U.:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza alcance o propósito de las operaciones de tratamiento de que se
trata: La infracción resulta de la ausencia de una efectiva implantación de
medidas técnicas y organizativas para eliminar los riesgos que genera la con-
tratación de los servicios y la obtención de consentimiento para otras finalida-
des cuando se actúa a través de representante.

- La intencionalidad o negligencia apreciada en la comisión de la infracción.
Las deficiencias en tales procedimientos de contratación y obtención de
consentimiento para otras finalidades debían haber sido advertidas por una
entidad de las características de EDP COMERCIALIZADORA, S.A.U. y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

136/141

evitadas al diseñar sus procesos.

- El carácter continuado de la infracción. La infracción tiene su origen en un
incorrecto diseño de los procedimientos de contratación a través de
representante, que han sido utilizados desde al menos el año 2018, sin que
se hayan modificado éstos o implementado medidas correctoras hasta el
mes de enero del año en curso en que se implementó un protocolo de
contratación mediante representante.

- La alta vinculación de la actividad del infractor con la realización de
tratamientos de datos personales. Las operaciones que constituyen la
actividad empresarial desarrollada por EDP COMERCIALIZADORA, S.A.U.
como comercializadora de servicios de gas a particulares implican
operaciones de tratamiento de datos personales.

No cabe considerar como atenuante, como se alega por el responsable, que
el tratamiento de datos se lleve a cabo de forma instrumental sin que su
actividad se base en la explotación de datos personales, a este respecto se
tiene en cuenta que se han recabado autorizaciones del representante en
nombre del representado para llevar a cabo tratamientos de publicidad de
productos o servicios no energéticos de empresas o colaboradoras de EDP
COMERCIALIZADORA.

- La condición de gran empresa de la entidad responsable y su volumen de
negocio. El volumen de negocios de la entidad según la información obtenida
ha sido de 989.491.000 euros en el año 2019.

Se alega que tener la consideración de gran empresa o el volumen de
facturación no son circunstancias previstas como agravantes ni en el RGPD
ni en la LOPDGDD.

No cabe compartir tal alegación, el artículo 83.1 del RGPD dispone que
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del
presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso
individual efectivas, proporcionadas y disuasorias.” El número 2 de dicho
artículo establece que al decidir la imposición de una multa administrativa y
su cuantía en cada caso individual se tendrá debidamente en cuenta: (…) k)
cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas,
directa o indirectamente, a través de la infracción.”

A estos efectos como factor agravante, cabe tener en cuenta la
consideración de la entidad como una gran empresa lo que se encuentra
vinculado entre otros aspectos a su volumen de facturación, en la medida en
que dispone de mayores medios para dar cumplimiento a las obligaciones
impuestas por el RGPD.

- Elevado volumen de datos y tratamientos que constituye el objeto del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

137/141

expediente. El volumen de contratos suscritos por terceros en representación
de personas físicas ascendió durante el año 2019 ascendió a 11.657.

- Toda infracción anterior cometida por el responsable o el encargado del
tratamiento; EDP COMERCIALIZADORA ha sido sancionado en el
expediente PS/00025/2019 por la vulneración del artículo 6.1.b del RGPD,
por haber efectuado una contratación de sus servicios mediante un supuesto
representante cuya condición de tal no estaba acreditada.

Se alega por el responsable que la AEPD se refiere al volumen de facturación global
de EDP COMERCIALIZADORA para cuantificar la infracción cuando debería tener en
cuenta exclusivamente, y en su caso, los datos de facturación generados por el
eventual incumplimiento alegado -en el caso del artículo 25 del RGPD, relativo
exclusivamente a la contratación por representación, siendo la cuantía obtenida por la
contratación por representación de 2.550.000 euros aproximadamente.

A este respecto, debe tenerse en cuenta que el artículo 83.4 dispone que “Las
infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior”, por
consiguiente esta Agencia entiende que el volumen total de negocio anual es el que
opera como límite de la cuantía de la infracción, y no el beneficio obtenido, que
constituye un elemento agravante más. A este respecto cabe tener en cuenta que el
2% de la facturación de dicha entidad durante 2019 supone una cifra de 19.789.820
euros, por lo que la cantidad en que se valora la cuantía de la multa, muy alejada de
tal importe máximo, resulta ponderada.

Por otra parte, solicita dicha entidad que se consideren como atenuantes el hecho de
que no se traten categorías especiales de datos, ni datos de menores, a este respecto
debe considerarse que el tratamiento de tales datos puede constituir en su caso un
agravante, pero el hecho de que no se traten tales datos en sí mismo no constituye
una atenuante, sin que, por otra parte, por el responsable del tratamiento justifique en
modo alguno porque debe ser tenido en cuenta en este sentido tal circunstancia.

Tampoco cabe tener en cuenta como atenuante el hecho de que la entidad haya sido
objeto de venta a otra empresa, el artículo 76.2.e) de la LOPDGDD señala que podrá
tenerse en cuenta “la existencia de un proceso de fusión por absorción posterior a la
comisión de la infracción, que no puede imputarse a la entidad absorbente” Se
pretende aquí una interpretación analógica de este precepto de modo que se extienda
dicha circunstancia a otras “modificaciones estructurales” realizadas con posterioridad
a la comisión de la infracción, interpretación que no puede admitirse, cuando la
LOPDGDD quiere referirse a modificaciones estructurales en general así lo hace,
mientras que en el señalado precepto hace exclusiva referencia a la fusión por
absorción.

Alega que deben considerarse como atenuantes igualmente las medidas tomadas
para paliar los daños como es la implementación de un nuevo protocolo de
contratación y el grado de cooperación con la administración y el grado de
colaboración con la AEPD. Estos elementos son tenidos en cuenta de modo que no se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

138/141

ha hecho uso de otro de los poderes correctivos que esta Agencia puede utilizar como
es la imposición de medidas en los términos previstos en el artículo 58.2 del RGPD.

Considerando los factores expuestos, la valoración que alcanza la multa por la
infracción imputada es de 500.000,00 euros.

2. Infracción por incumplimiento de lo establecido en el artículo 13 del RGPD, tipificada
en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo
74.a) de la LOPDGDD:

Se estiman concurrentes los criterios de graduación siguientes:

- La naturaleza, gravedad y duración de la infracción: Las deficiencias
apreciadas en la información que se facilita a los interesados afectan a
aspectos sustantivos del principio de transparencia.

Se alega que se imputa es la necesidad de mejorar algunos aspectos de sus
políticas de protección de datos sin que en ningún caso los textos utilizados
puedan entenderse que hayan generado un elevado nivel de daños y
perjuicios, lo que debe ser considerado como una atenuante. Esta alegación
no puede aceptarse, no se trata de simples defectos de la información
ofrecida sin mayor transcendencia, dicha información vulnera aspectos
fundamentales del principio de transparencia como se ha puesto de
manifiesto en el presente procedimiento.

- La intencionalidad o negligencia apreciada en la comisión de la infracción.
Los defectos señalados en la información facilitada muestran la falta de
diligencia de EDP COMERCIALIZADORA, S.A.U. en dar cumplimiento a las
obligaciones de transparencia impuestas por el RGPD.

No puede compartirse la alegación de que en sus actuaciones ha seguido las
guías y directrices de la AEPD y del Comité Europeo de Protección de Datos
lo que demuestra su diligencia, por el contrario, en los fundamentos de
derecho se contienen los numerosos aspectos en que las directrices del
Comité Europeo de Protección de datos no han sido tenidas en cuenta en su
actuación.

- La alta vinculación de la actividad del infractor con la realización de
tratamientos de datos personales. Las operaciones que constituyen la
actividad empresarial desarrollada por EDP COMERCIALIZADORA, S.A.U.
como comercializadora de servicios de energía implican operaciones de
tratamiento de datos personales.

No cabe considerar como atenuante, como se alega por el responsable, que
el tratamiento de datos se lleve a cabo de forma instrumental sin que su
actividad se base en la explotación de datos personales. Tal y como se
desprende de los hechos expuestos en este procedimiento y de las
condiciones generales de contratación, se recaban consentimientos para
llevar a cabo tratamientos publicitarios de terceros en diversos sectores
(financieros, protección de pagos automoción y afines, electrónica….)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

139/141

- El carácter continuado de la infracción, interpretado por la Audiencia Nacional
como infracción permanente.

- La condición de gran empresa de la entidad responsable y su volumen de
negocio. El volumen de negocios de la entidad según la información obtenida
ha sido de 989.491.000 euros en el año 2019.

Respecto a la alegación de que tener la consideración de gran empresa o el
volumen de facturación no son circunstancias previstas como agravantes ni
en el RGPD ni en la LOPDGDD, esta Agencia se reitera en lo señalado
anteriormente en la determinación de los agravantes de la infracción del
artículo 25 ante la misma alegación.

- Elevado volumen de datos y tratamientos que constituye el objeto del
expediente. La infracción afecta a todos los tratamientos de datos efectuados
por la entidad EDP Comercializadora S.A.U.

- Elevado número de interesados. La infracción afecta a todos los clientes
personas físicas de la entidad. Según el informe de supervisión de los
cambios de comercializador, correspondiente al primer trimestre de 2019, de
la Comisión Nacional de los Mercados y la Competencia el número de puntos
de suministro de la entidad en el ámbito doméstico ascendía a 893.736
constituyendo un 11.4% del total del sector gasista en dicho ámbito
doméstico.

No puede admitirse la alegación de que no se trata de un elevado volumen
de tratamientos porque no se identifique a otros colectivos distintos a sus
clientes. El elevado número de clientes personas físicas de la entidad
responsable es elemento suficiente para considerar esta circunstancia como
una agravante.

En cuanto a otros factores que el responsable del tratamiento considera que deben ser
tenidos en cuenta como atenuantes, tales como el hecho de que no se traten
categorías especiales de datos ni datos de menores o la venta de la totalidad de las
acciones a otra empresa, no cabe sino remitirse a lo expresado por esta Agencia ante
las mismas alegaciones en relación con la infracción del artículo 25 del RGPD.

Alega que deben considerarse como atenuantes igualmente las medidas tomadas
para paliar los daños como es la como la mejora del acceso a la información sobre
protección de datos, que ya está disponible en la dirección edp-
residencialbytotal.es/rgpd y el grado de cooperación con la autoridad. La alegada
mejora afecta solamente a uno de los defectos señalados en relación con la
transparencia del procedimiento, cuya valoración positiva por esta Agencia no puede
suponer una atenuante de la sanción teniendo en cuenta que tal medida ha sido
tomada una vez iniciado el presente procedimiento sancionador.

Considerando los factores expuestos, la valoración que alcanza la multa por la
infracción imputada es de 1.000.000,00 euros
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

140/141

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad EDP COMERCIALIZADORA, S.A.U, con NIF
A95000295, por una infracción del artículo 25 del RGPD, tipificada en el artículo
83.4.a) y calificada como grave a efectos de prescripción en el artículo 73.d) de la
LOPDGDD, una multa por importe de 500.000 euros (quinientos mil euros).
SEGUNDO: IMPONER a la entidad EDP COMERCIALIZADORA, S.A.U, por una
infracción del artículo 13 RGPD, tipificada en el artículo 83.5.b) y calificada como leve
a efectos de prescripción en el artículo 74.a) de la LOPDGDD, una multa por importe
de 1.000.000 euros (un millón de euros).
TERCERO: DECLARAR, por falta de evidencias en aplicación del principio de
presunción de inocencia, no imputables a EDP COMERCIALIZADORA, S.A.U., las
infracciones de lo establecido en los artículos 6 y 22 del RGPD.
CUARTO: NOTIFICAR la presente resolución a EDP COMERCIALIZADORA S.A.U.
QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

141/141

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Sözleşme Sürecinde Tasarım ve Bilgilendirme İhlalleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni