Temsil Yoluyla Sözleşmelerde Tasarım ve Bilgilendirme Yükümlülüğü

1/136

 Procedimiento Nº: PS/00236/2020

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Ante esta Agencia se han venido presentando diversas reclamaciones
contra la entidad EDP ENERGÍA, S.A.U. en las que sustancialmente se denuncia el
tratamiento de datos personales sin consentimiento del interesado. Dichos
tratamientos se producen en el marco de la contratación de servicios de electricidad
efectuadas supuestamente por un representante del cliente, sin que dicha entidad
pueda acreditar la existencia de tal representación y han dado lugar a diversas
actuaciones de esta Agencia, entre las que cabe mencionar la incoación de diversos
procedimientos sancionadores como los procedimientos PS/00101/2018,
PS/00363/2018 o PS/00109/2019, que han concluido declarando la existencia de una
infracción de lo previsto en la normativa de protección de datos.

SEGUNDO: A la vista de los antecedentes mencionados en el número anterior, el día
3 de junio de 2019 la Directora de la Agencia Española de Protección de Datos instó a
la Subdirección General de Inspección de Datos el inicio de actuaciones previas de
investigación a fin de acreditar, en su caso, la existencia de una conducta regular y
continuada de posible vulneración de la normativa de protección de datos por parte de
EDP ENERGÍA, S.A.U.

TERCERO: Con fecha de 13 de junio de 2019 se presentó ante la AEPD una
reclamación contra EDP ENERGÍA S.A.U. por el tratamiento de datos personales sin
consentimiento del interesado en la contratación del suministro de energía eléctrica.
Dicha reclamación formulada por Doña A.A.A., viene referida a la contratación de
suministro de energía eléctrica con la sociedad EDP ENERGÍA, S.A.U. realizada el 9
de enero de 2019 a nombre de la reclamante sin su consentimiento. La reclamación
fue admitida a trámite mediante acuerdo de la Directora de la Agencia de Protección
de datos con fecha 10 de septiembre de 2019.

CUARTO: El día 17 de diciembre de 2019, la Subdirección General de Inspección
formula requerimiento a EDP ENERGÍA, S.A.U. para que facilite la siguiente
información:

1. Especificación de los canales de contratación (telefonía, internet, distribuidores
propios o subcontratas, fuerza de ventas con visitas a domicilio propia o
subcontratada, etc.…) de los servicios comercializados por EDP ENERGÍA, S.A.U. a
personas físicas.

2. Descripción del procedimiento de contratación seguido a través de cada uno de los
canales anteriores cuando la contratación es realizada por un tercero en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/136

representación de la persona física titular del contrato. Al respecto se solicita aportar,
además de toda la información que considere oportuna a los efectos de documentar el
procedimiento, los siguientes:

2.1. Copia de los documentos (modelos de formularios, contratos, argumentarios
telefónicos, etc.) usados para recopilar los datos personales del titular y del tercero
que actúa representándolo, con indicación del canal o canales para los que se utiliza
cada uno.

2.2. Descripción de los procedimientos habilitados a través de cada uno de los canales
de contratación para que un tercero pueda acreditar la representación de un titular al
suscribir un contrato con EDP ENERGÍA, S.A.U.

2.3. Especificación del procedimiento seguido por EDP ENERGÍA, S.A.U. para
almacenar las evidencias que acreditan la capacidad de representación del tercero en
los procedimientos en que se efectúa este tipo de contratación, con indicación del
canal o canales para los que se usa cada uno.

2.4. Adjuntar modelos y/o ejemplos de evidencias tipo recopiladas en virtud del
procedimiento seguido en el apartado 2.3.

3. Información del número de contratos suscritos en 2018 y 2019 por terceros en
representación de los titulares de los servicios (personas físicas) con distinción de:

3.1. En virtud de qué se apoya dicha representación (poder, grado de parentesco, etc.)

3.2. Procedimiento o fórmula de acreditación de la representación seguido.

3.3. Canal de contratación telefonía, internet, distribuidores propios o subcontratas,
fuerza de ventas con visitas a domicilio propia o subcontratada, etc.…)

QUINTO: Con fecha 13 de enero de 2020, se registra la entrada en la AEPD del
escrito de contestación de EDP ENERGÍA, S.A.U. al requerimiento de información
anterior. En dicho documento se manifiesta lo siguiente:

“PRIMERO- Especificación de los canales de contratación (telefonía, internet,
distribuidores propios o subcontratas, fuerza de ventas con visitas a domicilio propia o
subcontratada, etc.…) de los servicios comercializados por EDP ENERGÍA, S.A.U. a
personas físicas.

EDP dispone de diferentes canales para formalizar la contratación, distinguiendo los
siguientes:

A. Canal Telefónico, con cierre parcial o definitivo del proceso de contratación
mediante una llamada de teléfono. Incluye los siguientes subcanales:

3/136

- Telemarketing: Emisión de llamadas, desde EDP hacia bases de datos propias de ya
clientes para upselling o recuperación de abandonos. Se utiliza para la realización de
la llamada el número de teléfono que consta en la ficha del cliente, y que ha sido
aportado por dicha persona con anterioridad.
- LEADS: Emisión o recepción de llamadas, sobre usuarios que han manifestado un
interés en alguna plataforma o página web (sorteos, promociones, comparadores de
ofertas, blogs, agencias de publicidad, etc.) dejando sus datos básicos para ser
contactados o contactando ellos mismos en el número de teléfono que se les muestra.
Normalmente dichos usuarios aún no tienen contratos activos con EDP.

B. Canal Web, con cierre mediante un formulario digital. El usuario accede a través de
una web e inicia un proceso de contratación totalmente online, sin interacción con
agentes.

C. Distribuidores, con cierre presencial o digital del proceso de contratación,
incluyendo:

- Oficinas Comerciales propias de EDP. Normalmente ya clientes de EDP que acuden
proactivamente a la oficina, aunque puede tratarse también de clientes potenciales.
- Tiendas ajenas (ej. ***TIENDA.1). En general nuevos clientes que acuden a realizar
sus compras y se interesan por la oferta de EDP.

D. Fuerzas de Venta Externas, con cierre presencial del proceso de contratación,
incluyendo:

- Stands en Ferias, Centros Comerciales, etc. En general nuevos clientes que acuden
a dichos eventos o lugares y se interesan por la oferta de EDP.

- Visitas a domicilio con solicitud previa. Clientes o potenciales clientes que han
facilitado sus datos y consentimiento para recibir propuestas de un agente de EDP a
domicilio.

SEGUNDO.- Descripción del procedimiento de contratación seguido a través de cada
uno de los canales anteriores cuando la contratación es realizada por un tercero en
representación de la persona física titular del contrato.

A. Canal Telefónico:

A continuación, pasan a describirse los procedimientos implantados en EDP en
aquellos casos en los que la contratación es realizada por un tercero en
representación de una persona física vía telefónica:

A.1 – CAC INBOUND 1) Cuando el usuario indica que desea realizar una contratación
como representante se le pregunta por su relación con el titular y si cuenta con
autorización de dicha persona. 2) Una vez confirmado el punto anterior, se solicitan
datos identificativos del representante, y todos los datos del titular necesarios para
formalizar la contratación. 3) Finalmente se lee y registra en audio el Consentimiento
Expreso de representante. 4) Al titular del contrato, a efectos informativos, se le remite
por duplicado, con sobre franqueado, la documentación contractual en cumplimiento
de lo dispuesto en la normativa de protección de consumidores y usuarios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/136

A.2 – TELEMARKETING 1) Cuando el usuario indica que desea realizar una
contratación como representante se le pregunta por su relación con el titular. 2) Una
vez confirmado el punto anterior, se solicitan datos identificativos del representante, y
todos los datos del titular necesarios para formalizar la contratación. 3) A continuación,
se lee y registra en audio el Consentimiento Expreso de representante. 4) Finalmente
se envía soporte duradero al teléfono/sms facilitado por el representante, y se espera
a su confirmación. 5) Al titular del contrato, a efectos informativos, se le remite por
duplicado, con sobre franqueado, la documentación contractual en cumplimiento de lo
dispuesto en la normativa de protección de consumidores y usuarios.

A.3 – LEADS 1) Cuando el usuario indica que desea realizar una contratación como
representante se le pregunta por su relación con el titular. 2) Una vez confirmado el
punto anterior, se solicitan datos identificativos del representante, y todos los datos del
titular necesarios para formalizar la contratación. 3) A continuación, se lee y registra en
audio el Consentimiento Expreso de representante. 4) Seguidamente se envía soporte
duradero al teléfono/sms facilitado por el representante, y se espera a su confirmación.
5) Al titular del contrato, a efectos informativos, se le remite por duplicado, con sobre
franqueado, la documentación contractual en cumplimiento de lo dispuesto en la
normativa de protección de consumidores y usuarios. 6) En este canal, por el modo de
contratación y las características de los clientes que lo utilizan, se tiene en marcha,
como prueba piloto, la comunicación vía SMS o e-mail al representado (en casos de
no parentesco con el representante para estudiar su eficacia y receptividad.)

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores:

En el caso de contrataciones realizadas en Oficinas Comerciales propias de EDP (en
las tiendas ajenas no existe la posibilidad de contratar en nombre y representación de
un tercero) el procedimiento es el siguiente:

1) En aquellos casos en los que el usuario indica que desea realizar una contratación
como representante de un tercero, se le pregunta por su relación con el titular. 2) Una
vez obtenida la información, se solicitan los datos identificativos del representante, y
todos los datos del titular necesarios para formalizar la contratación. Igualmente, se
requiere una fotocopia del NIF, tanto del representante como del representado. 3)
También se requiere de la presentación de un documento de autorización
cumplimentado y firmado por ambas partes interesadas (representante y titular).

D. Fuerzas de Venta Externas:

En caso de contrataciones realizadas por fuerzas de venta externas (stands de ferias,
centros comerciales y visitas a domicilio, siempre que exista solicitud previa por parte
del interesado), en el contrato se recabarán los datos identificativos del representante,
solicitando igualmente, los datos del titular necesarios para formalizar la contratación.
En el contrato, se especifica de forma expresa que el representante declara disponer
de facultades suficientes para suscribir el contrato en nombre del cliente a quien se
responsabiliza de informar de todas las condiciones del mismo. Se requiere, por otra
parte, de una fotocopia del NIF del representante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/136

A continuación, se registra en audio una verificación de la contratación donde se le
indica en dos ocasiones al representante, el hecho de que actúa en representación del
titular del suministro y se confirma la relación-parentesco que les vincula.

Por tanto, para acreditar la representación, se formaliza el talonario de contratación
donde el representante declara disponer de facultades suficientes para suscribir el
contrato en nombre del cliente a quien se responsabiliza de informar de todas las
condiciones de este. Igualmente, se aporta copia del NIF del representante.

Al respecto se solicita aportar, además de toda la información que considere oportuna
a los efectos de documentar el procedimiento, los siguientes:

A. Canal Telefónico:

A.1 – CAC INBOUND
La recopilación de datos se realiza en el sistema de cada uno de los proveedores,
siguiendo el orden que corresponda según la tipología de cliente, producto contratado
o campaña.
Documentos:
1) Plantilla datos ventas (Evidencia 1)
2) Consentimiento Expreso Ventas representante CAC (Evidencia 2)

En la evidencia 2 consta lo siguiente:

"[XXXXXX] vamos a grabar su conformidad. ¿de acuerdo?
Son las [hh:mm] del día [dd] de [mm] de [20XX], y D./Dña.[nombre y apellidos]
con DNI [nº DNI], como [marido/mujer/hijo/apoderado/representante] y en re-
presentación del titular [nombre y apellidos / razón social] con DNI/CIF [nº
DNI/CIF] teléfono [teléfono] y correo electrónico [email] ha llamado y acepta la
oferta de EDP para la dirección [dirección de suministro] que consiste en [con-
diciones del plan -dto en la luz-] para [CUPS LUZ: ES…] sobre el precio EDP
vigente de electricidad [precio de potencia (€/kW mes) y precio término energía
(€/kWh)] y/o [condiciones del plan -dto en gas] para [CUPS GAS: ES…] y pre-
cio EDP vigente de gas [precio término disponibilidad (€/mes) y precio término
energía (€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan
promoción funciona].
[Si no se elige la fecha de cobro] La forma de pago escogida es [domiciliación
bancaria en su cuenta actual/en la cuenta...] y se pasará al cobro en la fecha
indicada en la factura.
[Si se elige la fecha de cobro] La forma de pago escogida es [domiciliación ban-
caria en su cuenta actual/en la cuenta...] y se pasará al cobro en una fecha
concreta, los días [DD] del mes. En ese caso el periodo de pago podrá ser infe-
rior o superior a los 20 días establecidos en la normativa".
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/136

"En nombre de su representado, y tras superar un análisis del riesgo de la ope-
ración, haremos las gestiones necesarias para activar los contratos de acceso,
momento a partir del cual entrará en vigor el nuevo contrato quedando resuelto
el anterior.
El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo
salvo denuncia con antelación de 15 días. ¿Está conforme con la anterior infor-
mación y condiciones del /los contrato/s? [Si / Vale].
En unos días recibirá el contrato incluyendo documento de desistimiento por
duplicado, de los que sólo tendrá que devolvernos firmada una de las copias en
el sobre autofranqueo, no necesita sello, que le adjuntaremos.
Dispone de 14 días naturales para ejercer su derecho de desistimiento. No obs-
tante, si usted nos lo solicita, podemos iniciar ahora los trámites. En ese caso,
si posteriormente desistiera del contrato, deberá abonar el importe correspon-
diente al periodo de suministro prestado. ¿Desea que su contratación se trami-
te de forma inmediata? [SI/NO].
Aún recibirá alguna factura de su compañía actual por un periodo probable-
mente inferior al normal. A partir de ahí, desde la entrada en vigor del contrato
recibirá la factura de EDP con todas nuestras ventajas.
Sus datos personales y los de su representado serán tratados por EDP Comer-
cializadora SAU y EDP Energía SAU para la gestión de sus contratos, preven-
ción de fraude, realización de perfiles basados en información del cliente y de
EDP, así como la realización de comunicaciones personalizadas sobre produc-
tos o servicios directamente relacionados con sus contratos, pudiendo en cual-
quier momento oponerse a las mismas".
"Adicionalmente, para que desde EDP podamos asesorarle con las mejores
propuestas:
¿Nos permite presentar a su representado ofertas relacionadas con la energía
adaptadas a su perfil tras la finalización del contrato, o remitirle en cualquier
momento información de productos y servicios no energéticos, de Empresas
Colaboradoras o de EDP? [SI/NO]
¿Nos permite completar el perfil comercial de su representado con información
de bases de datos de terceros, con la finalidad de enviarle propuestas persona-
lizadas y la posibilidad de contratar o no determinados servicios? [SI/NO]
Su solicitud ha sido registrada con el código que le voy a indicar. Si lo desea,
puede tomar nota [COD. CIG]".

A.2 – TELEMARKETING
La recopilación de datos se realiza en el sistema de cada uno de los proveedores,
siguiendo el orden que corresponda según la tipología de cliente, producto contratado
o campaña.
Documentos:
1) Plantilla datos ventas (Evidencia 1)
2) Consentimiento Expreso Ventas representante TLMK (Evidencia 3)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/136

El texto de la evidencia 3 es el siguiente:
“[Sr./Sra. XXXXXX] para contratarlo necesito grabar su conformidad ¿de
acuerdo?. [Si].
Bien, pues son las [hh:mm] del día [dd] de [mm] de [20XX
[D./Dña] [nombre y apellidos] con DNI [nº DNI] como [marido/mujer/hijo/apode-
rado/representante] y en representación del titular [nombre y apellidos / razón
social] con DNI/CIF [nº DNI/CIF], teléfono [teléfono] y correo electrónico [email]
acepta la oferta de EDP para la dirección [dirección de suministro] que consiste
en para [CUPS LUZ: ES…………..] sobre el precio EDP vigente de electricidad
[precio de potencia (€/kW mes) y precio término energía (€/kWh)] y/o [condicio-
nes del plan -dto en gas] para [CUPS GAS: ES……………………….] y precio
EDP vigente de gas [precio término disponibilidad (€/mes) y precio término
energía (€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan
promoción funciona]. La forma de pago escogida es [domiciliación bancaria en
su cuenta actual/en la cuenta………] y se pasará al cobro [en la fecha indicada
en la factura / en UNA FECHA CONCRETA, LOS DÍAS (DD) DEL MES. EN
ESE CASO EL PERIODO DE PAGO PODRÁ SER INFERIOR O SUPERIOR A
LOS 20 DÍAS ESTABLECIDOS EN LA NORMATIVA]. En nombre de su repre-
sentado, y tras superar un análisis del riesgo de la operación, haremos las ges-
tiones necesarias para activar los contratos de acceso, momento a partir del
cual entrará en vigor el nuevo contrato, quedando resuelto el anterior.
El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo
salvo denuncia con antelación de 15 días.
¿Está conforme con la anterior información y condiciones del /los contrato/s?”
[Si / Vale]. “Muchas gracias.”
En unos días recibirá el contrato (incluyendo documento de desistimiento) por
duplicado, de la que sólo tendrá que devolvernos firmada una de las copias en
el sobre autofranqueo, no necesita sello, que le adjuntaremos.
Dispone de 14 días naturales para ejercer su derecho de desistimiento en la
forma que considere oportuna. No obstante, Podemos iniciar los trámites du-
rante ese plazo si usted nos lo solicita, en cuyo caso si desistiera del contrato
deberá abonar el importe proporcional a la parte prestada del suministro. ¿De-
sea que su contratación se tramite de forma inmediata? [SI/NO]
Aún recibirá alguna factura de su compañía actual por un periodo probable-
mente inferior al normal. Con la entrada en vigor del contrato recibirá la factura
de EDP con todas nuestras ventajas.
Sus datos personales y los de su representado serán tratados por EDP Comer-
cializadora SAU y EDP Energía SAU para la gestión de sus contratos, preven-
ción de fraude, realización de perfiles basados en información del cliente y de
EDP, así como la realización de comunicaciones personalizadas sobre produc-
tos o servicios directamente relacionados con sus contratos, pudiendo en cual-
quier momento oponerse a las mismas.
Adicionalmente, para que desde EDP podamos asesorarles con las mejores
propuestas:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/136

¿Nos permite presentar a su representado ofertas relacionadas con la energía
tras la finalización del contrato, o remitirle en cualquier momento información de
productos y servicios del sector financiero, asegurador y de automoción, de
Empresas Colaboradoras o de EDP?
[SI/NO]
¿Nos permite completar el perfil comercial de su representado con información
de bases de datos de terceros, con la finalidad de enviarle propuestas persona-
lizadas y la posibilidad de contratar o no determinados servicios?
[SI/NO]
Les recordamos que podrán ejercitar en cualquier momento sus derechos de
acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de
cualquiera de las vías indicadas en las Condiciones Generales que pueden
consultar en nuestra web ***URL.1.
[Sólo en caso de contratación de gas] ”Por su seguridad le recordamos la obli-
gación legal de colaborar con su Compañía Distribuidora facilitando el acceso a
sus instalaciones.”
Para poder tramitar su petición necesitamos que confirme la aceptación de esta
oferta que tiene el Código, por favor tome nota: “COD CIG”.

A.3 – LEADS
La recopilación de datos se realiza en el sistema de cada uno de los proveedores,
siguiendo el orden que corresponda según la tipología de cliente, producto contratado
o campaña.
Documentos:
1) Plantilla datos ventas (Evidencia 1)
2) Consentimiento Expreso Ventas representante LEADS (Evidencia 4)

El contenido de la evidencia 4 es el siguiente:

“[Sr./Sra. XXXXXX] para contratarlo necesito grabar su conformidad ¿de
acuerdo?. [Si].

Bien, pues son las [hh:mm] del día [dd] de [mm] de [20XX] y [D./Dña] [nombre
y apellidos] con DNI [nº DNI] ha solicitado la llamada de EDP y como
[marido/mujer/hijo/apoderado/representante] y en representación del titular
[nombre y apellidos / razón social] con DNI/CIF [nº DNI/CIF], teléfono [teléfono]
y correo electrónico [email] acepta la oferta de EDP para la dirección [dirección
de suministro] que consiste en [condiciones del plan -dto en la luz para [CUPS
LUZ: ES…………..] sobre el precio EDP vigente de electricidad [precio de
potencia (€/kW mes) y precio término energía (€/kWh)] y/o [condiciones del
plan -dto en gas] para [CUPS GAS: ES……………………….] y precio EDP
vigente de gas [precio término disponibilidad (€/mes) y precio término energía
(€/kWh)]; y/o Funciona [precio anual del servicio, condiciones del plan
promoción funciona]. La forma de pago escogida es [domiciliación bancaria en
su cuenta actual/en la cuenta………] y se pasará al cobro [en la fecha indicada
en la factura / en una fecha concreta, los días (dd) del mes. en ese caso el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/136

periodo de pago podrá ser inferior o superior a los 20 días establecidos en la
normativa]. En nombre de su representado, y tras superar un análisis del riesgo
de la operación, haremos las gestiones necesarias para activar los contratos de
acceso, momento a partir del cual entrará en vigor el nuevo contrato, quedando
resuelto el anterior.

El/los contrato/s tendrá/s una duración de 1 año, prorrogable por igual periodo
salvo denuncia con antelación de 15 días.

¿Está conforme con la anterior información y condiciones del /los contrato/s?”
[Si / Vale]. “Muchas gracias.”
En unos días recibirá el contrato (incluyendo documento de desistimiento) por
duplicado, de la que sólo tendrá que devolvernos firmada una de las copias en
el sobre autofranqueo, no necesita sello, que le adjuntaremos.

Dispone de 14 días naturales para ejercer su derecho de desistimiento en la
forma que considere oportuna. No obstante, Podemos iniciar los trámites
durante ese plazo si usted nos lo solicita, en cuyo caso si desistiera del
contrato deberá abonar el importe proporcional a la parte prestada del
suministro. ¿Desea que su contratación se tramite de forma inmediata? [SI/NO]

Aún recibirá alguna factura de su compañía actual por un periodo
probablemente inferior al normal. Con la entrada en vigor del contrato recibirá
la factura de EDP con todas nuestras ventajas.

Sus datos personales y los de su representado serán tratados por EDP
Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos,
prevención de fraude, realización de perfiles basados en información del cliente
y de EDP, así como la realización de comunicaciones personalizadas sobre
productos o servicios directamente relacionados con sus contratos, pudiendo
en cualquier momento oponerse a las mismas.

Adicionalmente, para que desde EDP podamos asesorarles con las mejores
propuestas:
¿Nos permite presentarle ofertas relacionadas con la energía adaptadas a su
perfil tras la finalización del contrato, o remitirle en cualquier momento
información de productos y servicios no energéticos, de Empresas
Colaboradoras o de EDP?
[SI/NO]
¿Nos permite completar el perfil comercial de su representado con información
de bases de datos de terceros, con la finalidad de enviarle propuestas
personalizadas y la posibilidad de contratar o no determinados servicios?
[SI/NO]
Les recordamos que podrán ejercitar en cualquier momento sus derechos de
acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de
cualquiera de las vías indicadas en las Condiciones Generales que pueden
consultar en nuestra web ***URL.1.

B. Web: No se ofrece la opción de contratación con representante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/136

C. Distribuidores:

En el caso de oficinas comerciales propias de EDP, la recopilación de datos se realiza
en el sistema de cada uno de los proveedores, siguiendo el orden que corresponda
según la tipología de cliente, producto contratado o campaña.
Documentos aportados:
1) Plantilla datos ventas (Evidencia 1)
2) Plantilla autorización gestiones representante (Evidencia 5)

En lo que respecta al contenido de la evidencia 5, el documento contiene tres
recuadros diferenciados, En el primero se indica que ”el TITULAR (D.,,,, DNI o CIF) en
nombre propio o representación de la empresa.” En el segundo recuadro se indica que
“AUTORIZA a (D.,,,, DNI… o CIF) para realizar la gestión de (señala 4 posibilidades:
alta/baja, cambio de titularidad, cambio de domiciliación bancaria, y/o otras gestiones)
debiendo marcarse el recuadro contiguo a cada una de ellas. En el tercer recuadro se
recoge “FIRMA” y se deja los espacios correspondientes al lugar, fecha (día, mes y
año) y espacio para la firma del autorizante y autorizado.

A continuación, se resalta con fondo rojo la siguiente leyenda:

“NOTA: PARA TENER VALIDEZ, ESTA AUTORIZACIÓN DEBE PRESENTARSE
ACOMPAÑADA DE FOTOCOPIA DEL DNI DEL TITULAR Y DEL AUTORIZADO.
CUANDO SE TRATE DE AUTORIZACIÓN CONCEDIDA POR UN REPRESENTANTE
DEL TIPO S.A., S.L., A.I.E, U.T.E, CB, COMUNIDAD DE PROPIETARIOS,
FUNDACIONES, COLEGIOS, … , ADEMÁS SE REQUERIRÁ FOTOCOPIA DE LA
ESCRITURA DE PODER OPORTUNA”.

Seguidamente figura el siguiente texto;

“Los interesados quedan informados que los datos de carácter personal facilitados en
este formulario serán tratados como responsable del tratamiento por EDP ENERGÍA,
S.A.U. y EDP COMERCIALIZADORA, S.A.U. con el fin de que puedan ser utilizados
para la tramitación de la gestión autorizada.
Los datos personales que usted nos facilita, serán utilizados, en la forma y con las
limitaciones y derechos que reconoce el Reglamento General de Protección de Datos
(UE) 2016/679.

Los interesados cuyos datos sean objeto de tratamiento podrán ejercitar los derechos
de acceso, rectificación, supresión, portabilidad, limitación y oposición al tratamiento
de estos datos, acreditando su identidad, mediante email dirigido a
[email protected] o mediante escrito dirigido al responsable del tratamiento a la
dirección Plaza del Fresno, 2 – 33007 Oviedo (Asturias). Igualmente, podrá ponerse
en contacto con el Delegado de Protección de Datos de EDP, en la misma dirección
postal o en el correo electrónico [email protected], en el caso de que entienda
vulnerado alguno de sus derechos relacionados con la protección de datos, o en su
caso, interponer una reclamación ante la Agencia Española de Protección de Datos “

D. Fuerzas de Venta Externas:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/136

En el caso de las fuerzas de venta externas (stands de ferias, centros comerciales y
visitas a domicilio, siempre que exista solicitud previa por parte del interesado), la
recopilación de datos se realiza en un talonario en papel. Estos datos se digitalizan en
la Herramienta de Gestión de Canales (HGC).
Para la verificación, la recopilación de datos se realiza en el sistema del proveedor de
verificación.
Documentos:
1) Talonario de ventas (Evidencia 6)
2) Plantilla datos ventas (Evidencia 1)
3) Script verificación (Evidencia 7)

En lo que respecta a la evidencia 6, a la que el reclamado denomina Talonario de
ventas, el documento, bajo el título “contrato de suministro de energía y/o servicios”,
contiene en su primera página tres recuadros.
En el primero figuran espacios para cumplimentar los datos relativos al punto de
suministro (dirección, cup electricidad, cup gas) y separadamente casillas para marcar
la contratación de contrato luz+gas o individualmente alguno de los dos servicios. Se
contienen también espacios para cumplimentar los datos del titular del contrato
(nombre, apellidos, teléfono y correo electrónico) y datos del representante (nombre,
NIF y domicilio y se incluyen varias casillas para marcar que el representante lo es en
calidad de cónyuge/pareja registrada, ascendiente/ descendiente o apoderado) debajo
de tales casillas un texto señala que “declara disponer de facultades suficientes para
suscribir el presente contrato en nombre del cliente a quien se responsabiliza de
informar de todas las condiciones del mismo.”

Debajo de este recuadro se contiene la siguiente leyenda; “El cliente contrata, para el
suministro que se indica, el suministro de gas con EDP Comercializadora, S.A.U. y el
suministro de electricidad y/o los servicios complementarios con EDP Energía, S.A.U.,
(en adelante conjunta y/o individualmente, según proceda, referidas como “EDP”) con
arreglo a las Condiciones Específicas que se recogen a continuación y a las
Condiciones Generales en anexo.
El cliente solicita que la prestación del suministro / los suministros y/o servicios se
inicie durante el plazo de desistimiento contemplado en las condiciones generales.”
En el segundo recuadro titulado condiciones específicas del contrato y en el que
separadamente según se trate de gas o luz se contienen ciertas informaciones sobre
tarifas y en el que existen espacios para ser cumplimentados y casillas para marcar
relativas a los servicios que se contratan, figura tanto en la parte de gas como en la de
luz una casilla que debe marcarse para indicar que se cambia de titular. También se
incluye un espacio para cumplimentar los datos relativos a la cuenta corriente para
domiciliar los cobros (este espacio es común a todos los servicios contratados)

Debajo de este recuadro figura el siguiente texto: “EDP se reserva el derecho a
renunciar al presente contrato si los datos efectivos del suministro no se ajustan a los
declarados por el cliente a la hora de contratar.” Seguidamente figura una casilla para
marcar que “El cliente expresamente declara conocer y aceptar las anteriores
Condiciones Específicas.” Y otra para marcar que “El cliente declara haber sido
informado y recibido el anexo con las Condiciones Generales, que acepta.” Se añade
a continuación que “El cliente, si tuviera la condición de consumidor, tiene DERECHO
A DESISTIR de este contrato si hubiera sido formalizado a distancia o fuera de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/136

establecimientos de la comercializadora según se indica en las condiciones generales
y reconoce que le ha sido entregado el correspondiente documento de desistimiento al
efecto.” Figura a continuación una casilla para marcar que “El cliente declara haber
recibido el documento de desistimiento y haber sido informado del mismo.”

En el tercer recuadro, bajo el título CLIENTE/REPRESENTANTE tras advertir que la
información relativa a protección de datos puede leerse en el reverso, permite marcar
los siguientes consentimientos:

 Consiento el tratamiento de mis datos personales una vez finalizada la relación
contractual, para la realización de comunicaciones comerciales adaptadas a mi perfil
de productos y servicios relativos al suministro y consumo de energía. Asimismo,
consiento los mencionados tratamientos durante la vigencia y tras la finalización del
contrato, sobre productos y servicios no energéticos, tanto de las empresas del Grupo
EDP como de terceros.

 Consiento el tratamiento de mis datos personales para la elaboración de mi perfil
comercial con información proveniente de bases de datos de terceros, para la
adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar
propuestas comerciales personalizadas, así como para permitir, o no, la contratación
de determinados servicios.

En el reverso de la primera página aparece un apartado, titulado “Información básica
sobre Protección de Datos”: en el que figura lo siguiente:

“Los datos personales serán tratados por parte de EDP COMERCIALIZADORA,
S.A.U. y EDP ENERGÍA, S.A.U. (en adelante, conjuntamente, EDP) en calidad de
Responsables del Tratamiento, para el mantenimiento, desarrollo, cumplimiento y ges-
tión de la relación contractual, prevención del fraude, realización de perfiles basados
en información facilitada por el Cliente y/o derivada de la prestación del servicio por
parte de EDP, así como envío de comunicaciones comerciales, relativas a productos y
servicios relacionados con el suministro y consumo de energía, mantenimiento de ins-
talaciones y equipamiento, y que podrán ser personalizadas en base a su perfil de
Cliente, según se informa en las Condiciones Generales, pudiendo oponerse en cual-
quier momento al envío de comunicaciones comerciales. Adicionalmente, el Cliente
presta su consentimiento explícito para los tratamientos de datos personales recogidos
en el anverso. Sin perjuicio de los consentimientos prestados, el cliente podrá ejercitar,
en todo momento, sus derechos de acceso, rectificación, oposición, supresión, limita-
ción y portabilidad, a través de cualquiera de las vías indicadas en las Condiciones
Generales.”

En la parte de condiciones generales figura la siguiente información relativa a
protección de datos personales:

13/136

con la finalidad de gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio, para la realización de acciones de prevención del
fraude, así como realización de perfiles, comunicaciones comerciales personalizadas
basadas en información facilitada por el Cliente y/o derivada de la prestación del
servicio por parte de EDP y relativas a productos y servicios relacionados con el
suministro y consumo de energía, mantenimiento de instalaciones y equipamientos.
Dichos tratamientos serán realizados dando estricto cumplimiento a la legislación
vigente y en la medida que sean necesarios para la ejecución del contrato y/o la
satisfacción de los intereses legítimos de EDP, siempre que sobre estos últimos no
prevalezcan otros derechos del cliente.

Siempre que el cliente lo haya aceptado explícitamente, sus datos personales serán
tratados, incluso una vez finalizada la relación contractual y siempre que no se
produzca la oposición a dicho tratamiento, para:
(I)La promoción de servicios financieros, servicios de protección de pagos, automoción
o afines y electrónica, propios o de terceros, ofrecidos por EDP y/o la participación en
concursos promocionales, así como para la presentación de propuestas comerciales
vinculadas al sector energético tras la finalización del contrato, (II) La elaboración de
perfiles comerciales del Cliente mediante la agregación de las bases de datos de
terceros, con el fin de ofrecer al Cliente productos y servicios personalizados,
mejorando así la experiencia del cliente, (III) La adopción de decisiones
automatizadas, tales como permitir la contratación, o no, de determinados productos
y/o servicios basadas en el perfil del Cliente y particularmente, en datos tales como, el
histórico de impagos, el histórico de contrataciones, permanencia, ubicaciones, datos
de consumo, tipos de dispositivos conectados a la red energética, y datos semejantes
que permitan conocer con mayor detalle los riesgos asociados a la contratación. (IV)
Tomando como base los resultados obtenidos de la agregación de los datos indicados,
EDP podrá realizar ofertas personalizadas, y concretamente orientadas a lograr la
contratación de determinados productos y/o servicios de EDP o de terceras entidades
en función de si el cliente así lo ha consentido o no, siendo en todo caso tratados
datos cuya antigüedad no superará un año. En caso de que dicho proceso se llevara a
cabo de forma automatizada, el cliente siempre tendrá derecho a obtener intervención
humana por parte de EDP, admitiéndose la impugnación y en su caso valoración de la
decisión resultante.

Categorías de datos tratados
En virtud de la relación contractual, EDP podrá tratar los siguientes tipos de datos
personales: (I) Datos identificativos (nombre, apellidos, DNI, dirección postal, dirección
de correo electrónico, punto de suministro, etc.), (II) Códigos o claves de identificación
de usuario y/o Cliente, (III) Datos de características personales (fecha de nacimiento,
sexo, nacionalidad, etc.), (IV) Datos de circunstancias sociales (aficiones, estilo de
vida, estado civil, etc.), (V) Datos de consumo energético y hábitos de vida derivados
de éstos, (VI) Datos económicos, financieros, de solvencia y/o de seguros.

14/136

para garantizar la integridad, confidencialidad, disponibilidad y resiliencia de los datos
personales
Comunicaciones y destinatarios de los datos personales.

Todos los datos personales derivados de la prestación del servicio y los obtenidos en
virtud del presente contrato podrán ser comunicados a las siguientes entidades:

i) La empresa distribuidora correspondiente, produciéndose con la misma un in-
tercambio de información permanente para la adecuada prestación del servicio,
entre ellos la solicitud de acceso a su red, las lecturas (que en el caso de con-
tador telegestionado serán horaria) y/o estimación de consumo, control de cali-
dad del suministro, solicitud de cortes de suministro, modificaciones en la po-
tencia, etc.

ii) Los Organismos y Administraciones Públicas que por Ley corresponda.

iii) Los Bancos y entidades financieras para el cobro de los servicios prestados.

iv) Otras empresas del grupo empresarial, únicamente para fines administrativos
internos y la gestión de los productos y servicios contratados.

v) Servicios de solvencia patrimonial y crédito de ámbito nacional (Asnef-Equifax,
…) a los que en caso de impago, sin causa justificada por parte del Cliente, se
podrá comunicar la deuda, así como servicios de prevención contra el fraude,
con el único fin de identificar información errónea o fraudulenta facilitada duran-
te el proceso de contratación.

vi) Proveedores de EDP necesarios para el adecuado cumplimiento de las obliga-
ciones contractuales, incluso aquellos que pueden estar ubicados fuera del Es-
pacio Económico Europeo encontrándose en tal caso debidamente adecuada
la transferencia internacional de datos.

Derechos del titular de los datos

El cliente contará en todo momento con la posibilidad de ejercitar de forma libre
y completamente gratuita los siguientes derechos:

i) Acceder a sus datos personales que sean tratados por parte de
EDP.

ii) Rectificar sus datos personales que son tratados por parte de
EDP que resulten inexactos o incompletos.

iii) Suprimir sus datos personales que son tratados por EDP

iv) Limitar el tratamiento por parte de EDP de todos o parte de sus
datos personales.

v) Oponerse a determinados tratamientos y adopción de decisiones
automatizadas de sus datos personales, requiriendo la intervención hu-
mana en el proceso, así como a impugnar las decisiones que sean final-
mente adoptadas en virtud del tratamiento de sus datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/136

vi) Portar sus datos personales en un formato interoperable y auto-
suficiente.

vii) Retirar en cualquier momento, los consentimientos otorgados
previamente.

De conformidad con la normativa vigente, el usuario puede ejercer sus
derechos solicitándolo por escrito, y junto a una copia de documento fe-
haciente de acreditación de la identidad, en la siguiente dirección pos-
tal: Plaza del Fresno, 2 , 33007 Oviedo o en el correo electrónico
***EMAIL.1.

Igualmente, podrá ponerse en contacto con el delegado de protección
de datos de EDP en la siguiente dirección postal Plaza del Fresno, 2 ,
33007 Oviedo o en el correo electrónico ***EMAIL.1, en el caso de que
entienda vulnerado alguno de sus derechos relacionados con la protec-
ción de datos, o en su caso, interponer una reclamación ante la Agencia
Española de Protección de Datos, en la dirección Calle de Jorge Juan,
6, 28001. Madrid “

La evidencia 7 hace referencia a un proceso de venta con verificación exprés online.

SCRIPT VERIFICADOR-AGENTE
Parte 1 (Llamada del agente al número ***TELÉFONO.1 o ***TELÉFONO.2)
VERIF-Verificaciones EDP, buenos días. ¿Me indicas tu número de teléfono para
realizar la verificación?
AGE- Buenos días, mi teléfono es XXXXX.
VERIF-Procedo a emitir la llamada saliente.
Parte 2 (Llamada saliente del verificador al teléfono del agente)
VERIF: Buenos días, ¿me indicas DNI?. XXXXX ¿Me indicas tu nombre y apellidos y
empresa colaboradora? Si la herramienta nos devuelve los datos del colaborador ( y el
mismo está activo) comprobaremos si coinciden, en caso afirmativo continuamos, en
caso de que no coincidan le volvemos a solicitar el dato/s que no coincida para
reconfirmar la discrepancia, si continua le indicaremos: «No podemos realizar la
verificación, los datos que nos facilitas son incongruentes»). En caso de que la
herramienta no nos devuelva nada, le solicitaremos nuevamente el DNI y si continua
sin aparecer le indicamos: «No podemos realizar la verificación, tu empresa no te ha
acreditado».
VERIF- ¿Me indicas nombre, apellidos y DNI del firmante? XXXXX ¿Cuántos
contratos ha firmado? XXXX (máximo 6 contratos por llamada) realizados en el Stand
de EDP en el CC XX/en la tienda del colaborador XX
VERIF-¿El firmante es el titular del/los contratos?. En caso de ser titular solicitar
teléfono de contacto y provincia. Si firma como representante, solicitar nombre,
apellidos y DNI de/los titulares (máximo 3) y teléfono de contacto y provincia principal
de cada titular.
VERIF-¿Me puedes indicar el teléfono del firmante para realizar la verificación?
XXXXX
VERIF-Procedo a emitir la llamada para iniciar la verificación.
Parte 3 (Llamada saliente del verificador al teléfono de verificación)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/136

VERIF al CLIENTE- Buenos días, soy XXXX de la empresa ***EMPRESA.1
colaboradora de EDP. Por motivos de seguridad le comunico que esta llamada está
siendo grabada ¿me confirma que es NOMBRE FIRMANTE con DNI XXXX y que
acaba de firmar XX contratos en el stand de EDP/tienda del colaborador (en caso de
firmar como representante indicar “en representación de nombre-apellidos TITULAR
con DNI) Si/No. ¿Qué relación-parentesco tiene con el titular? (está pregunta no se
realiza cuando el titular es una empresa).
-Inquilino, tengo la casa alquilada. Solicitar que le pase al agente e
indicarle que no es posible que un inquilino firme como representante. Verificación KO.
-Familiar o apoderado: continuar la verificación.
Perfecto, pásame por favor con el agente para tomar unos datos y realizar la
verificación, gracias.

A. Canal Telefónico:

A.1 – CAC INBOUND
Grabación del texto legal donde el representante confirma los datos aportados del
representado.
A.2 – TELEMARKETING
Grabación del texto legal donde el representante confirma los datos aportados del
representado y soporte duradero vía sms/email donde el representante confirma de
nuevo dichos datos.
A.3 – LEADS
Grabación del texto legal donde el representante confirma los datos aportados del
representado y soporte duradero vía sms/email donde el representante confirma de
nuevo dichos datos.
Adicionalmente, en la prueba piloto de este canal, se envía al representado otro
sms/email informando de la acción del representante.

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores:

En el caso de oficinas comerciales propias de EDP, se solicita cumplimentado y
firmado por ambas partes interesadas (representante y titular) un documento de
autorización expresa en el que figuran los datos de ambas personas y copias de sus
NIF.

D. Fuerzas de Venta Externas:

En el caso de las fuerzas de venta externas (stands de ferias, centros comerciales y
visitas a domicilio, siempre que exista solicitud previa por parte del interesado), la
recopilación, se conserva el talonario de contratación donde el representante declara
disponer de facultades suficientes para suscribir el contrato en nombre del cliente a
quien se responsabiliza de informar de todas las condiciones de este.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/136

Igualmente, se dispone y conserva la grabación de verificación donde se confirman
con el representante los datos del representado, así como la relación/ parentesco que
les une.

A. Canal Telefónico:

A.1 – CAC INBOUND
La grabación se encuentra almacenada vinculada al sistema de gestión comercial de
Contactos donde se registra la solicitud.
A.2 – TELEMARKETING
La grabación y el soporte duradero se encuentran almacenados en el sistema de
gestión comercial de Canales.
A.3 – LEADS
La grabación y el soporte duradero se encuentran almacenados en el sistema de
gestión comercial de Canales.

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores

En el caso de las Oficinas Comerciales propias de EDP, el documento de autorización
se encuentra almacenado vinculada al sistema de gestión comercial de Contactos
donde se registra la solicitud.

D. Fuerzas de Venta Externas:

El talonario de contratación y la grabación de la llamada de verificación se encuentran
almacenado de forma digital en el sistema de gestión comercial de Canales.
Por su parte, la copia en papel se remite al proveedor encargado por EDP de la
custodia de dichos documentos.

2.4. Adjuntar modelos y/o ejemplos de evidencias tipo recopiladas en virtud del
procedimiento seguido en el apartado 2.3.

A. Canal Telefónico:

A.1 – CAC INBOUND
Se aporta ejemplo con las grabaciones (Evidencia 8) Se trata de un audio con la
grabación de una contratación de servicios en un caso concreto realizado mediante
representación. Su contenido es el mismo que en la evidencia 2.

A.2 – TELEMARKETING
Se aportan ejemplos de grabaciones y los soportes duraderos (Evidencias 9 y 10,
respectivamente) La evidencia 9 consiste en un audio con la grabación de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/136

contratación de servicios con el representante de un cliente. Reproduce el contenido
de la evidencia 3. La evidencia 10 es un documento con el siguiente texto:
“Confirmación de aceptación de comunicación por sms:
El día 2019-04-26 15:50:06 se envió un SMS desde el número de teléfono
+***TELÉFONO.3 con el texto:
Oferta EDP: ***OFERTA.1 Por favor, responde con un SI a este SMS para
aceptar y activar descuentos. Gracias. Detalles:
http://edpconfirma.es/OOUSEAVSXK
al número de teléfono destinatario ***TELÉFONO.4. Dicho mensaje fue
respondido con el ID de notificación OOUSEAVSXK, el día 2019-04-26
15:50:46 y con el texto: Si el cual aceptamos como válido para la tramitación
del producto ofertado en el documento que se muestra a continuación. Se
indican a continuación datos personales del contratante y de la oferta y la
siguiente información: Sus datos personales serán tratados por EDP
Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos,
prevención de fraude, realización de perfiles basados en información del cliente
y de EDP, así como la realización de comunicaciones personalizadas sobre
productos o servicios directamente relacionados con sus contratos, pudiendo
en cualquier momento oponerse a las mismas.
Le recordamos que podrá ejercitar en cualquier momento sus derechos de
acceso, rectificación, oposición, supresión, limitación y portabilidad, a través de
cualquiera de las vías indicadas en las Condiciones Generales que puede
consultar en nuestra web ***URL.1.”

A.3 – LEADS
Se aportan ejemplos con las grabaciones y los soportes duraderos (Evidencias 11, 12,
y 13, respectivamente)

B. Web: No se ofrece la opción de contratación con representante.

C. Distribuidores:

En lo que se refiere a Oficinas Comerciales propias, se adjunta modelo de documento
de autorización cumplimentado por el representante a favor del representado
(Evidencia 14).

D. Fuerzas de Venta Externas:

Con respecto a las evidencias generadas por las fuerzas de venta externas, se adjunta
modelo de talonario de contratación donde se recoge la representación (Evidencia 15),
así como la grabación en la que se confirma la misma, así como la relación-parentesco
que les vincula (Evidencia 16).

TERCERO. - Información del número de contratos suscritos en 2018 y 2019 por
terceros en representación de los titulares de los servicios (personas físicas) con
distinción de: 3.1. En virtud de qué se apoya dicha representación (poder, grado de
parentesco, etc.) 3.2. Procedimiento o fórmula de acreditación de la representación
seguido. 3.3. Canal de contratación telefonía, internet, distribuidores propios o
subcontratas, fuerza de ventas con visitas a domicilio propia o subcontratada, etc.…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/136

En relación con la petición de información relativa al número de contratos suscritos en
los años 2018 y 2019 por terceros en representación de personas físicas, se pone en
conocimiento de la AEPD la siguiente información relativa a cada uno de los canales:

A. Canal Telefónico:

A.1 – CAC INBOUND
Año Canal Representación Nº Contratos
2018 CAC Parentesco 1.536
2018 CAC Sin parentesco 436
2019 CAC Parentesco 1.351
2019 CAC Sin parentesco 295

A.2 – TELEMARKETING
Año Canal Representación Nº Contratos
2018 TELEMARKETING Parentesco 2.708
2018 TELEMARKETING Sin parentesco 114
2019 TELEMARKETING Parentesco 1.910
2019 TELEMARKETING Sin parentesco 83

A.3 – LEADS
Año Canal Representación Nº Contratos
2018 LEADS Parentesco 17.040
2018 LEADS Sin parentesco 2.719
2019 LEADS Parentesco 17.808
2019 LEADS Sin parentesco 3.496

B. Web: No se contempla la contratación con representante.

C. Distribuidores (Oficinas comerciales propias):

Año Canal Representación Nº Contratos
2018 OOCC Parentesco 261
2018 OOCC Sin parentesco 64
2019 OOCC Parentesco 244
2019 OOCC Sin parentesco 52

D. Fuerzas de Venta Externas: (stands ferias, centros comerciales – visita a domicilio)

Año Canal Representación Nº Contratos
2018 FVE Parentesco 43.008
2018 FVE Sin parentesco 523
2019 FVE Parentesco 11.945
2019 FVE Sin parentesco 13

SEXTO: Por escrito de fecha 29 de mayo de 2020, enviado el 1 de junio de 2020, se
formula nuevo requerimiento de información a EPD ENERGÍA, S.A.U solicitando la
que a continuación se relaciona:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/136

1. Copia del contenido incluido en el Registro de Actividades de Tratamiento (artículo
30 del RGPD) en lo relativo a las actividades de tratamiento de datos personales
realizadas en el contexto de la contratación de servicios con EDP ENERGÍA, S.A.U.
2. Copia del contenido incluido en el Análisis o Evaluación de Riesgos realizado por la
entidad en cumplimiento del artículo 32 del RGPD en lo relativo a los tratamientos de
datos personales realizados en el contexto de la contratación de servicios con EDP
ENERGÍA, S.A.U.
3. Entre la información facilitada con anterioridad por la entidad a la AEPD, registrada
con el número 001390/2020, se especifica de forma recurrente (ver evidencias 2, 3, 4,
6, 10, 12, 14, 15) que los datos personales serán tratados para el conjunto de
finalidades descritas, además de por EDP ENERGÍA, S.A.U., por otra persona jurídica
(EDP COMERCIALIZADORA, S.A.U). Se solicita, al respecto, la siguiente información:
3.1. Motivo que justifica que ambas entidades traten los datos personales recogidos.
3.2. Detalle de las circunstancias que condicionan, si las hubiera, que los tratamientos
realizados sobre unos datos personales concretos sean ejecutados por una u otra
entidad.
3.3. Detalle, en su caso, de los procedimientos y mecanismos utilizados para
garantizar la separación de los datos personales tratados por una y otra entidad de
forma que cada una sólo tenga posibilidad de tratar lo que le corresponda en función
de la finalidad legítima perseguida en cada momento.

SÉPTIMO: Con fecha 17 de junio de 2020 tiene entrada en esta Agencia escrito de
EDP ENERGÍA, S.A.U. en el que se expone lo siguiente respecto de la última
cuestión planteada en el requerimiento de esta Agencia a que hace referencia el punto
anterior:

“TERCERO.- Entre la información facilitada con anterioridad por la entidad a la AEPD,
registrada con el número 001387/2020, se especifica de forma recurrente (ver
evidencias 2, 3, 4, 6, 10, 12, 14, 15) que los datos personales serán tratados para el
conjunto de finalidades descritas, además de por EDP ENERGÍA, S.A.U., por otra
persona jurídica (EDP ENERGÍA, S.A.U.). Se solicita, al respecto, la siguiente
información:

3.1. Motivo que justifica que ambas entidades traten los datos personales recogidos.

3.2. Detalle de las circunstancias que condicionan, si las hubiera, que los tratamientos
realizados sobre unos datos personales concretos sean ejecutados por una u otra
entidad.

Al tratarse de dos cuestiones directamente relacionadas entre sí, se da respuesta
conjunta a las mismas. En relación con las evidencias aportadas y que se
corresponden con soportes que se utilizan para llevar a cabo la contratación a través
de los distintos canales se hace referencia, tanto a EDP ENERGÍA, como a EDP
ENERGÍA S.A.U. (EDP ENERGÍA), debido a que la sociedad con la que se contraten
los servicios será una u otra dependiendo del producto y/o servicio solicitado, siendo
altamente probable que un mismo cliente al solicitar la contratación del suministro
eléctrico y de gas, esté contratando con ambas sociedades al mismo tiempo.
Por este motivo, se ha elaborado y estructurado el contrato “dual” de forma que un
cliente pueda obtener descuentos o ventajas adicionales por el hecho de contratar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/136

ambas energías con dos sociedades del mismo Grupo empresarial, y a fin de
mantener actualizados los descuentos en cada una de las energías e información
derivada, es necesario que ambas sociedades conozcan si la energía inicialmente
contratada con la otra sociedad del Grupo se mantiene activa para poder mantener y
gestionar correctamente los descuentos/ventajas aplicadas.
Por este motivo, y con el fin de dotar de la máxima transparencia posible a un proceso
realizado eminentemente por escrito, como es el de la contratación de los servicios
energéticos, es por el que en la cláusula relativa a protección de datos se informa que
los datos personales facilitados durante el proceso de contratación serán tratados por
ambas entidades, siempre respetando las funciones de cada una de acuerdo con el
contrato suscrito en cada caso y particularmente el tipo de servicios energéticos que
finalmente sean contratados.

Por otro lado, y con independencia de lo expuesto, ponemos en conocimiento de esa
Agencia que la existencia de dos compañías dentro del Grupo con el rol de entidades
comercializadoras se debe a una cuestión meramente formal, consecuencia de la
estructura societaria y composición accionarial de las compañías adquiridas por el
Grupo EDP en el momento de su establecimiento en España, pero que no se
corresponde con el funcionamiento operativo de dichas comercializadoras, dado que
solo una de ellas, EDP ENERGÍA, cuenta en la actualidad con empleados y capacidad
de gestión y operativa. De este modo, en la práctica, todos los tratamientos son
realizados por dicha entidad, bien en calidad de responsable del tratamiento o como
encargada del tratamiento de EDP ENERGÍA. Adicionalmente, indicar que el Grupo
EDP tenía prevista la reorganización societaria de EDP ENERGÍA y EDP ENERGÍA y
la adaptación de su estructura societaria con la de su funcionamiento real y su
operativa de negocio. Dicha reorganización se ha visto en la actualidad afectada por
un proceso de venta a TOTAL en el que ambas sociedades están inmersas, y que de
materializarse, podría alterar o ultimar dicha integración.

3.3. Detalle, en su caso, de los procedimientos y mecanismos utilizados para
garantizar la separación de los datos personales tratados por una y otra entidad de
forma que cada una sólo tenga posibilidad de tratar lo que le corresponda en función
de la finalidad legítima perseguida en cada momento.

Como ya se ha expuesto, todos los usuarios con acceso al sistema son empleados de
EDP ENERGÍA.

De esta forma, los agentes de EDP acceden a los datos personales de los clientes de
dicha entidad en calidad de responsables del tratamiento o bien, tienen acceso a los
datos personales de los clientes de EDP ENERGÍA, en calidad de Encargado de
Tratamiento, en cumplimiento de la prestación de servicios de gestión de clientes de
EDP ENERGÍA que EDP ENERGÍA le tiene encomendado, siendo gestionados en
calidad de los dos diferentes roles que ocupan en virtud de la regulación contractual
que ponemos a disposición de esta Agencia.” (SIC)

Junto a dicha respuesta se aporta extracto del Registro de Actividades de Tratamiento
que incluye los registros relativos a las actividades que se realizan en el ámbito de la
contratación de productos y/o servicios y el análisis de riesgos realizado relativo a los
tratamientos que se realizan en el contexto de la contratación de productos y/o
servicios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/136

El análisis de riesgos se contiene en un documento de Excel, no contiene fecha ni
firma. Se enumeran 15 factores de riesgo; 1. Información comercialmente sensible, 2.
Comunicaciones Comerciales, 3. Origen Datos (fuente externa o interna), 4. Cesiones
de Datos. 5, Encargados Tratamiento. 6. Transferencias internacionales. 7. Actividades
de scoring/ Profiling. 8.Decisiones automatizadas. 9. Monitorización sistemática de
titulares. 10. Categorías especiales de datos. 11. Tratamientos de datos a gran escala.
12. Interconexiones de datos/ Big Data. 13. Datos Menores/ Titulares vulnerables. 14.
Aplicación o uso de tecnologías innovadoras.15. Tratamiento inevitable/ Restricción
ejercicio derechos o acceso servicio. En cuanto a la valoración potencial del riesgo
inherente, la escala de riesgo tiene 4 niveles: bajo, con una valoración de 0 a 12;
medio valoración de 13 a 25; alto de 26 a 38 y muy alto de 39 a 51. La valoración o
peso que se da a cada uno de los factores de riesgo es de 1 a 4. En el análisis de
riesgos se marca para cada uno de los canales de venta un sí o un no en cada uno los
15 factores de riesgo antes enumerados. La suma del peso atribuido a de cada uno de
los factores para cada canal determina el riesgo inherente. El resultado del riesgo
inherente es medio en todos los canales de contratación, excepto en los canales web y
fuerzas externas a través de visitas a domicilio en los que el resultado del riesgo
inherente es bajo. No se indican medidas de corrección de riesgo.

OCTAVO: Con fecha 16 de julio de 2020 tiene entrada en esta Agencia, en el marco
del expediente de investigación E/5549/2019, escrito de EDP COMERCIALIZADORA,
S.A.U. exponiendo que “ En el marco del procedimiento arriba referenciado se requirió
a EDP por parte de la AEPD para aclarar, entre otros extremos, determinada
información relativa a los procedimientos de contratación implantados en EDP
realizados con intervención de un tercero autorizado por el titular, así como atender la
sugerencia realizada en procedimientos previos comunicados por parte de la AEPD en
los que se sugería la realización de modificaciones en el modo en que se realizan este
tipo de contrataciones.

2. Que, por todo lo anterior, EDP ha revisado el procedimiento a seguir en las
contrataciones por terceros en nombre del titular, a fin de fortalecer dicho
procedimiento y reducir los riesgos de posibles suplantaciones de identidad realizadas
de mala fe por la parte contratante en este tipo de procesos, teniendo en cuenta,
adicionalmente, las necesidades particulares identificadas con motivo del estado de
alarma decretado el pasado mes de marzo y que necesariamente ha requerido que
todas las contrataciones sean realizadas de forma no presencial.

3. Que a fin de poner en el conocimiento de la AEPD las concretas acciones que se
están llevando a cabo en relación con este asunto por parte de EDP, en cumplimiento
de su deber de cumplimiento proactivo (accountability), les adjuntamos el
“Procedimiento de contratación por terceros en nombre del titular”, para que tengan
visibilidad sobre las modificaciones que se están implementando en dichos procesos
con el fin de atender su petición al respecto, así como para poner de manifiesto la
proactividad de EDP en cuanto a su sugerencia de adaptación de dicho
procedimiento.”

A continuación, se detallan en tres apartados los siguientes aspectos: finalidad,
procedimiento de contratación con terceros y datos e intereses de los afectados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/136

En el primer apartado, denominado finalidad tras exponer la situación, enuncia la
siguiente propuesta: “Un procedimiento de contratación que, mediante un uso correcto
y seguro de la tecnología, facilite la contratación de los servicios de EDP por los
clientes a través de un tercero que actúa bajo un mandato en los términos del Título IX
del Libro Cuarto del Código Civil, protegiendo en todo caso los derechos del cliente y
mandatario sobre sus datos personales, que únicamente serán tratados conforme a
una base de legitimación adecuada y en cumplimiento de los principios del RGPD,
asegurando que son informados sobre el tratamiento y que pueden ejercitar sus
derechos en todo momento, así como actuar en caso de identificar alguna actuación
irregular.”

En el segundo apartado relativo al procedimiento de contratación con terceros,
distingue el procedimiento seguido con mandatario con autorización escrita del
seguido con mandatario con autorización verbal. En el primer supuesto se señalan los
siguientes pasos: se informa al mandatario, se recogen los datos y la autorización y se
contrata en nombre del cliente. En el caso del mandatario con autorización verbal los
pasos a seguir son los siguientes: por parte de EDP se procede a la información al
mandatario y recogida de los datos, a la contratación por el mandatario en nombre y
representación del cliente, envío al cliente de información sobre la contratación y
posibilidad del cliente de desautorizar la contratación.

En lo que respecta a la información al mandatario y recogida de los datos consiste,
según se expone, en lo siguiente:
- Se ofrecen y explican los servicios
- Se informa sobre la necesidad de recabar ciertos datos para la contratación, así
como del uso que se hará de los mismos y del lugar donde se podrá obtener más
información al respecto.
- Se solicitan los datos del mandatario y del cliente
- El mandatario facilita a EDP los datos propios y los del cliente y confirma que está
facultado para negociar y firmar el contrato en nombre y representación del cliente
- En el contrato se incluye toda la información exigida por la normativa aplicable y en
relación con el tratamiento de datos personales derivados de la contratación.

En lo que se refiere a la contratación por el mandatario en nombre del cliente
diferencia la contratación en oficinas comerciales propias y fuera del establecimiento
mercantil, en que la información se recoge en el contrato y se entrega en soporte
duradero o digital al mandatario y la contratación a distancia (por teléfono)
distinguiendo entre llamadas entrantes al CAC de EDP, en las que se graba la
conversación o llamadas salientes (telemarketing, emisión de llamadas por
proveedores de EDP) en que se graba la conversación, y se envía el contrato en
soporte duradero al mandatario.(Se aclara que las conversaciones se graban tras
haber informado previamente al usuario de que la conversación va a ser grabada.
Se señala lo siguiente respecto del paso relativo al envío al cliente de información
sobre la contratación.
-Una vez formalizado el contrato por el mandatario, cuando no se disponga de
autorización escrita, se envía al cliente, por correo electrónico o SMS, en función del
canal de comunicación de que se disponga en cada caso, una comunicación en la que
se incluye: o Confirmación de la contratación realizada a través de su mandatario,
incluyendo los datos del mandatario o Enlace a URL de acceso al contrato suscrito por
el mandatario en su nombre (con garantías de integridad del contenido y acreditación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/136

de la fecha exacta de realización) donde puede ejercitar su derecho de desautorizar de
la contratación de forma sencilla e intuitiva (con un solo click) Visualizar, imprimir, o
descargar el contrato y documento de desistimiento
El contrato recoge toda la información sobre el tratamiento de los datos del cliente por
parte de EDP, además del detalle de los servicios contratados.
Aclara que el procedimiento de contratación basado en doble factor de autenticación
ha sido diseñado tomando en consideración el procedimiento aprobado por parte de la
Comisión Nacional de Mercados y Competencia para la realización de portabilidades y
contrataciones en el sector de las telecomunicaciones, sector muy semejante en lo
que a procedimiento de contratación se refiere.

La comunicación se realiza a través de un tercero de confianza que acredita el envío
del SMS/mail de la siguiente forma:

-Mensaje SMS:
EDP XXXXXXXX. NOMBRE REP APELLIDOS REP ha contratado energía/servicios en
su nombre. Antes de 14 días puede desautorizarlo. Detalles: ***URL.2

-Mensaje E-MAIL:
ASUNTO: Contratación de NOMBRE TIT APELLIDOS TIT con EDP
Hola, le informamos que NOMBRE REP APELLIDOS REP ha realizado en su nombre
la contratación XXXXXXXX relacionada con su suministro de energía/servicios. Tiene
14 días para desautorizar dicha gestión.

Consulte detalles en: ***URL.2

El paso relativo a la “Posibilidad para el cliente de rechazar la contratación” consiste
en lo siguiente:
Se envía al cliente un enlace, a través del cual, accede a un portal desde el que se le
permite:
- Visualizar contrato con la posibilidad de descargarlo o imprimirlo o
- Desautorizar la contratación mediante un solo click. Se genera una evidencia que
garantiza la trazabilidad de la acción (momento exacto de la realización, así como
integridad de las evidencias asociadas) o
- Descargar el documento de desistimiento.

En lo que respecta al tercer apartado, datos e intereses afectados se indica lo
siguiente:
Se ha determinado que para lograr la finalidad del tratamiento, es indispensable el
tratamiento de las siguientes categorías de datos personales:
-Con autorización escrita
Datos del cliente: Identificativos (incluye copia del DNI), Contacto, Servicios
contratados, Datos bancarios, Datos del punto de suministro
Datos del mandatario: Identificativos (incluye copia del DNI), Parentesco con el titular
(si/no), Contacto
- Con autorización verbal:
Datos del cliente: Identificativos, Contacto, Servicios contratados, Datos bancarios,
Datos del punto de suministro.
Datos del mandatario: Identificativos, Parentesco con el titular (si/no), Contacto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/136

NOVENO: Se obtiene información sobre el volumen de ventas de la entidad siendo los
resultados de la cifra de negocio durante el año 2018 de 1.236.124.000 euros. El
capital conforme a la información obtenida del Registro Mercantil es de 1.000.000
euros.

Se obtiene información del número de clientes de la entidad. Según el informe de
supervisión de los cambios de comercializador, correspondiente al primer trimestre de
2019, de la Comisión Nacional de los Mercados y la Competencia, el número de
puntos de suministro de la entidad a 31 de marzo de 2019, correspondientes al ámbito
doméstico, ascendía a 1.129.534, constituyendo un 4% del total del sector eléctrico en
dicho ámbito doméstico.

DÉCIMO: Se accede al sitio de internet indicado en las evidencias 3 y 4 (***URL.1) al
objeto de descargar las Condiciones Generales de Contratación.

El procedimiento seguido para descargar el documento que recoge las Condiciones
Generales de Contratación, como consta en la diligencia del inspector actuante, ha
sido el siguiente:

-Acceso mediante el navegador de internet a la dirección ***URL.1.

- Introducción en el buscador de la propia página del texto: “Condiciones Generales”

-El sitio de internet muestra, bajo la siguiente dirección: ***URL.3, 2 pestañas una
denominada información relacionada y otra Documentos.

-Se selecciona la pestaña “Documentos” de los Resultados de la búsqueda. Ésta
ofrece un total de 78 resultados, correspondiendo el tercero de ellos a las
“Condiciones generales de contratación”.

-Se seleccionan las “Condiciones generales de contratación” y automáticamente se
abre una nueva ventana del navegador apuntando a la siguiente dirección de internet:
***URL.4.

-Descarga del documento

El contenido de las condiciones generales en el apartado “LOPD” coincide con el
transcrito como evidencia 6, con el mismo título LOPD dentro de las condiciones
generales, en el número cuarto del presente Acuerdo de Inicio de procedimiento
sancionador.

DECIMOPRIMERO: Con fecha 31 de julio de 2020, la Directora de la Agencia
Española de Protección de Datos acordó iniciar procedimiento sancionador a la
entidad EDP ENERGÍA, S.A.U, de conformidad con lo previsto en el artículo 58.2 del
Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016,
relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de
Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de
Protección de Datos, en lo sucesivo RGPD), por la presunta infracción del artículo 25
del RGPD, tipificada en el artículo 83.4.a) del citado Reglamento; por la presunta
infracción del artículo 6 del RGPD tipificada en el artículo 83.5.a) del citado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/136

Reglamento; por la presunta infracción del artículo 22 del RGPD, tipificada en el
artículo 83.5.b) del citado Reglamento; y por la presunta infracción del artículo 13 del
RGPD, tipificada en el artículo 83.5.b) del citado Reglamento, determinando que la
sanción que pudiera corresponder ascendería a un total de de 3. 500.000,00 euros, sin
perjuicio del resultado de la instrucción.

DECIMOSEGUNDO: Notificado el citado acuerdo de inicio, la entidad investigada
presentó el 7 de agosto de 2020 escrito en el que, solicitaba ampliación de plazo al
objeto de presentar alegaciones. Concedida la ampliación del plazo, presentaron las
alegaciones en fecha 25/08/2020 que son resumidamente las siguientes:

PRIMERA: PRESUNTO INCUMPLIMIENTO DEL PRINCIPIO DE PRIVACIDAD POR
DISEÑO EN LOS PROCESOS DE CONTRATACIÓN MEDIANTE REPRESENTANTE.

La AEPD pretende justificar el inicio de este expediente sancionador en la supuesta
inexistencia de una documentación que nunca se ha solicitado. A este respecto, ha de
destacarse que EDP ENERGÍA cuenta con una metodología de identificación, análisis
y gestión de riesgos, tanto para identificar los riesgos inherentes, como
específicamente para valorar la necesidad de la realización de las Evaluaciones de
Impacto, Alega que incluye como anexo la documentación justificativa que acredita,
sobradamente, que EDP ENERGÍA cumple íntegra y plenamente con estas
obligaciones y que se concreta en lo siguiente: - “Metodología de Análisis de Riesgos y
realización de Evaluaciones de Impacto” - “Registro de actividades del Tratamiento y
evaluación de riesgos de los tratamientos relacionados con contratación de EDP
ENERGÍA” - “Evaluación de Impacto de Privacidad: Canal de Leads a Convertir por
Telemarketing” - “Evaluación de Impacto de Privacidad: Telemarketing a clientes para
upselling o recuperación de abandonos” - “Evaluación de Impacto de Privacidad: Canal
CAC a Clientes O Clientes Potenciales (Inbound)” - “Evaluación de Impacto de
Privacidad: Canal OOCC a clientes o clientes potenciales (Venta reactiva)” -
“Evaluación de Impacto de Privacidad: Canal Tiendas ajenas para venta a clientes
potenciales (Venta reactiva)” - “Evaluación de Impacto de Privacidad: Fuerzas de
ventas externas a través de stands en ferias y centros comerciales (venta reactiva)” -
“Evaluación de Impacto de Privacidad: Actividad de tratamiento: Realización de
Scoring de Clientes B2C previo a la contratación”.

Igualmente y como consecuencia de las medidas adoptadas como resultado de las
recomendaciones derivadas de los análisis de riesgos y evaluaciones de impacto
realizadas por EPD ENERGÍA, se han desarrollado por el DPD un gran número de
procedimientos para el cumplimiento de las obligaciones de protección de datos desde
el diseño y por defecto que se aportan como anexo 2.

Concretamente se incluyen en este Anexo 2 los siguientes procedimientos
relacionados con la Privacidad desde el Diseño y por Defecto, que forman parte del
Sistema de Gobierno, Riesgos y Cumplimiento normativo de protección de datos de
EDP: • Metodología de Protección de Datos desde el Diseño y por Defecto de EDP •
Instrucción operativa Privacy By Design y Privacy by Default del área comercial •
Formulario de caracterización y registro de actividades de tratamiento para el análisis
de Privacy by Design y Privacy by Default • Flujograma del proceso Privacy By Design
y Privacy by Default.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/136

Resulta realmente llamativo que la AEPD otorgue la relevancia que otorga al hecho
concreto de que EDP ENERGÍA no hubiera tenido en consideración en sus análisis de
riesgos, el análisis específico de los riesgos asociados a la posibilidad de contratación
mediante representante, cuando la misma AEPD, en su propia “Guía Práctica de
Análisis de Riesgos en los tratamientos de datos sujetos al RGPD” (publicada en su
web (https://www.aepd.es/sites/default/files/2019-09/guiaanalisis-de-riesgos-rgpd.pdf)
no recoge ninguna referencia, ni directa, ni indirecta a la necesidad de evaluar el
riesgo específico en relación al tratamiento de datos, ya sea en contrataciones o en
otros procesos, realizados por parte de terceros autorizados.

En segundo lugar, alega que todos los tratamientos de datos realizados por parte de
EDP ENERGÍA fueron analizados para verificar su grado de cumplimiento de las
obligaciones relacionadas con RGPD, proponiéndose medidas para su correcta
adaptación, con independencia de que fuese necesaria la realización de evaluaciones
de impacto o no. Ahondando en el riesgo específico relativo a la contratación realizada
mediante terceros, ha de indicarse que el contenido de los análisis realizados fue
actualizado en su momento, teniendo en cuenta las consideraciones que la AEPD ha
trasladado a EDP ENERGÍA en el procedimiento administrativo relacionado con esta
cuestión que se inició a finales del año 2019 y que, entendemos, es la causa del
procedimiento sancionador en el que nos encontramos en estos momentos.
Efectivamente, como ya se ha tenido oportunidad de exponer en el marco de dicho
procedimiento sancionador previamente iniciado por la AEPD, los procesos de
contratación mediante terceros autorizados no habían sido identificados por parte de
EDP ENERGÍA como un factor de riesgo inherente que fuera relevante, teniendo en
cuenta que: 1) La práctica inexistencia de reclamaciones por parte de clientes en
relación con este motivo. 2) EDP ENERGÍA no contaba hasta el momento con ningún
expediente sancionador abierto por esta causa. 3) La contratación realizada mediante
tercero como mandatario verbal se encuentra expresamente reconocido en el Código
Civil de 1889.

Si bien los potenciales riesgos identificados por la AEPD son perfectamente posibles,
la probabilidad de materialización de dichos riesgos, en el caso concreto de EDP
ENERGÍA, era prácticamente nula y que por tanto su diligencia, en lo que respecta a la
realización del análisis de riesgos, ha quedado sobradamente acreditada.

Concretamente, este hecho se sustenta en el bajísimo número de reclamaciones por
este motivo que ha recibido EDP ENERGÍA. En efecto, el número de reclamaciones
por contratación a través de terceros, asciende a 8 casos respecto a un total de
105.606 contrataciones realizadas, tal y como consta en la información aportada en el
propio expediente, lo que entendemos, que como seguramente estará de acuerdo la
AEPD con EDP ENERGÍA, en términos probabilísticos, podría ser considerado un
valor que, de forma objetiva, no requiera una valoración independiente y
pormenorizada. Y no sólo es que en números absolutos los precedentes existentes en
el caso de EDP ENERGÍA fueran prácticamente nulos (8 casos de 105.606
contrataciones), sino que como muy bien conoce la AEPD, de las citadas ocho (8)
reclamaciones, únicamente existe un precedente sancionador a esta entidad,
debiendo tener en consideración que la AEPD incluye en su escrito un procedimiento
que todavía no ha sido resuelto de forma firme (PS/00109/2019), en la medida en que
el mismo está siendo objeto del correspondiente recurso contencioso-administrativo
ante la Sala de lo contencioso-administrativo de la Audiencia Nacional.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/136

Afirma que la posibilidad de celebrar un contrato entre dos partes mediante la
intermediación de un tercero es una cuestión exclusiva de Derecho Civil, por lo que la
necesidad, o no, de formalismos asociados a la acreditación de la representación ha
de regirse por lo dispuesto en el Código Civil y en su caso, en lo dispuesto en la
normativa de protección de consumidores. A este respecto, la exigencia por parte de la
AEPD de que la representación aludida por el representante conste en un medio que
permita su acreditación podría ser considerada lógica en una interpretación aislada de
la normativa de protección de datos, pero pierde sentido cuando se pone en contexto
con el resto del ordenamiento jurídico, más en concreto, con lo dispuesto en el Código
Civil, que contempla, entre otras, la posibilidad de contratación por representante
recogida en el artículo 1259, o la figura del «mandato», regulada en los artículos 1709
a 1739 del mismo y que establecen que: «por el contrato de mandato se obliga a una
persona a prestar algún servicio o hacer alguna cosa por cuenta o encargo de otra» y
para el que se permite total libertad de forma, estableciendo que «el mandato puede
ser expreso o tácito» y que, asimismo, «la aceptación puede ser también expresa o
tácita, deducida esta última de los actos del mandatario». En este supuesto, no parece
que tan amplia libertad de forma sea compatible con la obtención de una evidencia de
la existencia de la representación o el mandato, más allá de las manifestaciones del
mandatario, amparada en la buena fe contractual. Igualmente, resulta poco
comprensible que se requiera de un consentimiento separado para el tratamiento de
sus datos o una confirmación del encargo por parte del mandante, dado que esto
implicaría desnaturalizar la representación, por cuanto sería absurdo que quien es
designado para la celebración de un contrato en favor de un tercero no pueda facilitar
los datos de la persona por cuya cuenta actúa, o que sea necesaria la confirmación
separada de ésta para autorizar dicha comunicación, puesto que la necesidad de
dirigirse directamente al representado haría inútil la intervención del representante,
pues la misma carecería de sentido.

Asimismo, y en relación con la posibilidad de que el representado pueda prestar
consentimientos adicionales a la propia contratación, ha de señalarse que esta
posibilidad puede perfectamente haber sido autorizada por el representado de forma
específica, pero al regir la misma libertad de forma para el otorgamiento de esta
potestad (que la norma no obliga en ningún caso a disponer por escrito), tampoco es
exigible su acreditación fehaciente en el momento de la contratación. Sobre este
particular, ha de señalarse que no se han producido hasta la fecha supuestos en los
que se hayan comunicado por los representados ningún tipo de incidencias
relacionadas con el otorgamiento de dichos consentimientos.

En lo que se refiere a otros riesgos identificados por la AEPD, ha de indicarse que el
riesgo de suplantación de identidad es muy bajo, ya que el representante se identifica
personalmente por medios fehacientes cuando la contratación es presencial y
aportando los datos de su DNI cuando lo hace a distancia. No obstante, como bien
conoce la AEPD la teoría de riesgos, no sostiene que la existencia de un riesgo bajo
pueda ser considerado un riesgo inexistente. En este sentido, los riesgos de que exista
una suplantación de identidad no difieren de los que se corresponden con las
contrataciones en nombre propio, ya que se realizan las mismas comprobaciones para
evitar ésta, en base a los riesgos y amenazas detectados en relación con cada forma
de contratación. Por todo ello, no puede darse por cierto que este riesgo no haya sido
tenido en consideración por EDP Concretamente, este hecho se sustenta en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/136

bajísimo número de reclamaciones por este motivo que ha recibido EDP ENERGÍA, ni
que no se hayan adoptado medidas destinadas a su mitigación, tal y como se
expondrá a continuación en la explicación relativa al procedimiento de contratación.
Por otro lado, en lo que se refiere a los potenciales perjuicios económicos, si bien esta
es una cuestión más vinculada de nuevo al ámbito civil de la contratación que a la
protección de datos personales, ha de indicarse que en los casos en que se produce la
anulación de los contratos por cualquier causa, EDP ENERGÍA asume los costes de
los servicios prestados, por lo que no se produciría un perjuicio económico para el
afectado, prueba de ello es que EDP ENERGÍA no ha recibido hasta el momento
ninguna reclamación por los supuestos daños y perjuicios esgrimidos por la AEPD

En cuanto a la forma en que se realiza la contratación, tal como se expuso ya y consta
tanto en la información puesta a disposición de esa Agencia como en los Antecedentes
de Hecho del Acuerdo de Inicio, la contratación de los servicios va precedida de una
serie de garantías que permiten identificar al autor de las contrataciones, siguiendo las
prácticas habituales en todo el sector de contratación de servicios de suministro y por
compañías de lo denominado como “Utilities”, tanto presencialmente como a distancia,
quedando esta información registrada, de forma que, en caso de producirse cualquier
incidencia se tenga constancia de quien es la persona que ha realizado la
contratación. En contra de la intrascendencia que la AEPD pretende otorgar a la
declaración del representante, perfectamente identificado, sobre su condición de
representante de la persona en cuyo nombre contrata, ha de señalarse que esta
manifestación tiene consecuencias jurídicas vinculantes, que como ya se ha expuesto,
son objeto de regulación y se encuentran expresamente reconocidas por nuestro
Ordenamiento Jurídico, y que implican responsabilidades, tanto desde el punto de
vista civil, como penal, por lo que no se trata de una “mera manifestación”, como la
llega a denominar la AEPD en los Fundamentos de Derecho de su escrito de inicio de
procedimiento sancionador, sino que se trata de un acto jurídico, como lo puede ser el
propio consentimiento del titular, definido por el propio RGPD como una “manifestación
de voluntad”. Por consiguiente, no parece que jurídicamente pueda defenderse una
discriminación de la relevancia de unas manifestaciones frente a otras, por el hecho de
que estén recogidas o no dentro de una normativa específica, o manifestadas de una
forma, u otra. Igualmente, como se recoge en los Antecedentes de Hecho, aunque
posteriormente parece obviarse en los Fundamentos de Derecho, en todos los casos
en que la contratación se realiza a distancia se indica que: “Al titular del contrato, a
efectos informativos, se le remite por duplicado, con sobre franqueado, la
documentación contractual en cumplimiento de lo dispuesto en la normativa de
protección de consumidores y usuarios”. Es por ello que, en cualquier caso, el titular
tiene posibilidad de conocer los términos en los que se ha llevado a cabo la
contratación.

No obstante todo lo anterior, a raíz de los procedimientos sancionadores abiertos en
el año 2019, y siguiendo los criterios trasladados por la AEPD en la resolución del
PS/00109/2019 (no firme a día de la presentación de este escrito, por estar recurrida)
se ha procedido por parte de EDP ENERGÍA a identificar el riesgo relacionado con la
intervención de terceros en la contratación, haciéndose el correspondiente análisis
pormenorizado de esta cuestión y se han elaborado propuestas de mejora, a fin de dar
cumplimiento a las consideraciones de la AEPD de modo que en los procedimientos
de contratación se informa siempre a la persona en cuyo nombre se contrata. El
protocolo de contratación propuesto ha sido puesto en conocimiento de la AEPD en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/136

fecha 16 de julio de 2020 y número de registro 025308/2020, presentado en todo caso
antes de recibir el escrito de Acuerdo de Inicio de Procedimiento Sancionador, siendo
un Requerimiento de información con número común para EPD ENERGÍA y EDP
COMERCIALIZADORA sin que hasta la fecha la AEPD se haya pronunciado respecto
al mismo con el correspondiente informe jurídico de valoración, tal y como se le
solicitaba, para poder implementar un sistema que fuera totalmente conforme con los
criterios e interpretaciones de la AEPD, limitándose hasta el momento a incluir en el
Acuerdo de Inicio remitido a EDP ENERGÍA determinadas consideraciones en
relación con el mismo. Concretamente, las dudas planteadas en relación con el
procedimiento propuesto, que entendemos son las únicas que tiene la AEPD, son las
siguientes: 1) no se aclara si se aplica a todos los canales de contratación, incluido el
subcanal Leads al que no se hace ninguna referencia; 2) no se contemplan situaciones
en que no pueda informarse al representado por los medios señalados (correo
electrónico o SMS); 3) no se informa al cliente de los consentimientos prestados por el
representante para otros tratamientos con finalidades distintas a la contratación del
servicio solicitados durante el proceso de contratación, ni de la posibilidad de revocar
tales consentimientos. 4) no se señalan fechas efectivas de implantación de este
procedimiento.

De nuevo, incomprensiblemente, en lugar de solicitar información adicional a EDP
ENERGÍA en relación con el procedimiento planteado, la AEPD opta por interpretar
negativamente la información cuyo contenido no le resulta claro. No obstante, y como
entendemos que la voluntad de la AEPD, como la de EDP ENERGÍA, es lograr un
procedimiento que permita no solo dar cumplimiento a las distintas modalidades de
contratación previstas en el Código Civil, reconocidas por las autoridades de consumo
y los tribunales competentes en materia contractual, sino también a las
consideraciones de la AEPD, a continuación, procedemos a aclarar las que
entendemos serían las únicas dudas de la AEPD en relación con las modificaciones al
procedimiento de contratación remitidas: 1) El procedimiento propuesto se aplicará a
todos los canales de contratación con los que trabaja EDP ENERGÍA, incluido los
“Leads” y cualquier otro que en el futuro implemente EDP ENERGÍA. 2) En cuanto a la
duda planteada en torno a lo que ocurriría en el caso de que la persona contratante no
disponga de ninguno de los medios previstos para llevar a cabo la confirmación de la
contratación (correo electrónico o SMS), indicar que las alternativas serán: a. Hacerlo
el propio titular b. Presentando autorización escrita y copia de los DNI de
representante y representado 3) En lo referente a los consentimientos otorgados y la
posibilidad de revocarlos, conviene indicar que con la comunicación se da acceso a la
documentación contractual, donde constan cada uno de los consentimientos. El
usuario, una vez conocida esta información, tiene la posibilidad de modificarlos. No
obstante, a raíz del comentario de la AEPD en el que pone en cuestión la validez de la
autorización del representante para la autorización de consentimientos adicionales a la
contratación, EDP ENERGÍA plantea permitir la representación solo para este fin y
recabará los consentimientos adicionales directamente del titular. 4) En cuanto a la
fecha de implantación, la misma depende precisamente de la opinión que sobre este
procedimiento manifieste la AEPD, puesto que no tendría sentido ponerlo en marcha si
la autoridad de control considera que no se ajusta a sus criterios para considerarlo un
procedimiento adecuado, teniendo en cuenta los costes económicos asociados a esta
implementación, además de los recursos de tiempo y dedicación necesarios para el
despliegue de estas medidas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/136

Se alega que el supuesto incumplimiento de las obligaciones del artículo 25 RGPD, y
la consecuente cuantificación de posible sanción a imponer a su representada
derivada de dicho supuesto incumplimiento, carecen de toda base para su
consideración. Además, y, en todo caso, la cuantificación de dicha posible sanción
carece de cualquier atisbo de ser proporcionada.

SEGUNDA. - PRESUNTO INCUMPLIMIENTO EN RELACIÓN CON EL
CONSENTIMIENTO PRESTADO POR PARTE DEL INTERESADO.

Alega que está interesada en hacer constar que el tratamiento relativo a la creación de
un perfil comercial en base a la información de terceros para la remisión de
información publicitaria no está, en la práctica, siendo efectuado, ni a la fecha de
emisión de las presentes alegaciones, ni con carácter previo a las mismas. Por lo
tanto, el tratamiento que potencialmente podría haber sido realizado, no ha tenido
lugar en ningún caso, en ningún momento, por lo que, aun pudiendo ser cuestionado
desde la óptica de las restantes exigencias del RGPD, no es posible atribuir a EDP
ENERGÍA la realización de una conducta antijurídica que pueda ser sancionable
derivada de la mera obtención de los consentimientos relativos a un tratamiento de
datos que, a la fecha, ha sido inexistente y que por tanto, no ha generado los
supuestos daños a los derechos fundamentales de los ciudadanos esgrimidos por esta
Agencia.

La comisión de la infracción de referencia, regulada en el artículo 83.5 (a) RGPD y en
el 72.1.b) de la LOPDGDD, requiere, necesariamente, que efectivamente se haya
ocasionado un tratamiento y que sobre el mismo no se haya identificado o no se haya
regularizado la base de legitimación adecuada, al señalar: “1. En función de lo que
establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y
prescribirán a los tres años las infracciones que supongan una vulneración sustancial
de los artículos mencionados en aquel y, en particular, las siguientes: (…) b. El
tratamiento de datos personales sin que concurra alguna de las condiciones de licitud
del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”.

En relación al consentimiento informado, en el Acuerdo de Inicio de Procedimiento
Sancionador para considerar que el consentimiento requerido no es válido, se parte de
la consideración de que la información proporcionada al interesado no resulta
suficiente, en tanto que no se indican, ni qué bases de terceros se van a consultar, ni
qué tipo de datos ser van a recabar, de modo que el interesado desconoce
absolutamente qué es lo que está consintiendo. Y se aprecia que se recaba un único
consentimiento para dos finalidades diferenciadas.

A este respecto se alega que la información es facilitada en atención a las buenas
prácticas enunciadas por la propia AEPD y ratificadas por la LOPDGDD, de modo que
se traslada a los interesados mediante el sistema de doble capa, a los efectos de que
el interesado pueda reforzar la información facilitada mediante la consulta que consta
en la misma, a través de los distintos mecanismos que se le conceden a tal fin
(locución informativa, reverso del documento físico o sitio web de EDP ENERGÍA.

En relación con la ausencia de identificación clara de las fuentes de terceros o las
categorías de datos, ha de señalarse que dicha información puede desprenderse de la
información facilitada al cliente en la primera capa (al identificar con claridad que el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/136

tratamiento será efectuado con fuentes de terceros) como en la segunda capa, cuyo
contenido consta en el apartado denominado “condiciones generales del contrato”,
cuyo contenido señala: “(II) La elaboración de perfiles comerciales del Cliente
mediante la agregación de las bases de datos de EDP con datos provenientes de
bases de datos de terceros, con el fin de ofrecer al Cliente productos y servicios
personalizados, mejorando así la experiencia del Cliente. (III)La adopción de
decisiones automatizadas, tales como permitir la contratación, o no, de determinados
productos y/o servicios basadas en el perfil del Cliente y particularmente, en datos
tales como, el histórico de impagos, el histórico de contrataciones, permanencia,
ubicaciones, datos de consumo, tipos de dispositivos conectados a la red energética, y
datos semejantes que permitan conocer con mayor detalle los riesgos asociados a la
contratación. (iv) Tomando como base los resultados obtenidos de la agregación de los
datos indicados, EDP podrá realizar ofertas personalizadas y concretamente
orientadas a lograr la contratación de determinados productos y/o servicios de EDP.”
Tal y como se refleja en el texto citado, EDP ENERGÍA ha identificado con amplio
detalle las tipologías de datos que se tratan con los fines detallados, siendo las fuentes
consultadas para ello una evidente derivación de lo anterior.

La indicación efectuada sobre la obtención de fuentes de terceros es, por tanto,
contenido suficiente para que el usuario sea plenamente consciente de que su
autorización supondrá la posibilidad de que la entidad autorizada pueda obtener dicha
información. Ha de recordarse que no existe exigencia legal que imponga que, en el
momento de recabar los datos del propio interesado, la información cuestionada deba
ser contemplada directamente en el consentimiento solicitado. Es decir, siendo el
origen de los datos el propio interesado, únicamente corresponde a la Entidad informar
de acuerdo con lo previsto en el artículo 13 RGPD, disposición que no establece, en
ninguno de sus preceptos, la obligatoriedad de identificar ni la fuente ni la tipología de
los datos. Únicamente en el caso de que dicho tratamiento se hubiera llegado a
efectuar, la Entidad debía haber informado de tales extremos, toda vez que solo en
dicho momento sería de aplicación lo dispuesto en el artículo 14 RGPD. Habida cuenta
de la no materialización de dicho enriquecimiento, esta información no llegó a ser
trasladada al interesado, no constando en bases de datos de EDP ENERGÍA datos
ajenos a los que han sido proporcionados o generados con ocasión de la relación
contractual mantenida entre las partes.

Además, ha de señalarse que, en el caso de haberse producido la obtención de datos
procedente de un tercero, sería aquél quien, en su calidad de cedente del dato,
vendría obligado a legitimar la comunicación de los datos sobre la base del
consentimiento del interesado, sin perjuicio que EDP ENERGÍA también lo haría, en
cumplimiento de su obligación de información una vez obtenidos datos provenientes
de un tercero de conformidad con lo dispuesto en el RGPD. En este sentido, dicha
situación solo podría darse, en caso de que el propio interesado, ejercitando su
derecho de disposición de los datos y con plena consciencia del mismo, hubiera
manifestado su autorización para que sus datos personales viajaran a otra compañía,
como sería EDP ENERGÍA, quien solo podría hacer uso de los mismos, en el
supuesto de que igualmente hubiera manifestado su consentimiento, mediante la
marcación de la casilla o la indicación expresa, indicando que “Sí” en caso de
efectuarse telefónicamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/136

Por otro lado, en relación con la supuesta acumulación de finalidades de tratamiento,
al señalarse que el interesado autorizaría el envío de publicidad y, en segundo lugar, el
uso para que EDP ENERGÍA pueda valorar la viabilidad de la contratación por parte de
dicho usuario. En relación con este punto, debemos manifestar que la valoración
efectuada por la AEPD parte de una premisa errónea, al considerar que se tratan de
dos tratamientos diferenciados, en un supuesto en el que es patente que se trata de
un único propósito, como sería la generación de un perfil comercial, cuya utilización se
ciñe a dos contextos vinculados entre sí: (i) el primero, para llevar a cabo la valoración
de la posibilidad de contratar y, (ii) el segundo, para emitir las correspondientes ofertas
comerciales al usuario en cuestión.

De esta forma, ambos supuestos se encuentran necesariamente interrelacionados,
pues no cabe duda de que carecería de sentido diseñar un perfil del cliente, basado en
los datos facilitados por el usuario y los derivados del servicio prestado, para la
remisión de una oferta comercial que fuera remitida a un interesado que no cumpliera
los parámetros internos de la Entidad para llevar a cabo una contratación al momento
de su solicitud.

En relación con dicho aspecto, bien es sabido por esta compañía que el RGPD exige
que los consentimientos que se recaben sean específicos, así como también es
criterio unánime de las autoridades de control señalar que la agrupación de finalidades
afines entre sí, como sucedería en este supuesto, tiene plena cabida en dicho
concepto, sin que tal agrupación dé lugar a la consideración, per se, de que no ha sido
recabado el consentimiento de forma específica. En este ámbito, el planteamiento
sobre el que la AEPD sostiene el incumplimiento que se atribuye a EDP ENERGÍA,
obvia la regulación establecida por la LOPGDD, en cuyo artículo 6.2 expone que: “2.
Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.” A la luz
de lo anterior, existe una evidente regulación específica que habilita la agrupación de
finalidades que ahora está cuestionando la AEPD

Como cuestión adicional, se indica por esta Agencia que el consentimiento recabado
no es conforme a la normativa, al considerar que el mismo no es explícito, sino
obtenido de idéntica forma que un consentimiento general, si bien no quedan
identificadas con claridad las razones por las cuales no cumpliría con el criterio
emitido. A estos efectos, la inclusión del consentimiento analizado se realiza en un
contexto separado a la aceptación de la contratación en sí misma, de modo que o bien
se recoge en una casilla en aquellos contextos en los que existe soporte documental
para ello, o bien en una locución informativa que es leída y que debe ser
expresamente ratificada por el interesado para entender que ha sido prestado.

Al respecto, en ausencia de claridad en la normativa sobre las vías que permitirán
determinar que un consentimiento merece la consideración de explícito (entendido
como un consentimiento reforzado al ya exigido por el RGPD), en la ya citada
Guideline 5/2020 se mencionan diversos matices que ayudan en dicha aclaración. De
ella se extrae que, adicionalmente al cumplimiento de los requisitos definidos en el
artículo 7 RGPD, la validez de un consentimiento explícito no requiere la atención de
requisitos exactos, pudiendo ser válidos tanto en documentos escritos, como en
grabaciones telefónicas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/136

En este punto, interesa hacer hincapié en una cuestión esencial: si bien no existe ni
precepto legal ni dictamen procedente de las autoridades de control que determinen
con claridad los requisitos para considerar que el consentimiento recabado es
explícito, ni las diferencias que corresponden con el consentimiento “regular”, sí que es
atribuido a EDP ENERGÍA, y a cualesquiera otras entidades que actúen como
responsables del tratamiento, la labor de definir a su libre criterio en qué situaciones se
entenderá cumplido tal requisito.

Dicha casuística no puede sino ocasionar una grave inseguridad jurídica, que en el
supuesto que nos ocupa no resulta solventada, ni si quiera con la fundamentación que
consta en el escrito de Acuerdo de Inicio del procedimiento sancionador, ya que en
ningún momento se expone con claridad qué factor, elemento o acción no ha sido
ejecutado por EDP ENERGÍA, para determinar que su conducta ha resultado
antijurídica y que merece una sanción de semejante magnitud. Conforme a ello, la
solicitud al cliente de una acción evidente, como es la indicación verbal de que sí
consiente o la marcación de una casilla, cuyo contenido expone con claridad los fines
para los que se emplearán los datos, que consta desvinculada de cualquier otra
aceptación y que no queda supeditada a otros fines, debe considerarse como un
consentimiento explícito a fin de dar cumplimiento a la obligación impuesta por la
normativa de protección de datos.

A la vista de los extremos mencionados, EDP ENERGÍA da cumplimiento a la totalidad
de los requerimientos legalmente exigidos, de lo que necesariamente ha de concluirse
que la labor de la Entidad para recabar los consentimientos del cliente, de modo
explícito, han sido atendidos con rigurosidad. Es prueba de ello que, tanto en los
canales telefónicos, como aquellos en los que se llevan a cabo por escrito, la
obtención del consentimiento se efectúa de forma diferenciada a la propia
contratación, se hace constar que es adicional a la misma y se entiende recabado,
únicamente, en los casos en los que el cliente marca la casilla o expone con claridad
que sí consiente. De todo ello no cabe más que concluir que el proceso de recogida
del consentimiento ha sido efectuado a la luz de los criterios requeridos por la
normativa aplicable, siendo por tanto ajustado a Derecho.

Así las cosas, el proceso de obtención de consentimientos que EDP ENERGÍA viene
utilizando no es algo novedoso para la AEPD, quien ha tenido oportunidad de analizar
el mismo previamente al inicio de este expediente sancionador, en aquellos
expedientes (requerimientos de información y/o procedimientos sancionadores)
abiertos con motivo de alguna reclamación de algún usuario. En el marco de estos, la
AEPD tuvo pleno conocimiento del proceso de contratación y de la tipología de
consentimientos que se recababan de los interesados, al haber sido aportados los
contratos por EDP ENERGÍA como evidencia de cumplimiento. Huelga decir que el
resultado final de ambas resultó ser el del archivo de las mismas (véase las
reclamaciones con referencia E/00915/2019, que ni siquiera fue admitido a trámite, y el
expediente E/02714/2019), sin que se efectuaran apreciaciones adicionales sobre el
cumplimiento de la normativa, lo que no deja más que ahondar en el desconcierto que
tiene esta parte ante las gravísimas acusaciones vertidas sobre EDP ENERGÍA por
esta Agencia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/136

Adicionalmente, y sin perjuicio de las argumentaciones expuestas, llama la atención la
presunción efectuada en el Acuerdo de Inicio de Procedimiento Sancionador, en el que
la valoración relativa a las infracciones es efectuada tomando como premisa una doble
atribución: (i) la primera, derivada de la ausencia de información adecuada y, (ii) la
segunda, como consecuencia de la ejecución de un tratamiento no consentido. A estos
efectos, ha de señalarse que, aun si se considerara que la información proporcionada
al interesado es deficiente, este hecho no puede acarrear la determinación de una
infracción del artículo 6 RGPD, toda vez que el tratamiento que sería realizado toma
como punto de partida la base legitimadora adecuada. Así las cosas, la definición
efectuada por EDP ENERGÍA relativa a la base legal que le permitiría tratar los datos
con los fines que ya han sido mencionados, se ceñiría estrictamente a la legitimación
que corresponde. Es decir, por parte de EDP ENERGÍA se llevan a cabo las acciones
necesarias para recabar el correspondiente consentimiento del interesado,
otorgándole la posibilidad de concederlo o no, de forma voluntaria, mediante la
marcación de la casilla facilitada o la indicación expresa en los casos de que estos se
recaben por medio de llamada telefónica. Por todo ello, no puede apreciarse una
conducta que pueda ser jurídicamente reprochable a EDP ENERGÍA, habida cuenta
que ha suscrito con rigurosidad los términos exigidos por la norma, al proceder a
solicitar al interesado una acción de voluntad expresa, libre, inequívoca y no
condicionada a otro fin. Y por ello no cabe imputar a mi representada la comisión de
infracción alguna de las tipificadas en el artículo 83.5.a) RGPD, en relación con su
artículo 6.

TERCERA. - PRESUNTO INCUMPLIMIENTO EN RELACIÓN CON EL
TRATAMIENTO DE DATOS RELATIVO A DECISIONES AUTOMATIZADAS Y
ELABORACIÓN DE PERFILES DE CLIENTES.

En tercer lugar, el Acuerdo de Inicio de Procedimiento Sancionador, establece en su
Fundamento de Derecho IV una serie de supuestos incumplimientos vinculados a la
aparente falta de observancia por parte de EDP ENERGÍA de las obligaciones
derivadas de lo establecido en el artículo 22 del RGPD, relativo a la consideración por
parte de la AEPD de la existencia de un impedimento, la obstaculización o la no
atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22
del Reglamento (UE) 2016/679 en relación a la decisiones automatizadas y la
elaboración de perfiles de clientes, tipificado en el artículo 83.5.b) RGPD y, calificada
como incumplimiento muy grave a efectos de prescripción en el artículo 72.1.k) de la
LOPDGDD. Concretamente, la AEPD sostiene que:
1) EDP ENERGÍA no otorga la posibilidad a los usuarios de ejercitar su derecho
relativo a no ser objeto de decisiones automatizadas, así como no otorga al usuario la
debida información relativa a este derecho,
2) El usuario desconoce la posibilidad de negarse a la adopción de este tipo de
decisiones.
De esta forma, la sanción propuesta por la AEPD parte del hecho de que la
información que es facilitada por parte de EDP ENERGÍA a los titulares de los datos es
insuficiente e imprecisa, sin perjuicio que se reconoce por parte de la AEPD que EDP
ENERGÍA facilita y pone a disposición de los usuarios los documentos con
información relativa al cumplimiento de la normativa de protección de datos, tanto en el
momento de la contratación, como en soporte duradero al finalizar la contratación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/136

En primer lugar, respecto a la información facilitada por parte de EDP ENERGÍA en
relación con la base legitimadora (el consentimiento en el caso que nos ocupa)
debemos destacar que la información que es facilitada a los usuarios respecto a los
tratamientos que, siendo adicionales a la contratación en sí misma, requieren del
consentimiento del usuario, es debidamente facilitada a los usuarios.

Concretamente, en la llamada Evidencia 6 presentada por EDP ENERGÍA durante la
sustanciación del expediente informativo del que el presente expediente sancionador
trae causa, se plasma dentro del modelo de contrato de suministro las siguientes
casillas: “Puede leer la información relativa al tratamiento de sus datos personales en
el reverso. ☐ Consiento el tratamiento de mis datos personales una vez finalizada la
relación contractual, para la realización de comunicaciones comerciales adaptadas a
mi perfil de productos y servicios relativos al suministro y consumo de energía.
Asimismo, consiento los mencionados tratamientos durante la vigencia y tras la
finalización del contrato, sobre productos y servicios no energéticos, tanto de las
empresas del Grupo EDP como de terceros. ☐ Consiento el tratamiento de mis datos
personales para la elaboración de mi perfil comercial con información proveniente de
bases de datos de terceros, para la adopción, por parte de EDP, de decisiones
automatizadas con la finalidad de enviar propuestas comerciales personalizadas, así
como para permitir, o no, la contratación de determinados servicios” En este caso, y
ampliando información respecto al tratamiento de los datos de los usuarios en las
condiciones generales, encontramos la siguiente información; “Siempre que el cliente
lo haya aceptado explícitamente, sus datos personales serán tratados, incluso una vez
finalizada la relación contractual y siempre que no se produzca la oposición a dicho
tratamiento, para: (I)La promoción de servicios financieros, servicios de protección de
pagos, automoción o afines y electrónica, propios o de terceros, ofrecidos por EDP y/o
la participación en concursos promocionales, así como para la presentación de
propuestas comerciales vinculadas al sector energético tras la finalización del contrato,
(II) La elaboración de perfiles comerciales del Cliente mediante la agregación de las
bases de datos de terceros, con el fin de ofrecer al Cliente productos y servicios
personalizados, mejorando así la experiencia del cliente, (III) La adopción de
decisiones automatizadas, tales como permitir la contratación, o no, de determinados
productos y/o servicios basadas en el perfil del Cliente y particularmente, en datos
tales como, el histórico de impagos, el histórico de contrataciones, permanencia,
ubicaciones, datos de consumo, tipos de dispositivos conectados a la red energética, y
datos semejantes que permitan conocer con mayor detalle los riesgos asociados a la
contratación. (IV) Tomando como base los resultados obtenidos de la agregación de
los datos indicados, EDP podrá realizar ofertas personalizadas, y concretamente
orientadas a lograr la contratación de productos y/o servicios de EDP o de terceras
entidades en función de si el cliente así lo ha consentido o no, siendo en todo caso
tratados datos cuya antigüedad no superará un año. En caso de que dicho proceso se
llevara a cabo de forma automatizada, el cliente siempre tendrá derecho a obtener
intervención humana por parte de EDP, admitiéndose la impugnación y en su caso
valoración de la decisión resultante.

De dichos fragmentos, no puede sino concluirse que (i) tanto para la elaboración de
perfiles, como para el tratamiento de datos adoptando decisiones automatizadas EDP
ENERGÍA solicita el consentimiento explícito y específico del usuario, sin que pueda
interpretarse que la adopción de decisiones automatizadas sea tratada bajo otra base
legitimadora, así como que (ii) la información relativa a la elaboración de perfiles y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/136

decisiones automatizadas, cumple con lo requerido por el artículo 13 del RGPD, ya
que informa sobre la existencia de decisiones automatizas, incluida la elaboración de
perfiles y facilita información significativa sobre la lógica aplicada, así como la
importancia y las consecuencias previstas de dicho tratamiento para el interesado. Por
todo ello y atendiendo al primer aspecto planteado por parte de la AEPD relativo al
supuesto incumplimiento cometido por EDP ENERGÍA en relación con la información
proporcionada a los usuarios para la obtención del consentimiento específico, no cabe
interpretación alguna relativa a la falta de información y tratamiento confuso por parte
de EDP ENERGÍA, que incluye la información correspondiente a los tratamientos
concretos, facilitando toda la información exigida en el RGPD.

En segundo lugar, en relación con la información facilitada a los titulares de los datos
respecto al ejercicio de derechos, es preciso destacar que EDP ENERGÍA informa
expresamente a los usuarios en la información que les facilita de su derecho
específico a “oponerse” a “la adopción de decisiones automatizadas de sus datos
personales, requiriendo la intervención humana en el proceso, así como a impugnar
las decisiones que sean finalmente adoptadas en virtud del tratamiento de sus datos”.

En este sentido, la AEPD considera que EDP ENERGÍA incumple su obligación de
informar a los titulares de los datos por el mero hecho de que en la información
facilitada no aparezca, de forma expresa y literal el derecho a “revocar el
consentimiento”, apareciendo en su lugar el verbo que otorga el derecho de los
titulares de los datos a “oponerse” a “la adopción de decisiones automatizadas de sus
datos personales, requiriendo la intervención humana en el proceso, así como a
impugnar las decisiones que sean finalmente adoptadas en virtud del tratamiento de
sus datos”. Estamos seguros que el matiz semántico y técnico asociado a ambos
verbos “oposición” y “revocación”, tanto los expertos con los que cuenta la AEPD,
como los propios con los que cuenta EDP ENERGÍA son capaces de diferenciarlos
entre sí, y determinar que se trata de dos conceptos jurídicos, pero también convendrá
con nosotros esa Agencia, que el usuario medio (concepto ampliamente utilizado por
parte de esa Agencia a lo largo del procedimiento que nos ocupa) difícilmente va a
poder diferenciar dichos conceptos. En el caso que nos ocupa, lo que es realmente
importante es el efecto que en la práctica tenga la petición del usuario, que, en
definitiva, es el que es relevante para el titular de los datos, y que genera efectos
positivos o negativos a sus derechos fundamentales, siendo esto lo que realmente
protege el RGPD, y no la utilización de un verbo u otro, más aún cuando los mismos
pueden ser utilizados como sinónimos.

En este caso, lo único que se pretende utilizando en la información que se facilita a los
usuarios el término “oposición” respecto a las decisiones automatizadas, es poder
facilitar al usuario la comprensión clara, concisa y transparente de la información que
se pone a su disposición, y facilitando, en caso de que la solicitud de dicho interesado
se ajuste a los requisitos normativamente exigidos, el ejercicio de los distintos
derechos. Así, según la definición contenida en el Diccionario de la RAE, revocar
significa “dejar sin efecto”; y oponer, “poner algo contra otra cosa para impedir su
efecto”, por lo que salvo para aquellos que tengan conocimiento en la materia y
puedan apreciar el matiz que diferencia una y otra, lo cierto es que, a efectos de la
mayor parte de la población, ambos términos serían sinónimos y supondrían, en la
práctica, lo mismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/136

Sin perjuicio de todo lo anteriormente expuesto, debemos poner de manifiesto, por la
relevancia que ello tiene en esta alegación, la información contenida en la Cláusula 16
de las Condiciones Generales de Contratación, relativa a protección de datos. En
dicha cláusula, en el apartado correspondiente a “Derechos del titular de los datos” se
hace referencia expresa a la posibilidad de revocar el consentimiento que previamente
hubieran otorgado, así, expresamente se indica “(VII) Retirar, en cualquier momento,
los consentimientos otorgados”.

Hace referencia a su procedimiento interno, y afirma que por tanto, no sólo los
usuarios quedan informados en todo momento, de la posibilidad de revocar los
consentimientos otorgados, sino que la propia EDP ENERGÍA, como procedimiento
interno y con el fin de que quienes se encargan de gestionar las solicitudes tengan el
conocimiento necesario en relación con las distintas posibilidades, plasman con
carácter expreso dicho derecho, con independencia del término técnico utilizado, ya
que la finalidad principal es informar y que el usuario conozca la posibilidad de no ser
objeto de decisiones automatizadas. Así, el procedimiento interno referenciado
anteriormente recoge incluso modelos de respuesta para poder atender con carácter
general, las distintas peticiones. Todo ello, sin perjuicio de que cada una de las
solicitudes se trata de forma particular y conforme a las circunstancias concretas de
afecten al supuesto concreto, y sea necesaria la adaptación de dicho modelo de
respuesta dependiendo de la casuística concreta de cada petición. Se aporta como
Anexo 3 el procedimiento relativo a la gestión y contestación de los ejercicios de
derechos.

A la vista de lo anterior, la AEPD atiende a la falta de conocimiento del usuario medio,
como argumento para considerar las cláusulas informativas como poco transparentes,
aspecto que sin embargo considera sustancialmente esencial al relacionar únicamente
como ejercicio válido la oposición del interesado. Teniendo en cuenta que el derecho
relacionado con no ser objeto de decisiones automatizadas se encuentra recogido con
carácter independiente y expreso en las condiciones generales de contratación,
requiriendo en su caso el consentimiento explícito y específico del usuario, y
encontrándose el mismo debidamente informando de forma específica, tal y como
queda justificado en las evidencias aportadas, así como de la posibilidad de oponerse
a ser objeto de decisiones automatizadas, resulta cuanto menos sorprendente que la
AEPD considere que EDP ENERGÍA no cumple con el artículo 22 RGPD por no
ofrecer al cliente la posibilidad de “revocar el consentimiento” literalmente, es decir,
aspecto estrictamente formal y semántico, que un usuario medio sin conocimientos en
la materia no tiene capacidad de comprender la diferencia con la palabra “oposición”,
entendiendo esa Agencia que no es válido informar de la posibilidad de “oponerse”,
como un sinónimo, a dicho tratamiento, que es lo que efectivamente realiza EDP
ENERGÍA.

En línea con lo anterior, es preciso resaltar que EDP ENERGÍA, en ningún caso ha
denegado el ejercicio de derechos que no hayan sido solicitados/redactados con
carácter preciso, dirigiendo en caso de duda la solicitud al usuario, para que la misma
pueda ser resuelta de forma eficaz, satisfactoria y sin dilaciones.

Igualmente, tal y como ya ha sido plasmado en puntos anteriores, en relación con las
decisiones automatizadas, se ofrece la posibilidad al cliente de obtener intervención
humana, admitiéndose impugnación y en su caso valoración de la decisión resultante,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/136

motivo por el cual, además de informar sobre la posibilidad de no ser objeto de
decisiones automatizadas, se faculta al cliente como alternativa la intervención
humana. Por todo lo anterior, no cabe interpretar de forma razonable, que el titular de
los datos pueda, ni siquiera de forma remota, desconocer la posibilidad o derecho a
que sus datos no sean objeto de decisiones automatizadas, ni que EDP ENERGÍA
ponga limitaciones, o no ponga a disposición de dichos interesados los mecanismos
necesarios para poder realizar la solicitud, pudiendo en cualquier momento “oponerse”
a dicho tratamiento, o mejor dicho, “revocar” el consentimiento prestado para la
adopción de tales decisiones, así como de solicitar intervención humana, que por otro
lado, en el caso de EDP ENERGÍA siempre se produce, porque aunque la consulta de
la información esté automatizada, la decisión ultima la adopta un empleado tras
analizar el contenido de la misma.

Se aporta como Anexo 4, a modo ejemplo, ejercicios de derecho de oposición y de
revocación de consentimiento que han sido tramitados durante el último año, a los
efectos que la AEPD pueda conocer, de primera mano, qué tipo de derechos son
ejercidos por los titulares, en qué modalidad son recibidos, así como específicamente
cómo son debidamente atendidos por parte de EDP ENERGÍA.

A mayor abundamiento y con el fin de atender el verdadero alcance de la infracción, a
pesar de que EDP ENERGÍA incluye la posibilidad de realizar perfilados y adoptar
decisiones automatizadas, el único perfilado realizado, es el relativo a la calificación de
los clientes en materia de prevención del fraude, tratamiento para el que existe
habilitación legal y se encuentra basada en el interés legítimo de EDP ENERGÍA, con
la finalidad de salvaguardar el buen devenir de las contrataciones efectuadas por EDP
ENERGÍA, así como evitar que clientes, cuya única finalidad es consumir el servicio
energético sin pagar las facturas, pasen a formar parte de la cartera de clientes.

Sin perjuicio de lo anterior, se informa a los titulares de los datos que dicho perfilado es
revisado y tramitado finalmente por personal de EDP ENERGÍA, motivo por el cual no
puede considerarse como una decisión automatizada en sí misma, atendiendo en este
sentido al tenor literal del concepto establecido por las autoridades. En otras palabras,
ni existe tratamiento de datos basado en decisiones automatizadas, ni hay
manifestación alguna sobre dichos tratamientos, puesto que fuera de los estrictamente
necesarios para continuar con el servicio y aquellos previstos legalmente, no son
llevados a cabo, motivo por el cual, no solo no puede considerarse que hay
incumplimiento del artículo 22 del RGPD, ya que se cumple con los requisitos
recogidos por la normativa, sino que no existen, ni pueden existir titulares de datos que
hayan podido verse afectados por dichos tratamientos, por lo que nos remitimos a la
amplia jurisprudencia anteriormente enunciada en este apartado por ser de plena
aplicación al caso que nos ocupa.

Esto es suficiente para que no exista base alguna a fin de imputar a mi representada
infracción alguna de las tipificadas en el artículo 83.5.b) RGPD en relación con su
citado artículo 22, no obstante, a efectos dialecticos y para el improbable caso de que
sí pudiera considerarse probada la comisión de dicha infracción manifestamos lo que
sigue en relación con el importe de la sanción prevista para dicha supuesta infracción
en el Acuerdo de Inicio del procedimiento sancionador.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/136

Realiza una serie de consideraciones sobre los criterios evaluadores recogidos en el
RGPD, entendiendo que los agravantes considerados en el acuerdo de inicio por la
AEPD no concurrirían en este caso concreto, concluyendo que no se ha fundamentado
de forma íntegra la gravedad, ni los criterios que permitan fijar tan elevada cantidad de
sanción al presente supuesto.

CUARTA.- PRESUNTO INCUMPLIMIENTO EN RELACIÓN CON EL DEBER DE
TRANSPARENCIA.

La AEPD, en su Acuerdo de Inicio de Procedimiento Sancionador, atribuye a EDP
ENERGÍA la infracción del Artículo 13 del RGPD, suponiendo un incumplimiento de
deber de información que le es propio como responsable del tratamiento, tipificado en
el artículo 83.5.b) y calificado como leve a efectos de prescripción en el artículo 74.a)
de la LOPDGDD. Concretamente considera la existencia de dicha infracción debido a:
1) falta de información a los interesados de la posibilidad de acceder a información
exigible en el artículo 13 del RGPD.
2) la dirección web facilitada no conduce directamente a la información exigible
conforme al artículo 13 del RGPD, sin que se permita acceder de forma inmediata a la
información, ni el acceso resulte sencillo para cualquier persona. EDP ENERGÍA no
tiene otro remedio que manifestar, de nuevo, y como lo ha hecho y demostrado en el
resto de los supuestos incumplimientos alegados por esta Agencia, que no puede
compartir las apreciaciones realizadas por la AEPD, por lo que a continuación se
identificarán las razones por la que entiende que efectivamente, EDP ENERGÍA
cumple íntegramente con los requisitos exigidos por la normativa de protección de
datos en términos de transparencia en relación con la información facilitada a los
titulares de los datos personales en los procesos de contratación.

Por lo que se refiere al canal CAC inbound, sobre el que se afirma que la información
facilitada es incompleta, ha de indicarse que al tratarse de llamadas entrantes existe al
iniciarse la llamada, antes de iniciarse la grabación – e independientemente de la
gestión que pretenda realizar quien llama al departamento de atención al cliente de la
entidad-, una locución telefónica donde se informa, entre otros aspectos, de los
derechos que asisten a los interesados, así como dónde encontrar información
adicional, de tal forma que los usuarios reciben esta información siempre que llaman,
lo que no solo supone que se les facilita esta información en la llamada en la que van
a realizar la contratación del suministro, sino también cuando ya son clientes y van a
realizar cualquier trámite (bien sea una consulta, solicitar un cambio de potencia,
realizar un pago, solicitar un fraccionamiento o presentar una reclamación).

En este sentido, ha de señalarse que el propio RGPD dispone expresamente en su
punto 13.4 que: “Las disposiciones de los apartados 1, 2 y 3 no serán aplicables
cuando y en la medida en que el interesado ya disponga de la información”. Por tanto,
los clientes reciben toda la información exigible en una primera capa de información
verbal, que pueden completar accediendo a la web de EDP ENERGÍA o bien de forma
directa en la propia llamada, en función de la gestión que se realice.

Así las cosas, esta información se facilita en capas, distinguiendo por un lado la capa
1. “Esta llamada puede ser grabada. Los datos que nos proporcione serán tratados por
EDP Energía, S.A.U. y/o EDP Comercializadora, S.A.U. para la gestión de su solicitud
o consulta. Puede ejercitar los derechos de acceso, rectificación, supresión, oposición,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/136

limitación y portabilidad en cualquier momento. Consulte la Política de Privacidad en
nuestra web edpenergia.es o pulse 0”

Y por otro la capa 2, que recoge la información de forma más detallada, que se activa
de forma automática en caso de que el usuario marque 0, siguiendo las indicaciones
de la primera capa: “La utilización de este CANAL TELEFONICO no obliga al usuario a
facilitar ninguna información sobre sí mismo. Sin embargo, para utilizar ciertos
servicios o acceder a determinados contenidos, los usuarios deberán proporcionar
previamente algunos datos de carácter personal. En el caso de que el usuario facilite
información de carácter personal, le informamos de que los datos serán tratados por
EDP Energía, S.A.U. y EDP Comercializadora, S.A.U., con domicilio social en Oviedo,
Plaza del Fresno 2, 33007 y NIF A33543547 y A95000295 respectivamente, en
adelante “EDP”, como responsables del tratamiento, según lo establecido por el
Reglamento General de Protección de Datos ((UE) 2016/679), en adelante “RGPD”, y
su normativa de desarrollo.
En concreto, sus datos podrán ser tratados, cuando el usuario así lo solicite, para
gestionar la atención y seguimiento de las solicitudes y consultas dirigidas a través del
sitio web, así como para la realización de encuestas y la participación en sorteos,
juegos y promociones. Los datos solicitados serán de carácter obligatorio y limitados a
los necesarios para proceder a la prestación y/o gestión del servicio solicitado, lo que
le será convenientemente informado en el momento de la recogida de sus datos de
carácter personal. En caso de no facilitarlos o no facilitarlos correctamente, no se le
podrá prestar el servicio.
En estos supuestos, el usuario garantiza que los datos personales facilitados son
veraces y se hace responsable de comunicar cualquier modificación de los mismos.
En el caso de las gestiones tramitadas a través del CANAL TELEFONICO y el registro
en el mismo, los tratamientos de datos realizados se fundamentan en la relación
jurídica derivada de su solicitud.
El tratamiento de datos para la realización de encuestas se basa en el interés legítimo
de EDP a fin de mejorar la calidad de los servicios prestados a los clientes y/o
usuarios, pudiendo oponerse a dichos tratamientos en cualquier momento, sin que
esto afecte a la licitud de los tratamientos efectuados anteriormente.
En ningún caso podrán incluirse en los formularios contenidos en el CANAL
TELEFONICO datos de carácter personal correspondientes a terceras personas, salvo
que el solicitante hubiese recabado con carácter previo su consentimiento en los
términos exigidos por el artículo 7 del RGPD, respondiendo con carácter exclusivo del
incumplimiento de esta obligación y cualquier otra en materia de datos de carácter
personal.
Los datos personales de los usuarios registrados en el sitio web podrán ser cedidos a
las Administraciones Públicas que por ley corresponda, a otras empresas del grupo
empresarial para fines administrativos internos, y a los proveedores del responsable
del tratamiento necesarios para el adecuado cumplimiento de las obligaciones
contractuales.
Los datos personales serán conservados durante la vigencia de su contrato de
suministro con EDP, en el resto de casos, durante el tiempo necesario para contestar a
sus solicitudes o para analizar el contenido de sus respuestas a las encuestas. Una
vez finalizada la relación contractual, contestadas sus solicitudes o analizadas sus
respuestas, según corresponda en cada caso, sus datos personales serán borrados,
manteniéndose el resto de información anonimizada únicamente a efectos
estadísticos. Sin perjuicio de lo anterior, los datos podrán conservarse durante el plazo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/136

establecido para cumplir con las obligaciones legales de mantenimiento de la
información y, como máximo, durante el plazo de prescripción de las acciones legales
correspondientes, debiendo mantenerse los datos bloqueados durante el mencionado
plazo de prescripción. Superado ese periodo, los datos serán suprimidos.
En aplicación de lo establecido en el artículo 32 del RGPD, EDP se compromete a
cumplir las obligaciones de seguridad de aquellos datos facilitados por los usuarios,
procurando establecer todos los medios técnicos a su alcance para evitar la pérdida,
mal uso, alteración, acceso no autorizado y robo de los datos que el usuario facilite a
través del mismo, habida cuenta del estado de la tecnología, la naturaleza de los datos
facilitados y los riesgos a los que puedan estar expuestos. Sin perjuicio de lo anterior,
el usuario debe ser consciente de que las medidas de seguridad en el CANAL
TELEFONICO no son inexpugnables.
EDP tratará los datos del usuario de forma confidencial, en todo momento, guardando
el preceptivo deber de secreto sobre los mismos, de conformidad con lo previsto en la
normativa de aplicación.
El usuario puede ejercitar sus derechos de acceso, rectificación, supresión, oposición,
limitación y portabilidad, así como el de revocación de los consentimientos otorgados
previamente, en los términos establecidos legalmente, comunicándolo por escrito a
EDP, a la siguiente dirección: Canal de Comunicación LOPD, Plaza del Fresno, nº2,
33007 Oviedo. Asimismo, puede ejercitar dichos derechos enviando un correo
electrónico con sus datos personales a ***EMAIL.2. En ambos casos se deberá
adjuntar una fotocopia del DNI del titular o documento que acredite su identidad.
Igualmente, podrá ponerse en contacto con el Delegado de Protección de Datos de
EDP, en la siguiente dirección postal: Plaza del Fresno, 2 33007 Oviedo o en el correo
electrónico ***EMAIL.1, en el caso de que entienda vulnerado alguno de sus derechos
relacionados con la protección de datos, o en su caso, interponer una reclamación
ante la Agencia Española de Protección de Datos en la dirección Calle de Jorge Juan,
6, 28001 Madrid"

A continuación, se indica por esa Agencia que “No se da cumplimiento a lo previsto en
el artículo 11.1 de la LOPDGDD en los otros dos canales telefónicos (Telemarketing y
Leads), ni se informa al interesado que puede acceder a toda la información exigible
conforme al artículo 13 RGPD en la dirección electrónica que se indica”. Sin embargo,
tal afirmación se realiza tras reproducir la AEPD los textos en los que se informa a los
clientes de la identidad del responsable del tratamiento, las finalidades del tratamiento,
así como los derechos que pueden ejercitar y la web donde obtener información
adicional. Por tanto, no parece que tal afirmación se corresponda con la realidad de los
hechos, por lo que entendemos que la Agencia tendrá a bien modificar y eliminar este
supuesto incumplimiento en su escrito de propuesta de resolución.

Prosigue el análisis haciendo referencia a que las condiciones generales de
contratación a las que se remite la información, indicando que las alojadas en la web
no son fácilmente accesibles. A este respecto interesa precisar que:
1) El artículo 11 de la LOPGDD se refiere a que esta información debe facilitarse al
interesado “indicándole una dirección electrónica u otro medio que permita acceder de
forma sencilla e inmediata a la restante información” y que, en este caso, tal y como se
informa al interesado en la locución, tras la contratación se remite una copia del
contrato en el que, obviamente, se incluyen las condiciones generales de contratación,
por lo que se le facilita el acceso directo a dicha información. Complementariamente,
esta información está en todo momento disponible en la web.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/136

2) Frente a la supuesta dificultad aludida por la AEPD para encontrar las citadas
condiciones generales contrasta el hecho de que, según ejemplifica, basta una simple
búsqueda para acceder directamente a las mismas, utilizando para ello el buscador
disponible en la página web. Realizando la búsqueda de “condiciones de contratación”
o “condiciones generales de contratación”, se publican como primeros resultados los
documentos relativos a las condiciones generales de contratación que son de
aplicación tanto en castellano, en gallego, en catalán, y en euskera, quedando
identificado de forma clara la documentación que remite de forma directa al documento
en formato PDF, tal y como se evidencia en la siguiente dirección: ***URL.3.

3) En lo que se refiere a que se “exige buscar en las condiciones generales (que
incluyen numerosos aspectos relativos a la contratación) la información relativa a la
protección de datos”, ha de ponerse de manifiesto que las condiciones generales
están compuestas de cuatro páginas, de las cuales prácticamente una de ellas se
encuentra dedicada, en exclusiva, a facilitar la información sobre el tratamiento de
datos personales realizados por EDP ENERGÍA, tal y como estamos seguros que la
AEPD ha podido verificar durante el procedimiento de elaboración de su escrito de
propuesta de sanción.

En relación con este supuesto incumplimiento, cabe traer a colación las directrices
facilitadas por el Grupo de Trabajo del artículo 29, en el que recomienda incluir el
acceso a la información relativa al tratamiento de datos de carácter personal a través
de medios en los que el interesado pueda reconocer inmediatamente dónde y cómo
acceder a esta información, (enlaces directos o en forma de respuesta a una pregunta
en lenguaje natural, en la sección de preguntas frecuentes, o ventanas emergentes).

Sin embargo, igualmente recoge, que “en función de las circunstancias de la recogida
y tratamiento de los datos, un responsable de tratamiento podría verse obligado a
utilizar de manera adicional. […]”. Otras vías posibles de transmitir la información a los
interesados derivadas de los siguientes entornos distintos de datos personales podrían
incluir los siguientes modos, que se enumeran a continuación, aplicables a los
entornos pertinentes. a) En papel, por ejemplo, al celebrar contratos por medios
postales: explicaciones por escrito, folletos, información en documentos contractuales,
dibujos animados, infografías o diagramas de flujo; b) Por teléfono: explicaciones
verbales directamente por parte de una persona para permitir una conversación y la
respuesta a preguntas, o información automatizada o pregrabada con la posibilidad de
oír información adicional más detallada;

El Grupo de Trabajo del artículo 29, única y exclusivamente facilita esa información a
modo de recomendación, sin que en ningún caso sea considerado una mala práctica,
ni por supuesto un incumplimiento normativo el hecho de realizar la publicación a
través de un método, sencillo, que teniendo en cuenta que el servicio requiere de la
celebración de un contrato, el método y formato esencial y por tanto que prima en este
supuesto es al igual que se indica en las propias directrices del GT29, a través del
medio en soporte en papel y telefónico. Todo ello, sin perjuicio de mantener accesible
a través de la web para todo aquel interesado que decida realizar y atender al
contenido de forma intuitiva y sencilla y sin perjuicio de la obligación de entregar en
soporte duradero toda la información contractual tanto con la información previa, como

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/136

con el propio contrato celebrado. En este sentido, podemos ver que la posibilidad de
enlazar de forma “inmediata” es susceptible de ser interpretada.

La propia AEPD en su página web hace que sea el interesado quien deba “acertar” o
“averiguar” cuáles de los tratamientos incluidos en el registro de actividades de la
entidad son los que realmente afectan a su relación con la AEPD, ya que las
finalidades están incluidas dentro de la descripción de cada uno de ellos y no en la
política de privacidad a la que se accede.

En lo que se refiere a la identidad del responsable del tratamiento, se reitera la
información ya facilitada tras el requerimiento de información adicional de 3 de junio de
2020 en que se requería a EDP ENERGÍA, a tal efecto, dentro del Requerimiento de
Información E/05549/2019 en el que se explicaba que el hecho de que se incluya
información de ambas entidades se debe a que no se puede saber de forma previa a
la contratación los servicios que serán solicitados por el interesado (gas y o
electricidad) ni, por tanto, por cuál de las compañías serán prestados, por lo que esto
solo puede ser concretado cuando dichos servicios sean identificados por el propio
cliente. altamente probable que un mismo cliente al solicitar la contratación del
suministro eléctrico y de gas, esté contratando con ambas sociedades.

Por este motivo, se ha elaborado y estructurado el denominado contrato “dual” de
forma que un cliente pueda obtener descuentos o ventajas adicionales por el hecho de
contratar ambas energías con dos sociedades del mismo Grupo empresarial, y a fin de
mantener actualizados los descuentos en cada una de las energías (electricidad y gas)
e información derivada, es necesario que ambas sociedades conozcan si la energía
inicialmente contratada con la otra sociedad del Grupo se mantiene activa para poder
mantener y gestionar correctamente los descuentos/ventajas aplicadas.

Consecuencia de lo anterior, en la cláusula relativa a protección de datos se informa
que los datos personales facilitados durante el proceso de contratación pueden ser
tratados por una sola de las entidades o ambas entidades, en función del tipo de
servicios energéticos que sean contratados. Por tanto, no existe inconcreción, sino que
la explicación sobre quién es el concreto responsable del tratamiento en cada caso se
contiene de forma literal en el primer apartado del contrato, en el que se identifican las
partes, tal como consta en la Evidencia 6 aportada en la respuesta al Requerimiento
de Información efectuado a esta sociedad durante la tramitación del precitado
expediente informativo del que el presente expediente sancionador trae causa: “El
cliente contrata, para el suministro que se indica, el suministro de gas con EDP
Comercializadora, S.A.U. y el suministro de electricidad y/o los servicios
complementarios con EDP ENERGÍA, S.A.U., (en adelante conjunta y/o
individualmente, según proceda, referidas como “EDP”) con arreglo a las Condiciones
Específicas que se recogen a continuación y a las Condiciones Generales en anexo.”

Por tanto, los clientes saben qué empresa tratará sus datos en función de cuál sea el
suministro solicitado (electricidad o gas), algo que entendemos queda perfectamente
claro y se deriva tanto de las explicaciones de los agentes de ventas, como del tenor
literal de la primera cláusula del contrato. En caso de ser ambos servicios, los datos
serán tratados por ambas entidades.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/136

Hasta la fecha, ni en el ámbito de protección de datos, ni en relación con ninguna de
las normativas de aplicación a los sectores regulados de electricidad o gas, o los
referidos a la defensa de los consumidores se ha producido ninguna solicitud de
información adicional, reclamación, o queja a este respecto, ni por parte de los propios
consumidores, ni tampoco por parte de los múltiples reguladores que controlan y
fiscalizan la actividad de las empresas comercializadoras, por lo que parece evidente
que la información facilitada no genera problemas a los clientes, ni a otros reguladores
del país, más que a la propia AEPD.

Adicionalmente, reiteramos dos aspectos esenciales en la operativa propia del sector
en el que EDP ENERGÍA desarrolla su actividad, cuya exposición se contempló en la
información remitidas con carácter previo: 1) La existencia de dos compañías dentro
del Grupo con el rol de entidades comercializadoras se debe a una cuestión
meramente formal, consecuencia de la estructura societaria y composición accionarial
de las compañías adquiridas por el Grupo EDP en el momento de su establecimiento
en España, pero que no se corresponde con el funcionamiento operativo de dichas
comercializadoras, dado que solo una de ellas, EDP COMERCIALIZADORA, cuenta
en la actualidad con empleados y capacidad de gestión y operativa. De este modo, en
la práctica, todos los tratamientos son realizados por dicha entidad, bien en calidad de
responsable del tratamiento o como encargada del tratamiento de EDP ENERGÍA.

2) El Grupo EDP tenía prevista la reorganización societaria de EDP
COMERCIALIZADORA y EDP ENERGÍA y la adaptación de su estructura societaria
con la de su funcionamiento real y su operativa de negocio. Dicha reorganización se
ha visto en la actualidad afectada por un proceso de venta a TOTAL en el que ambas
sociedades están inmersas, y que, de materializarse, podría alterar o ultimar dicha
integración.

Por todo lo anterior, entiende que queda justificada perfectamente la transparencia en
relación a cómo se facilita la información, así como al hecho de que la misma es
perfectamente comprensible para el cliente medio.

Prosigue su análisis la AEPD refiriéndose a las finalidades y bases legitimadoras del
tratamiento. En primer lugar, se hace referencia a aquellos tratamientos informados
cuya base legitimadora es el propio contrato -relación contractual existente- o el
interés legítimo de la compañía.

Sobre este particular, se señala que “No resulta sencillo para cualquier persona, sin
conocimientos de la materia de protección de datos, diferenciar qué tratamientos
derivan del contrato y cuales se fundamentan en el interés legítimo del responsable”.
Esta apreciación es discutible, por cuanto para cualquier persona puede ser evidente
que tratamientos como “gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio” están estrechamente relacionados a la ejecución del
contrato, siendo los demás asignables al interés legítimo. A este respecto, podemos
contrastar esta información con la facilitada por la propia AEPD respecto a sus
tratamientos cuando estos tienen bases de legitimación diversas, como es el caso del
denominado “Gestión de RRHH”, publicado en su web (***URL.4), en cuya información

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/136

se puede apreciar que se identifican diversas bases de legitimación, sin indicar a qué
concreta finalidad se refiere cada una de ellas.

Por tanto, aunque nada tiene que objetar esta parte sobre que el criterio de la AEPD
puede suponer una buena práctica en lo referente al nivel de transparencia, parece
que considerar el hecho de no haber llegado a este nivel de ordenación de la
información, no puede ser considerado un incumplimiento de la norma, máxime si
tenemos en cuenta que ni siquiera el propio organismo que emite las guías de
transparencia (y que ahora está proponiendo una sanción de nada más y nada menos
que un millón de euros por este motivo), ha considerado necesaria tal distinción en su
página web, tal y como ha quedado debidamente evidenciado.

Por lo que se refiere a la supuesta omisión por parte de EDP ENERGÍA de informar de
“cuál es el interés legítimo que el responsable se atribuye”, ha de señalarse que los
mismos están claramente expuestos y puestos en relación con las finalidades que se
persiguen, esto es: prevención del fraude y mercadotecnia, en relación con el envío de
comunicaciones comerciales personalizadas. En estos casos es obvio que existe una
identificación entre la finalidad informada y el propio interés perseguido, por lo que
hacer una alusión separada a este último resultaría redundante.

De igual modo, a título ilustrativo, ha de señalarse que los competidores directos de
EDP ENERGÍA emplean fórmulas informativas similares a las implantadas en mi
representada, sin que a la fecha se hayan conocido procedimientos contra las mismas

Por otro lado, el elevado número de solicitudes de derechos recibidos en los canales
dispuestos para ello demuestran que los clientes entienden perfectamente el contenido
de la información y de los derechos que les asisten, y tienen perfectamente claro qué
es lo que quieren conseguir con su petición y EDP ENERGÍA, ejecuta dichas
peticiones en todos los casos, siempre con un marcado carácter de cumplimiento de la
normativa y protección de los derechos fundamentales de los usuarios.

En lo que respecta a la necesidad de informar sobre la ponderación realizada para
valorar si el interés legítimo es preponderante en este caso, es relevante significar que
estos dos supuestos han sido abordados por el propio legislador, que en el
Considerando 47 del RGPD se refiere expresamente a la posibilidad de realizar estos
tratamientos amparándose en el interés legítimo del responsable del tratamiento.

En concreto se dispone que: “el tratamiento de datos de carácter personal
estrictamente necesario para la prevención del fraude constituye también un interés
legítimo del responsable del tratamiento de que se trate. El tratamiento de datos
personales con fines de mercadotecnia directa puede considerarse realizado por
interés legítimo”.

Sobre este último también se ha pronunciado la propia AEPD en su informe 195/2017
indicando que “si los datos procediesen únicamente de la información de que
dispusiera la entidad en relación con los productos o servicios contratados por el
cliente, sin que la misma fuera completada con la originada en otras fuentes distintas,
ciertamente la conducta de la entidad, consistente en la realización de un perfilado
para la remisión de ofertas de productos o servicios a sus clientes, resultaría ser
menos invasiva de los derechos e intereses de los clientes, pudiendo en este caso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/136

considerarse la aplicabilidad de lo dispuesto en el artículo 6.1 f) del Reglamento
general de protección de datos”.

Por lo tanto, en ambos supuestos la ponderación del interés legítimo ha sido ya
realizada, tanto por el legislador, como por la Autoridad de Control y, por lo tanto, el
motivo esgrimido por el GT29 para recomendar su publicación para que los afectados
puedan presentar una reclamación ante dicha autoridad cuando “duden de si el
examen de ponderación se ha llevado a cabo lealmente” carecería de sentido en este
caso, debiendo en su caso plantear dicha reclamación ante el propio Tribunal de
Justicia de la Unión Europea, con el fin de que examinara la legalidad de la disposición
introducida en el RGPD, o en su caso, ante la propia autoridad de control y/o
tribunales nacionales competentes. En todo caso, el propio GT29 identifica esta
posibilidad como una buena práctica y, como se recoge en el propio informe su
objetivo es “indicar el planteamiento que, a juicio del GT29, los responsables del
tratamiento deben asumir en cuanto a actuar con transparencia”. No se trata, por
tanto, de una obligación jurídica cuyo cumplimiento defectuoso pueda llevar aparejado
una sanción, como ya ocurre con otras muchas de las cuestiones que la AEPD está
intentando sancionar en este procedimiento, faltando a los más mínimos principios de
tipificación, culpabilidad y prueba, hechos estos que no dejan de sorprendernos en lo
que entendemos que es una actuación que debería estar acogida a un cumplimiento
íntegro y riguroso por parte de la Administración sancionadora.

Continua la AEPD su análisis refiriendo que los tratamientos para los que se pide
consentimiento, valorando que no resulta sencilla su comprensión para una persona
sin conocimientos especializados. Sin embargo, no ofrece ninguna explicación para
llegar a esa conclusión (más allá de una vaga referencia al punto cuarto).
En contra del criterio de la AEPD, entendemos que la información se da en un
lenguaje sencillo, compresible para cualquier persona. La información contenida en
esta segunda capa ha de ponerse en relación con los consentimientos solicitados.

El primer consentimiento dice: “Consiento el tratamiento de mis datos personales una
vez finalizada la relación contractual, para la realización de comunicaciones
comerciales adaptadas a mi perfil de productos y servicios relativos al suministro y
consumo de energía. Asimismo, consiento los mencionados tratamientos durante la
vigencia y tras la finalización del contrato, sobre productos y servicios no energéticos,
tanto de las empresas del Grupo EDP como de terceros.”

En la segunda capa se amplía esta información indicando cuales son los sectores a
los que pertenecen los terceros sobre los que se pueden enviar comunicaciones “(I)La
promoción de servicios financieros, servicios de protección de pagos, automoción o
afines y electrónica, propios o de terceros, ofrecidos por EDP y/o la participación en
concursos promocionales, así como para la presentación de propuestas comerciales
vinculadas al sector energético tras la finalización del contrato.”
Como puede evidenciarse, no se usa ni un solo término técnico que dificulte la
comprensión de estos textos, y las condiciones del consentimiento son totalmente
claras.

En segundo consentimiento solicitado dice: “Consiento el tratamiento de mis datos
personales para la elaboración de mi perfil comercial con información proveniente de
bases de datos de terceros, para la adopción, por parte de EDP, de decisiones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/136

automatizadas con la finalidad de enviar propuestas comerciales personalizadas, así
como para permitir, o no, la contratación de determinados servicios.”

En la segunda capa se detalla el contenido de este consentimiento indicando: (II) la
posibilidad de tratar datos personales de terceros para ser agregados a su perfil (III) la
información contractual empleada por EDP ENERGÍA en la elaboración del perfil (IV)
el detalle de las finalidades de la agregación de estas informaciones.

Por último, se informa de los derechos que asisten a los interesados en el caso de
que en estos procesos se produzca la toma de decisiones automatizadas. Por tanto, el
objetivo claro de EDP ENERGÍA es permitir a los interesados tener un conocimiento
detallado de los usos para los que se pide consentimiento no existiendo voluntad o
dolo alguno para ocultar la información. Igualmente, señala la AEPD que concurre una
ausencia de claridad en la información proporcionada relativa a la agregación de
información de terceros, al no distinguirse si es referido a la finalidad relativa al punto
(II) (la posibilidad de tratar datos personales de terceros para ser agregados a su
perfil) o al (III) (la información contractual empleada por EDP ENERGÍA en la
elaboración del perfil). A este respecto, parece obvio que la palabra agregación es
suficientemente concisa, y se refiere a la suma de ambas informaciones. La palabra
agregar es de uso común en el día a día y, de acuerdo con la RAE, significa: “unir o
juntar unas personas o cosa a otras”. En este caso, del contexto se infiere claramente
que se trataría de unir los datos que ya tiene EDP ENERGÍA, con los que podría
obtener de terceros.

Más allá de esto, se desconoce cuál es la concreta información cuya comprensión
puede resultar compleja, ya que no se aporta ninguna aclaración al respecto. EDP
ENERGÍA ha intentado en todo momento emplear un lenguaje claro y comprensible y
no existen tecnicismos que puedan complicar la lectura del texto, algo que parece que
ahora la AEPD, considera una acción negativa que penaliza la buena fe de EDP
ENERGÍA en relación al cumplimiento de la normativa.

Por último, se refiere la AEPD a la información relativa al ejercicio de derechos,
respecto a la que, al igual que en los casos anteriores, tampoco parece ser suficiente
para la AEPD la información facilitada a este respecto. Así, bajo el epígrafe “Derechos
del titular de los datos” EDP ENERGÍA informa de que: “El cliente contará en todo
momento con la posibilidad de ejercitar de forma libre y completamente gratuita los
siguientes derechos: i) Acceder a sus datos personales que sean tratados por parte de
EDP. ii) Rectificar sus datos personales que son tratados por parte de EDP que
resulten inexactos o incompletos. iii) Suprimir sus datos personales que son tratados
por EDP. iv) Limitar el tratamiento por parte de EDP de todos o parte de sus datos
personales. v) Oponerse a determinados tratamientos y adopción de decisiones
automatizadas de sus datos personales, requiriendo la intervención humana en el
proceso, así como a impugnar las decisiones que sean finalmente adoptadas en virtud
del tratamiento de sus datos. vi) Portar sus datos personales en un formato
interoperable y autosuficiente. vii) Retirar en cualquier momento, los consentimientos
otorgados previamente.

De conformidad con la normativa vigente, el usuario puede ejercer sus derechos
solicitándolo por escrito, y junto a una copia de documento fehaciente de acreditación

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/136

de la identidad, en la siguiente dirección postal: Plaza del Fresno, 2 33007 Oviedo o en
el correo electrónico ***EMAIL.2.

Igualmente, podrá ponerse en contacto con el delegado de protección de datos de
EDP, en la siguiente dirección postal: Plaza del Fresno, 2 33007 Oviedo o en el correo
electrónico ***EMAIL.1, en el caso de que entienda vulnerado alguno de sus derechos
relacionados con la protección de datos, o en su caso, interponer una reclamación
ante la Agencia Española de Protección de Datos en la dirección Calle de Jorge Juan,
6, 28001 Madrid.”

La AEPD considera insuficiente la mención que realiza EDP ENERGÍA respecto a la
posibilidad de oponerse a “determinados tratamientos” sin especificar uno a uno a qué
tratamientos nos estamos refiriendo, en la medida en que la AEPD afirma que
“debiendo ser claro para el interesado cuales son los tratamientos que pueden ser
objeto de oposición”.
Esta parte no comparte esta apreciación, puesto que esta supuesta obligación que la
AEPD resalta y parece imponer a EDP ENERGÍA no es requerida por el RGPD, ni
cuenta con ningún respaldo legal, que como bien conoce esa Agencia es condición
“sine qua non” para poder sancionar-

Es más, y para mayor abundamiento, esta parte quisiera poner de nuevo de relieve
que la fórmula empleada por EDP ENERGÍA es precisamente la recomendada por la
propia AEPD en sus múltiples guías y herramientas relativas al deber de información
conforme al RGPD, e incluso en la propia web de la AEPD, algo que, de nuevo, no
deja de sorprender a esta parte, puesto que esa Agencia considera una infracción del
RGPD, proponiendo para dicha infracción una sanción de un millón de euros, por un
supuesto incumplimiento en relación a una determinada práctica que ella misma
recomienda realizar. En esta línea, cabe destacar
1) La Guía para el cumplimiento del deber de informar, en la que se plasma el
siguiente ejemplo
2) 2) La Herramienta FACILITA, de la AEPD, destinada a que entidades realicen
la adecuación conforme al RGPD, incluyendo las cláusulas informativas
conforme a la normativa aplicable (se han incluido datos ficticios):
3) Informe sobre políticas de privacidad en internet. Adaptación al RGPD, donde
la propia AEPD expone como ejemplo válido para adecuar la política de
privacidad al RGPD.
4) Política de privacidad de la AEPD, tampoco recoge la supuesta información
que es requerida ahora a EDP ENERGÍA, e incluye fórmulas como “cuando
proceda”

En consecuencia, no puede reprocharse a EDP ENERGÍA la no inclusión de una
información que ni siquiera es indicada como una buena práctica en las guías
elaboradas para el cumplimiento adecuado de sus obligaciones por parte de los
responsables del tratamiento, y que ni la propia AEPD cumple en su Política de
Privacidad y demás cláusulas informativas utilizadas en su web.

Tampoco parece tener sentido la referencia a que “Resulta impreciso señalar que el
interesado puede oponerse a la adopción de decisiones automatizadas de sus datos
personales”. Es obvio que la información facilitada empleando la palabra “oponerse” es
entendida como un derecho tanto cuando el tratamiento se legitima en un interés
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/136

legítimo como en un consentimiento (en todo caso se informa de la posibilidad de
oponerse en cualquier momento a los consentimientos otorgados). La prueba es que,
a la hora de ejercitar sus derechos, los interesados rara vez utilizan alguno de estos
términos y se limitan a solicitar la “baja” o pedir directamente que se dejen de usar sus
datos para determinadas finalidades, sin usar formalismos tal y como se ha
evidenciado en este procedimiento mediante la aportación de innumerables ejemplos.

Adicionalmente, interesa a esta parte poner de manifiesto nuevamente que la AEPD
ha tenido oportunidad de analizar tanto las condiciones generales de contratación,
como las informaciones facilitadas en los distintos procesos de contratación de los que
dispone EDP ENERGÍA durante los distintos requerimientos de información y en su
caso procedimientos sancionadores que la AEPD ha iniciado hasta el momento, sin
que hasta el momento, la AEPD se haya pronunciado sobre posibles incumplimientos
del deber de transparencia, habiéndose procedido al archivo de múltiples expedientes
en las que esta documentación fue objeto de revisión por la AEPD.

Por lo tanto, habiendo sido puesta esta información en conocimiento de la AEPD y
habiendo sido analizada por ésta, sin que se hubiera pronunciado en contra de la
misma, EDP ENERGÍA continuó haciendo uso de estos documentos y procedimientos
en la confianza legítima de que esta era ajustada a las exigencias normativas, en la
medida en que la AEPD, teniendo acceso y conocimiento de primera mano de esos
supuestos incumplimientos, no indicó en ningún momento a EDP ENERGÍA que
existiera irregularidad alguna, proponiendo ahora una sanción de un millón de euros
por un supuesto incumplimiento, del que habría tenido conocimiento años atrás, pero
que no consideró ya no sancionar sino ni siquiera advertir a EDP ENERGÍA. En este
sentido, ha de señalarse que la finalidad de esta autoridad de control no es otra que
garantizar el cumplimiento de la normativa, por lo que en ausencia de justificación
jurídica que motive la apertura de Procedimiento Sancionador sobre unos aspectos
que con anterioridad fueron conocidos e incluso sujetos a un archivo, no puede tener
cabida con posterioridad la imposición de una sanción de la cuantía que se expone.
Como conclusión de todo lo expuesto, no cabe interpretar que EDP ENERGÍA
incumple con sus deberes recogidos en el artículo 13 del RGPD.

Efectúa una serie de comentarios sobre los criterios evaluadores relacionados por la
AEPD en el acuerdo de inicio del procedimiento sancionador, considerando que no
concurren en el presente supuesto.

QUINTA.– SOBRE EL ACUERDO DE INICIO DE EXPEDIENTE SANCIONADOR Y LA
VALORACIÓN DE LA POSIBLE SANCIÓN. FUNDAMENTACIÓN JURÍDICA Y
PROPORCIONALIDAD DE ESTA.

A. INCUMPLIMIENTO DEL PRINCIPIO DE INTERDICCIÓN DE LA ARBITRARIEDAD.
En relación con este principio debemos de atender a dos cuestiones concretas:
1) Las recomendaciones y publicaciones de la AEPD,
2) Las cuantías de las sanciones que han tenido lugar en supuestos anteriores
similares.
En primer lugar, ciertas prácticas recomendadas e incluso aplicadas por la AEPD
relativas a la recogida del consentimiento y a la información a facilitar a los
interesados, han servido en este caso para argumentar y motivar las supuestas
infracciones cometidas por EDP ENERGÍA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/136

Estos criterios se plasman tanto en la forma de recopilar de forma conjunta las
finalidades cuya base legitimadora es consentimiento del usuario, tal y como se recoge
en la Alegación Segunda, como en la presentación de la información relativa al
ejercicio de derechos de los interesados recogido en la Alegación Cuarta. Estos
aspectos, que a priori la AEPD recomienda y pone en práctica, considerándolos
ejemplos que se adecuan a la normativa aplicable, son utilizados como elementos
infractores para justificar el supuesto incumplimiento de distintos preceptos legales por
EDP ENERGÍA.

Todo ello y dicho sea en estrictos términos de defensa, no solo implica que la AEPD
considera insuficiente lo que la propia Autoridad tiene incorporado en sus cláusulas
informativas, resultando por tanto, dicha información insuficiente conforme al RGPD,
sino que el hecho de modificar el criterio adoptado invalidando aspectos sin
motivación, ni justificación alguna, implica una clara situación de inseguridad jurídica,
contraria al principio constitucional de interdicción de la arbitrariedad recogido en el
artículo 9.3 de la Constitución Española; principio que implica que las autoridades no
pueda tomar decisiones arbitrarias, entendiendo por tales, aquellas que supongan una
infracción del principio de igualdad de trato de los administrados ante la aplicación de
la ley y las reglas objetivamente determinadas.

En segundo lugar, las cuantías de las sanciones anteriores en supuestos de hecho
similares no son comparables, a las propuestas en este caso.

Concretamente, debemos traer a colación el Procedimiento Sancionador
PS/00097/2019, en el que, tras haber analizado el sistema de contratación y la
información facilitada a cada una de las partes intervinientes, tanto al representante,
como al representado, se dicta el archivo del expediente, validando por tanto todos los
documentos que acompañaron al procedimiento, es decir, la documentación vinculada
al proceso de contratación.

Igualmente, cabe señalar que, el pasado marzo de 2019, EDP ENERGÍA, también
recibió archivo de actuaciones del requerimiento de información E/04707/2018,
iniciado tras denuncia presentada por el Sr. B.B.B.. En este caso, la AEPD resuelve
que no procede dar trámite a la reclamación recibida, considerando, por tanto, el
procedimiento de contratación y documentación aportada, conforme a Derecho.

Al igual que en el primer apartado de este punto, las sanciones propuestas, realizadas
sin motivación, ni justificación debida, van en contra de la seguridad jurídica, principio
constitucional recogido en el artículo 9.3 de la Constitución Española, así como contra
el principio de fundamentación jurídica. En otras palabras, toda decisión adoptada por
la AEPD ha de ser objetiva, fundamentada y tipificada.

En este sentido, cabe traer a colación la Sentencia del Tribunal Supremo de la 3ª Sala
de lo Contencioso-administrativo, Sección 3ª, Sentencia de 13 mayo. 2015, Rec.
28/2013, en la que el interesado, recurre en casación, exponiendo entre otras
alegaciones la infracción de los principios de interdicción de la arbitrariedad, seguridad
jurídica y de igualdad establecidos en los artículos 9.3 y 14 CE, al amparo del artículo
88.1.d) LJCA y el Tribunal estima dicha motivación. De dicha resolución cabe resaltar
lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/136

“c) La exigencia constitucional de la motivación de las sentencias, recogida en el
artículo 120.3, en relación con el 24.1, de la Constitución , aparece justificada, sin más
que subrayar los fines a cuyo logro tiende aquélla, que, ante todo, aspira a hacer
patente el sometimiento del Juez o Tribunal al imperio de la Ley y contribuye a lograr la
convicción de las partes en el proceso sobre la justicia y la corrección de una decisión
judicial, facilitando el control de la sentencia por los Tribunales Superiores, y opera
como garantía o elemento preventivo frente a la arbitrariedad.
d) La amplitud de la motivación de las sentencias ha sido matizada por la doctrina del
Tribunal Constitucional, indicando que no autoriza a exigir un razonamiento judicial
exhaustivo y pormenorizado de todos los aspectos y perspectivas que las partes
puedan tener de la cuestión a decidir, sino que deben considerarse suficientemente
motivadas aquellas resoluciones judiciales que vengan apoyadas en razones que
permitan conocer cuáles han sido los criterios jurídicos esenciales fundamentadores
de la decisión, es decir, la "ratio decidendi" que ha determinado aquélla (sentencias del
Tribunal Constitucional 14/1991,28/1994,145/1995y32/1996, entre muchas otras). Así
lo ha reconocido el propio Tribunal Constitucional cuando se refiere a que no es
necesario un examen agotador o exhaustivo de las argumentaciones de las partes, y
cuando incluso permite la argumentación por referencias a informes u otras
resoluciones. La Sentencia del Tribunal Constitucional nº 122/94 de 25 de abril, afirma
que ese derecho a la motivación se satisface cuando la resolución judicial de manera
explícita o implícita contiene razones o elementos de juicio que permiten conocer los
criterios que fundamentan la decisión».”

A raíz de lo anterior cabe resaltar que la AEPD, identifica como ejemplo de sanción, el
Procedimiento Sancionador con número de expediente PS/0025/2019, puesto que
supone un procedimiento de EDP COMERCIALIZADORA, S.A.U. que se encuentra en
vía contenciosa y por tanto, no deviene firme. Por todo ello, ni puede considerarse un
expediente que afecte a la diligencia operada por EDP ENERGÍA, ni puede ser
considerado como un antecedente, puesto que dicha sanción aún no es firme.

Igualmente, con respecto el resto de los expedientes traídos a colación en el Acuerdo
de Inicio de Procedimiento Sancionador, PS/00101/2018, PS/00363/2018 o
PS/00109/2019. En Ref.: PS/00236/2020 EDP ENERGÍA Procedimiento Sancionador
54 cuanto al primer expediente, el mismo a pesar de haber sido abonado por pronto
pago, en ningún caso EDP ENERGÍA aceptó los hechos y la infracción que le habían
sido imputadas, habiéndose debatido la interpretación de la AEPD a lo largo de todo el
Procedimiento Sancionador, motivo por el cual no cabría interpretar dicho pago como
allanamiento. En el caso del expediente PS/00363/2018, al igual que en el anterior, en
cada una de las contestaciones de EDP ENERGÍA, se defiende tanto la legitimidad del
tratamiento, como el procedimiento de contratación, procedimiento que la AEPD, no
había calificado en ningún momento de poco transparente, insuficiente e impreciso,
características que considera la AEPD que se dan en el presente procedimiento
teniendo en cuenta que se ha partido de la misma información en cada uno de los
expedientes

B. FALTA DE PROPORCIONALIDAD.

En este punto, conviene recordar que el principio de proporcionalidad es un principio
general del Derecho. Motivo por el cual, la AEPD debe tener en cuenta este principio
tanto a la hora de determinar los criterios evaluadores, como a la hora de determinar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/136

sanción aplicable, principio que como cabe apreciar del procedimiento, desde el inicio
de la investigación y dicho sea en el más estricto sentido de defensa, no ha sido
aplicado por la AEPD en el Acuerdo de Inicio del Procedimiento Sancionador.

En definitiva, analizando cada una de las supuestas infracciones que se imputan a mi
representada, no cabe sino interpretar que existe una absoluta desproporcionalidad en
la interpretación realizada por la AEPD en el presente Acuerdo de Inicio de
Procedimiento Sancionador, no sólo porque carece de motivación a la hora de
considerar cometida la supuesta infracción, sino por el hecho de que las sanciones
propuestas escapan de cualquier criterio valorado con carácter previo por la propia
AEPD.

Y por ello, corresponde como mínimo la corrección por parte de la AEPD, en caso de
no considerar la debida anulación y archivo de las actuaciones, suponiendo por tanto
una reducción sustancial de cada potencial infracción a su grado mínimo, llegando
incluso al apercibimiento, por no existir incumplimiento alguno, falta de motivación y
desproporcionalidad.

C. DUPLICIDAD DE SANCIONES Y CUMPLIMIENTO DEL PRINCIPIO "NE BIS IN
IDEM”

Del Acuerdo de Inicio de Procedimiento Sancionador se deriva un aspecto que ha
venido siendo señalado en diversos puntos de las presentes alegaciones al mismo, y
cuya relevancia no puede ser obviada. Así, las infracciones que se señalan son
reiteraciones de unos mismos hechos, de cuya estimación se ocasionaría una notoria
duplicidad en las sanciones impuestas, bien porque abordan circunstancias
examinadas con anterioridad por la AEPD o bien porque estima la concurrencia
múltiple de infracciones sobre un mismo hecho.

En primer término, ha sido señalado por esta Agencia la concurrencia de una
infracción derivada de lo dispuesto en el artículo 25 RGPD al estimar que no han sido
llevadas a cabo las acciones oportunas, referidas a la adecuación de los
procedimientos que se implementan para la contratación por terceros. Sin perjuicio de
los argumentos que han sido manifestados en la correspondiente alegación Primera, a
los que nos remitimos por brevedad, es relevante destacar que la apreciación de la
comisión de infracción se deriva de acontecimientos que, con anterioridad al mismo,
han sido previamente analizados por la AEPD. Ello ha supuesto que, atendiendo a la
casuística concurrentes en el mismo, este fue sancionado en un procedimiento que, a
la fecha, se encuentra recurrido.

De lo anterior debería desprenderse necesariamente que, la imposición de la
infracción trae causa de la producción de nuevos hechos que motivan la imposición de
las sanciones propuestas. Pues bien, tampoco es esta la casuística que nos ocupa, al
no haber existido nuevas reclamaciones o circunstancias que hayan llevado a la AEPD
al presente Acuerdo de Inicio de Procedimiento Sancionador. Ciertamente la
imposición de la sanción que se propone supondría que, ante un hecho que ha sido
evaluado y solventado o castigado por la correspondiente autoridad, sea nuevamente
examinado desde idéntica perspectiva o, por el contrario, que, en ausencia de
materialización de dicho riesgo, sería impuesta dicha sanción a partir de conductas

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/136

que potencialmente podrían dar lugar a un incumplimiento, pero cuya producción es, a
la fecha, inexistente.

En segundo término, la AEPD hace uso de distintos preceptos normativos para
sancionar un mismo hecho, por constituir simultáneamente la comisión de tres
infracciones, si bien cada una de ellas tiene como fundamento el incumplimiento del
deber de información regulado en el artículo 13 del RGPD

En este sentido, como ya se ha adelantado en las alegaciones previas, aunque el
Acuerdo de Inicio de Procedimiento Sancionador parte de la aplicabilidad de tres
infracciones diferenciadas, correspondientes a los artículos 6, 13 y 22 del RGPD,
todas ellas tienen como fundamento la información deficiente y el desconocimiento del
usuario del objeto de la solicitud de consentimiento. Así, la argumentación que plasma
para fundamentar su consideración relativa a la obtención de un consentimiento
insuficiente, se indica que:
“Se considera que el consentimiento así prestado no resulta ajustado a lo previsto en
el RGPD y en la LOPDGDD. Se pide un consentimiento con una información
deficiente, en tanto no se indican ni qué bases de terceros se van a consultar ni qué
tipo de datos se van a recabar, de modo que el interesado desconoce absolutamente
que es lo que está consintiendo. Tampoco se determina quien va a ser el responsable
del tratamiento, se hace una referencia genérica a EDP, sin que el cliente que haya
contratado un servicio únicamente con una de las dos entidades (EDP
COMERCIALIZADORA S.A.U. o EDP ENERGÍA, S.A.U.) sepa si está consintiendo
que tales tratamientos lo lleven a cabo ambas entidades o solamente aquella de la que
es cliente. Tampoco se aclara que tipo de servicios se va a permitir contratar o no.
Tales deficiencias no permiten que el interesado conozca las consecuencias de su
decisión y valore así la conveniencia de prestar o no su consentimiento.” (Página 46
del Acuerdo de Inicio de Procedimiento Sancionador).

Del mismo modo, en cuanto a la supuesta infracción del artículo 22 RGPD, relativa a la
comisión de decisiones automatizadas, la AEPD en su propio escrito de Acuerdo de
Inicio de Procedimiento Sancionador, tras recoger los aspectos relacionados con el
tratamiento de datos en los que existan decisiones automatizadas, recoge lo siguiente:

“De todo ello cabe concluir que el consentimiento prestado para tales finalidades no
es conforme a lo establecido en el artículo 4.7 del RGPD en tanto no está
debidamente informado con carácter general, no se da cumplimiento a los requisitos
específicos de información establecidos en el artículo 13.2 para las decisiones
automatizadas y tampoco es específico. La ausencia de tales requisitos determina que
el mismo no sea válido de modo que los tratamientos basados en él carecen de
legitimación contraviniéndose así lo previsto en los artículos 6 y 22 del RGPD.”
(Página 47 del Acuerdo de Inicio de Procedimiento Sancionador).

A la luz de lo anterior, cada insuficiencia mencionada, deriva acumulativamente, al
potencial incumplimiento del artículo 13 del RGPD, relativo al deber de información.

A estos efectos, no resulta admisible en Derecho la exposición efectuada por parte de
esa Agencia de dos infracciones derivadas de la ausencia de base legitimación
suficiente al no ser el consentimiento informado y, de forma simultánea, otra infracción
a causa de la ausencia de transparencia en la información otorgada. Al respecto, bien
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/136

es sabido por la AEPD que nuestra jurisprudencia ha reiterado en multitud de
ocasiones como principio fundamental del Derecho, que un mismo hecho no puede ser
sancionado en dos ocasiones. La aplicación de este principio non bis in idem supone
una imposibilidad manifiesta de imponer dos o más sanciones administrativas, por un
mismo hecho, siempre que se produzca una identidad de hecho, sea atribuida a un
mismo sujeto y se impongan sobre la base de un común fundamento en lo que se
refiere al bien jurídico protegido.

Por tanto, no cabe duda de que, en caso de ser aplicable la apreciación de la AEPD
de la comisión de una infracción por parte de EDP de los hechos expuestos referente
a los artículos señalados, ésta requerirá el necesario concurso de leyes aplicables. En
este sentido, resulta esencial traer a colación lo dispuesto en el artículo 29.5 de la
LRJSP, que señala que:

“Cuando de la comisión de una infracción derive necesariamente la comisión de otra u
otras, se deberá imponer únicamente la sanción correspondiente a la infracción más
grave cometida.”

Sin perjuicio de la escasa jurisprudencia derivada de dicho precepto, fruto de su
anterior regulación (Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el
Reglamento de Procedimiento para la Potestad Sancionadora), nuestros Tribunales
han predicado que, para la valoración del citado concurso, la normativa
“(…) exige, para la aplicación del concurso medial, una necesaria derivación de unas
infracciones respecto de las demás y viceversa” (Sentencia del Tribunal Supremo de 8
de febrero de 1999).

En aplicación de dicho precepto, constan sentencias favorables de la Sala de lo
contencioso-administrativo de la Audiencia Nacional que, en análisis de la materia que
nos ocupa, expuso que:

“De acuerdo con ello, esta Sala considera que en el caso de autos existe una
conexión directa entre la vulneración del artículo 6 (tratamiento de datos de carácter
personal sin el consentimiento del afectado) y la vulneración de los artículos 4.3
(tratamiento de datos inexactos), ambos de la LOPD. Conexión que se pone de relieve
por el hecho de que el tratamiento de los datos del denunciante sin su consentimiento,
se lleva a cabo únicamente en la comunicación mediante carta (de la información
sobre los movimiento del TPV de Cortefiel) a su antiguo domicilio, que es lo que da
lugar a la denuncia presentada por él, y que al no corregirse (precisamente porque
dicho tratamiento incorrecto no tenía ningún reflejo económico ni contable en dicho
Banco), se mantiene en las distintas comunicaciones por carta realizadas. Es decir, tal
y como indica la parte actora en la demanda, resulta que el tratamiento que ha
consistido, exclusivamente, en incluir indebidamente unos datos del afectado en un
informe de operaciones que no se refieren a él, solo puede producirse sin mediar su
consentimiento, por lo que el tratamiento inconsentido de datos del articulo 6.1 LOPD
deriva necesariamente del tratamiento indebido o erróneo de los mismos (Art 4.3).
Resulta por ello de aplicación al caso el citado artículo 4.4 del Reglamento para el
ejercicio de la potestad sancionadora, por lo que, al ser ambas infracciones de igual
gravedad, procede imponer una sola sanción 60.101,21 Euros, que se considera debe
ser en este caso la correspondiente a la infracción del principio de tratamiento no
consentido, en la que vendría a quedar embebida o subsumida la infracción del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/136

principio de calidad del dato, ambas del artículo 44.3.d) LOPD.” (Sentencia de 19 de
noviembre de 2009, rec 338/2009)

A tenor de ello, aun a pesar de que resultaran de aplicación los preceptos de la
normativa precedente al RGPD y abarcara un escenario diferenciado, no cabe duda de
que la Audiencia Nacional apreció la procedencia de estimar la concurrencia de
infracciones sobre la base de un concurso medial entre las infracciones contempladas
en la normativa de protección de datos, cuando necesariamente la comisión de una
requiera la producción de la otra. A este respecto, dicha Audiencia manifiesta que,
existiendo una única acción de la que pudieran derivarse dos infracciones, solo puede
ser tenida en cuenta la de mayor gravedad. De igual modo que en el caso señalado,
en el que la obtención indebida de un dato ocasionó necesariamente un tratamiento de
datos inexacto, en el caso que nos ocupa, la consideración por parte de esta AEPD de
una obtención ilegítima por no atender los principios definidos por el RGPD para
determinar que el consentimiento es informado e inequívoco, ha de quedar subsumido
en la valoración pertinente al deber de informar, no cabiendo de modo alguno la doble
valoración señalada en el propuesta de sanción.

No cabe, por tanto, como se ha plasmado por parte de la AEPD en este procedimiento,
aplicar distintos preceptos normativos (artículos 6, 22 y 13 del RGPD) de forma
independiente, para sancionar sobre una potencial infracción directamente relacionada
con el cumplimiento del deber de información, debiendo en todo caso eliminarse las
sanciones propuestas en el Acuerdo de Procedimiento Sancionador.

D. FALTA DE PRUEBAS FEHACIENTES PARA LA IMPUTACIÓN DE LA INFRACCIÓN
Y CORRESPONDIENTE IMPOSICIÓN DE LA SANCIÓN.

En preciso traer a colación el principio inquisitivo o de oficialidad dominante en el
procedimiento administrativo, el cual implica que es la autoridad administrativa la
obligada a proceder a la verificación de los hechos alegados mediante la práctica ex
oficio de las pruebas pertinentes, predominando así el principio de verdad material. Así
pues, en el procedimiento administrativo es requisito imprescindible que todas las
afirmaciones efectuadas se sometan a la confrontación con los hechos, recayendo
sobre la autoridad competente la acreditación de los mismos, en aras a garantizar la
seguridad jurídica exigida con el único objetivo de dar cumplimiento a los fines de la
Administración Pública.

Asimismo, es pertinente señalar lo dispuesto en el artículo 53 de la Ley 39/2015 de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas,
en cuanto a la presunción de inocencia y la no existencia de responsabilidad mientras
que no se demuestre lo contrario.

A mayor abundamiento, debe hacerse referencia a la Sentencia del Tribunal
Constitucional 76/1990, de 26 de abril de 1990, Rec/695/1985 que delimita el alcance
y respeto a la presunción de inocencia en el procedimiento sancionador y que señala
lo siguiente:

“En efecto, no puede suscitar ninguna duda que la presunción de inocencia rige sin
excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición
de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/136

en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está
condicionado por el art. 24,2 CE al juego de la prueba y a un procedimiento
contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el
derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o
medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga
de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su
propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas,
practicadas, libremente valorado por el órgano sancionador, debe traducirse en un
pronunciamiento absolutorio.

Asimismo, tampoco podemos afirmar que la actividad probatoria desarrollada por la
Administración pueda ser considerada de cargo, y, para el caso de que este órgano
así lo considere, (STS de 18 de diciembre de 2000- RJ 2000/92) la misma ha quedado
plenamente desvirtuada por medio de las afirmaciones efectuadas por esta parte, así
como por medio de los documentos que se adjuntan con la presente demanda.

De igual modo, debe ponerse de manifiesto la línea jurisprudencial seguida por
Tribunal Constitucional en su sentencia de 20 de febrero de 1989, en relación con los
principios y garantías del procedimiento judicial penal aplicables al procedimiento
administrativo sancionador y, que indica " Nuestra doctrina y jurisprudencia penal han
venido sosteniendo que, aunque ambos puedan considerar como manifestaciones de
un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción
de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas
o cuando las practicadas no reunión las garantías procesales y el principio
jurisprudencial in dubio pro reo que pertenece al momento de la valoración o
apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad
probatoria indispensable, exista una duda racional sobre la real concurrencia de
elementos objetivos y subjetivos que integran el tipo penal de que se trate”

Respecto a tales criterios, se ha pronunciado la Agencia Española, acordando el
archivo de actuaciones (E/04684/2017) e indicando a tenor literal lo siguiente:

“(…) Por ello es obligado reseñar en relación con el principio de presunción de
inocencia que, al Derecho Administrativo Sancionador, por su especialidad, le son de
aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del
orden penal, resultando clara la plena virtualidad de este principio de presunción de
inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990, considera
que el derecho a la presunción de inocencia comporta “que la sanción esté basada en
actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que
la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar
su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas
practicadas, libremente valorado por el órgano sancionador, debe traducirse en un
pronunciamiento absolutorio”. De acuerdo con este planteamiento, hay que tener en
cuenta que sólo podrán ser sancionados por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas que resulten responsables de los
mismos a título de dolo o culpa” (…) En definitiva, la aplicación del principio de
presunción de inocencia impide imputar una infracción administrativa cuando no se
haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los
hechos que motivan esta imputación. (…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/136

Por último, reseñar la Sentencia de fecha 25 de mayo de 2001, dictada en recurso
contencioso administrativo por esta Audiencia Nacional, al número 29/2000, se
pronuncia respecto a la imposición de una sanción con base en una presunción
realizada por parte de la Agencia, y dictamina que “(…)la Sala, como pasamos a
razonar, de la valoración de la prueba obrante en el expediente administrativo llega a
la conclusión que no ha quedado debidamente acreditado este hecho integrador del
tipo, es decir no se prueba que el Banco entregara al Sr... el respectivo extracto,
suscitándole este hecho concreto serias dudas, frente a la exigible certidumbre”. Y
concluye afirmando que sin negar que pudieron producirse los hechos como indica la
denunciante, tampoco puede rechazarse la posibilidad que el extracto no le fuera
entregado al marido por el Banco, sino que aquel lo obtuviera aprovechando alguna
visita al domicilio o mediante la actuación de algún familiar, dicho ello en términos de
pura hipótesis”.

En este mismo sentido se pronunció el Tribunal Superior de Justicia de Madrid en
Sentencia de 21/02/2001, en la que señala que “La única prueba de cargo, de la que la
APD infiere la responsabilidad de la recurrente, es el hecho de que fuera el ex marido
de Dña... quien suministrara al abogado dicho extracto que fue aportado al incidente
de modificación de medidas, debiendo convenirse con la recurrente que la tenencia del
extracto, a juicio de esta Sala, es una prueba indiciaria insuficiente para destruir su
presunción de inocencia pues, ciertamente, dicho extracto pudo llegar a la posesión de
D... por conductos distintos de su entrega directa por parte de la entidad bancaria, por
lo que no quedando acreditada ninguna de estas hipótesis, esta duda razonable
acerca de la forma en la que el ex marido obtuvo el extracto de la cuenta de la
denunciante ha de operar siempre en beneficio de la sancionada, procediendo, en
consecuencia, estimar su pretensión de anulación de la sanción impuesta por falta de
prueba bastante de la participación de la recurrente en la entrega del extracto bancario
a persona distinta de la titular de la cuenta”.

En definitiva, apreciando los diversos criterios que ha tenido en cuenta el organismo
competente en materia de protección de datos a la hora de llevar a cabo el archivo de
actuaciones en aquellos supuestos en los que se considera que existe falta de prueba
y en los cuales, se han seguido las líneas jurisprudenciales reseñadas, esta parte
considera que no se han protegido las garantías jurídicas que todo procedimiento debe
respetar.

E. FALTA DE FUNDAMENTACIÓN JURÍDICA

Tal y como hemos expuesto a lo largo del presente escrito, las supuestas infracciones
cometidas por mi representada, no han tenido lugar, por lo que ni se ha materializado,
ni existe posibilidad alguna de que EDP ENERGÍA haya infringido los mencionados
artículos siguiendo lo alegado por la AEPD en el Acuerdo de Inicio de Procedimiento
Sancionador.

Es preciso señalar que todo procedimiento sancionador y en su caso, la sanción
resultante, debe ser motivada, fundamentada, y aún más determinante, ha de cumplir
con el debido principio de legalidad, tipicidad. A raíz de este aspecto se trae a colación
la Sentencia del Tribunal Superior de Justicia de Cataluña, número 870/2019,
Rec:454/2016, del que extraemos lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/136

“La debida efectividad del principio de tipicidad en materia sancionadora administrativa
cuya exigencia ciertamente deriva de nuestro ordenamiento administrativo
sancionador, también en materia tributaria, como manifestación esta de las garantías
formal y material que se contienen en el principio constitucional de legalidad
sancionadora ex artículo 25.1 de la Constitución, y que antes recogía el artículo 129 de
la ya derogada Ley 30/1992, de 26 de noviembre, de régimen jurídico de las
administraciones públicas y del procedimiento administrativo común , aplicable al
presente caso supletoriamente por razones temporales (y hoy el artículo 27 de la Ley
40/2015 ), así como en este específico orden tributario el artículo 178 de la Ley
58/2003, General Tributaria, atendido el contenido implícito del mencionado precepto
constitucional ( artículo 25.1 de la Constitución ), pese a su notable laconismo
( sentencia del Tribunal Constitucional número 34/1996, de 11 de marzo ), en el que se
ha destacado la denominada garantía material del principio de legalidad (entre otras, y
ya desde la sentencia del Tribunal Constitucional 42/1987, de 7 de abril , las
sentencias del Tribunal Constitucional 3 , 11 , 12 , 100 y 101/1988, de 8 de junio , 161 ,
200 y 219/1989, de 21 de diciembre , 61/1990, de 29 de marzo , 207/1990, de 17 de
diciembre , 120 y 212/1996 , 133/1999, de 14 de julio , 142/1999, de 22 de julio , y 60 y
276/2000, de 16 de noviembre ), que se identifica con el tradicional principio de
tipicidad de las faltas y sanciones administrativas y que exige una determinación
normativa previa y cierta de la concreta conducta o conductas que por acción u
omisión se estimen constitutivas de una falta o de un ilícito administrativo, con
prohibición de cualquier interpretación analógica o extensiva in malam partem
( sentencia del Tribunal Constitucional 125/2001, de 4 de junio , con cita de las
sentencias del Tribunal Constitucional 81/1995, de 5 de junio , 34/1996, de 11 de
marzo , 64/2001, de 17 de marzo , y 113/2002, de 9 de mayo ), siendo asimismo
doctrina jurisprudencial ya bien consolidada la que enseña que en el ejercicio de su
potestad administrativa sancionadora la administración sancionadora actuante no
responde, propiamente, al ejercicio de una potestad administrativa de esencia o de
tendencia discrecional sino predominantemente reglada para la aplicación a cada caso
concreto del marco normativo sancionador preestablecido con carácter general en el
ordenamiento jurídico sancionador aplicable, lo que comporta, ya de entrada, la
exigencia de la necesaria adecuación y rigor en la calificación de los hechos
imputados y en su incardinación puntual y adecuada subsunción en el tipo infractor
legalmente definido para su corrección, de tal forma que lo contrario, ciertamente,
resultaría determinante de violación del derecho fundamental subjetivo antes ya
apuntado y a todos reconocido por el vigente texto constitucional ex artículo 25.1 de la
Constitución ( sentencias del Tribunal Constitucional 77/1983, de 3 de octubre , y
3/1988, de 21 de enero ), que por ser susceptible de amparo constitucional haría
incurrir a una eventual actuación administrativa sancionadora infractora del mismo en
el vicio de nulidad de pleno derecho antes previsto por el artículo 62.1. a ) de la
repetida Ley 30/1992 , aplicable al caso por razones temporales (hoy artículo 47.1. a )
de la Ley 39/2015)”

A mayor abundamiento, el artículo 89 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, que recoge lo
siguiente: 1. El órgano instructor resolverá la finalización del procedimiento, con
archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de
resolución, cuando en la instrucción procedimiento se ponga de manifiesto que
concurre alguna de las siguientes circunstancias:
a) La inexistencia de los hechos que pudieran constituir la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/136

b) Cuando los hechos no resulten acreditados.
c) Cuando los hechos probados no constituyan, de modo manifiesto, infracción
administrativa.
d) Cuando no exista o no se haya podido identificar a la persona o personas
responsables o bien aparezcan exentos de responsabilidad.
e) Cuando se concluyera, en cualquier momento, que ha prescrito la infracción.

En el presente supuesto, concurren tanto la a), la b) como c) motivo por el cual, no
cabría por tanto continuar con el procedimiento sancionador iniciado, debiendo
resolver en su caso el archivo de las actuaciones, petición que exponemos ante la
AEPD con carácter reiterado, ya que tal y como queda evidenciado en el presente
escrito ni se han cometido los hechos infractores, ni se fundamenta debidamente las
supuestas conductas infractoras, ni la interpretación y sanciones propuestas por la
AEPD quedan motivadas.

DECIMOTERCERO: Recibidas las alegaciones formuladas por EDP ENERGÍA, S.A.U.
al acuerdo de inicio del procedimiento de referencia, advertido que en documento
adjunto a las mismas denominado “anexos 1, 2 y 4“ se expone que “dadas las
limitaciones técnicas de la sede electrónica para la presentación del contenido de los
anexos 1, 2 y 4, estos se presentan por medio de un enlace a una carpeta”, indicando
un enlace a un sitio web y una contraseña, mediante escrito, de fecha 3 de octubre de
2020, se concede un plazo de 5 días hábiles para presentar la documentación que
consta en dicho documento en el Registro de esta Agencia a través de la Sede
Electrónica, a los efectos de que quede constancia registral de la documentación
presentada, de su procedencia y de su integridad.

Con fecha 8 de octubre de 2020, se reciben en el Registro de esta Agencia los
siguientes documentos:

Anexo 1:
- Anexo.1.a) Metodología de análisis de riegos y realización de DPIAs
- Anexo 1.b) RAT contratación EDPE
- Anexo 1.c) Evaluación de riesgos RAT- Contratación EDPE
- Anexo 1.e) Evaluaciones de impacto -Valoraciones de Riesgos
- Anexo 1.f) Evaluaciones de impacto- Informes

Anexo 2 :
- Metodología_Privacy by Design by Default de EDP
- Instrucción Operativa Privacy by Design & Privacy by Default
- Formulario PbD
- Flujograma Procedimiento Privacy By Design y Privacy by Default
-
En lo que respecta a dichos documentos:
- Se aporta una metodología de análisis de riesgos, cuyo histórico de
versiones data la versión 1.0 el 24/11/2017, indicando en las notas de
revisión que es una “versión inicial-documento de trabajo” y la versión 1.1 se
fecha el 11/05/2108 indicando las notas de revisión “revisión previa a la
aplicación del RGPD”. No consta que se haya realizado ninguna revisión
posterior. Se aportan diversos anexos, cuya fecha no consta, en concreto
estos anexos son los siguientes: 1.b) RAT contratación EDPE
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/136

- Anexo 1.c) Evaluación de riesgos RAT- Contratación EDPE
- Anexo 1.e) Evaluaciones de impacto -Valoraciones de Riesgos
- Anexo 1.f) Evaluaciones de impacto- Informes

El documento contenido en el anexo 1.b RAT, contratación EDPE, cuya fecha no
consta, incluye una finalidad de tratamiento no incluida en el Registro de actividades
de tratamiento remitidas a esta Agencia con fecha 17 de junio de 2020. En concreto
dicho tratamiento que ahora se incluye tiene el siguiente contenido:
Responsable: EDP Energía S.A.U.
Finalidad del tratamiento: “Realización de Scoring de clientes del segmento B2C previo
a la contratación”,
Descripción: “Realización de Scoring de clientes del segmento B2C previo a la
contratación de acuerdo a la deuda pendiente interna e información de ficheros de
solvencia (ASNEF).”
Categoría de los titulares de los datos: “Clientes y clientes potenciales.”
Categoría de datos personales tratados: “Datos identificativos y datos económicos.”
Base legal para la realización del tratamiento: “Satisfacción de intereses legítimos.”
Plazo de conservación de los datos personales: “5 años desde la finalización de la
relación contractual. La deuda cierta, vencida y exigible derivada de la ejecución del
contrato se mantendrá hasta su cancelación o el plazo de prescripción de las acciones
legales pertinentes de recobro.”
Cesiones de datos (destinatarios datos, diferentes a los encargados del tratamiento):
“ASNEF es corresponsable de tratamiento, según deberá recoger el acuerdo firmado
con ASNEF.”
Categorías encargados tratamiento: La casilla no tiene contenido.
Transferencia internacional de datos: No

El anexo 1.c) bajo el nombre “Evaluación de Riesgos RAT- Contratación EDPE”, cuya
fecha tampoco se refleja en el documento, contiene un análisis de riesgos, en forma
de matriz, igual al presentado en fecha 17 de junio de 2020, si bien se han añadido
dos columnas bajo el título el “tratamiento requiere PIA”, las dos tituladas “Nº de
criterios EDP-W29”, en la primera se indica un número que parece corresponderse con
su título y en la segunda se indica la necesidad de efectuar una evaluación de
impacto. En dicha matriz aparece también un nuevo tratamiento cuya finalidad es la
“Realización de Scoring de clientes del segmento B2C previo a la contratación”.

Se aportan diversos documentos titulados evaluaciones de impacto, cuya fecha
tampoco consta, estas evaluaciones de impacto son las siguientes:
-Evaluación de riesgos realización de Scoring de clientes B2C previo a la contratacion,
en el que entre otras amenazas se indican las siguientes:
-“la base que legitima el tratamiento no es adecuada, es ilícita o no se ha formulado
adecuadamente”, cuyo probabilidad se fija como alta, con un impacto calificado como
muy alto y resultando el riesgo inherente Alto. En cuanto a los controles implantados
frente a dicha amenaza se señala que “la base legal del tratamiento es satisfacer un
interés legítimo (prevención del fraude)”.
–“En el momento de la recogida de los datos no se proporciona la información mínima
prevista a la persona o no se le proporciona ninguna información.” En este supuesto
se considera que “no aplica” ni la probabilidad ni el impacto, ni existe un riesgo
inherente, siendo los controles la “cláusula de Protección de datos incluida en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/136

contrato firmado con el cliente con toda la información requerida por el RGPD” y la
“información facilitada al cliente previamente a la realización del proceso de scoring”

-Evaluación de canal leads a convertir por telemarketing.
-Evaluación de riesgos Telemarketing upselling y abandonos.
-Evaluación de riesgos canal CAC a clientes o clientes potenciales (inbound).
-Evaluación Canal OOCC clientes y clientes potenciales.
-Evaluación de riesgos canal tiendas ajenas para venta a clientes potenciales.
-Evaluación Fuerzas de Venta Externas a través de Stands en Ferias y Centros
Comerciales.
En todas estas evaluaciones de impacto se contemplan como amenazas entre otras
muchas, las relativas a que “la base que legitima el tratamiento no es adecuada, es
ilícita o no se ha formulado adecuadamente” y “en el momento de la recogida de los
datos no se proporciona la información mínima prevista a la persona o no se le
proporciona ninguna información” En ambos casos se valora la probabilidad como alta,
el impacto como muy alto y el riesgo inherente alto. Se mencionan los controles
adoptados, referidos a la base legitimadora del tratamiento en el primero de los casos
y a la “cláusula de Protección de datos incluida en el contrato firmado con el cliente
con toda la información requerida por el RGPD” en el segundo. Se describen entre los
controles en curso para ambas amenazas en todos los canales, excepto en el canal
OOCC, “la implantación de un nuevo procedimiento de contratación a través de
representante, incorporando el envío de un mensaje SMS/Email a través del cual se
facilita la información básica necesaria en materia de protección de datos al titular del
contrato.”
No se expresa la fecha en que se incorporaron las actuaciones en curso a las
correspondientes evaluaciones de impacto.

DECIMOCUARTO: Con fecha 11/03/2021, se emitió propuesta de resolución en el
sentido siguiente:

PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a la entidad EDP ENERGÍA, S.A.U., por una infracción del artículo 25 del
RGPD, tipificada en el artículo 83.4.a) y calificada como grave a efectos de
prescripción en el artículo 73.d) de la LOPDGDD, con una multa por importe de
500.000 euros (quinientos mil euros).

SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a la entidad EDP ENERGÍA, S.A.U., por una infracción del artículo 13 RGPD,
tipificada en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el
artículo 74.a) de la LOPDGDD, con una multa por importe de 1.000.000 euros (un
millón de euros).

TERCERO: Que, por falta de evidencias, en aplicación del principio de presunción de
inocencia, se declare no imputable a EDP ENERGÍA, S.A.U., la vulneración de lo
establecido en los artículos 6 y 22 del RGPD.

DECIMOQUINTO: Notificada a la entidad EDP ENERGÍA, S.A.U. la citada propuesta
de resolución, dicha entidad presentó con fecha 15/03/2021 escrito en el que se
solicitaba ampliación de plazo para formular alegaciones. Concedida la ampliación de
plazo, con fecha 08/04/2021 se recibió en esta Agencia escrito de alegaciones, en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/136

que se solicita que se acuerde el archivo del procedimiento sancionador o,
subsidiariamente, la reducción sustancial de cada sanción propuesta a su cuantía
mínima o su substitución incluso, por el apercibimiento, en su caso. Basa sus
peticiones en las consideraciones que resumidamente se exponen a continuación:

ADQUISICIÓN DE LA SOCIEDAD OBJETO DE EXPEDIENTE SANCIONADOR

Con carácter preliminar y con fines aclaratorios, EDP ENERGÍA pone en conocimiento
de esta Agencia que con fecha 1 de diciembre de 2020, Total Gaz Electricité Holdings
France (“Grupo Total”) adquirió el 100% de las acciones de EDP ENERGÍA. Como
consecuencia de lo anterior, se ha llevado a cabo la migración de la página web
***URL.1 a un nuevo dominio transitorio (www.edpresidencialbytotal.es) y se han
modificado las cuentas de correo electrónico que anteriormente estaban bajo el
dominio @edpenergia.es.

PRIMERA.- PRESUNTO INCUMPLIMIENTO DEL ARTÍCULO 25 DEL RGPD:

(i) El proceso de contratación por medio de representante es conforme a la
normativa:

Se reiteran aquí los argumentos expuestos en las alegaciones a la propuesta de
resolución, relativas a la libertad de forma del contrato de mandato conforme a lo
previsto en el código civil, en particular se insiste en que “En este supuesto, no parece
que tan amplia libertad de forma sea compatible con la obtención de una evidencia de
la existencia de la representación o el mandato, más allá de las manifestaciones del
mandatario, amparada en la buena fe contractual. Igualmente, resulta poco
comprensible que se requiera de un consentimiento separado para el tratamiento de
sus datos o una confirmación del encargo por parte del mandante, dado que esto
implicaría desnaturalizar la representación, por cuanto sería absurdo que quien es
designado para la celebración de un contrato en favor de un tercero no pueda facilitar
los datos de la persona por cuya cuenta actúa, o que sea necesaria la confirmación
separada de ésta para autorizar dicha comunicación, puesto que la necesidad de
dirigirse directamente al representado haría inútil la intervención del representante,
pues la misma carecería de sentido. (el subrayado es de la propia entidad que formula
las alegaciones)

Ciertamente, el artículo 1725 del Código Civil prevé que el tercero pueda solicitar al
mandatario que le dé conocimiento de sus poderes para determinar si la contratación
está dentro del perímetro de los mismos o si está asumiendo el riesgo de que el
mandante no ratifique a posteriori la actuación del mandatario. Pero esta regulación se
traduce en una carga para el mandatario, no para el tercero, puesto que los intereses
que se trata de salvaguardar son los de éste, y no los del mandatario ni tampoco los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/136

del mandante. Por lo tanto, para el tercero resulta facultativo pedir al mandatario que le
dé conocimiento de los poderes con que dice obrar.

En la visión que maneja la AEPD en la Propuesta de Resolución, esa obligación
estaría encaminada, sin embargo, no a proteger el interés del tercero en cuanto al
objeto de la contratación hecha por el mandatario, sino a preservar el interés del
mandante en lo relativo a la legitimación del mandatario para expresar la voluntad del
mandante a propósito del tratamiento de sus datos personales por parte del tercero.
Sin embargo, esa consecuencia no se puede extraer de la regulación del Código Civil
en materia del contrato de mandato, en la que –como acabamos de ver– el interés a
proteger con la exhibición de poderes del mandatario es estrictamente el del tercero, y
no el del mandante, el cual, en el esquema del Código Civil, queda salvaguardado a
través de la facultad de ratificación, cuyo otorgamiento o no queda siempre en manos
del mandante.

De manera que los riesgos a los que alude la Propuesta de Resolución (“se pueden
generar diversos riesgos pudiendo mencionarse, a título de ejemplo, el consistente en
un tratamiento de datos del representado sin legitimación, el riesgo de suplantación de
identidad o los perjuicios económicos o de otro tipo que se puedan ocasionar al
interesado”) no son tales: en caso de que el mandatario se haya extralimitado en el
ejercicio del mandato, el mandante no estará vinculado por esa actuación, salvo
ratificación posterior suya, de donde ningún perjuicio podrá realmente sufrir a menos
que acepte – expresa o tácitamente– lo hecho por el mandatario a posteriori

A partir de aquí, y en tanto potestad facultativa del tercero que contrata con el
mandatario, si y cómo ejercite el tercero esa facultad depende de su voluntad y de las
circunstancias de la contratación. En este sentido, el dato de que en la contratación en
el canal de oficinas comerciales propias EDP ENERGÍA requiera al representante una
acreditación de su condición de tal, no prueba absolutamente nada, a diferencia de lo
que dice la Propuesta de Resolución. Dado que EDP ENERGÍA, como tercero que
contrata con el autorizado, goza de la facultad de realizar o no esa comprobación, el
que la realice en unas ocasiones y no en otras, o el que no la realice igual en todos los
canales de contratación, no es fuente de ninguna obligación –que no viene impuesta ni
por ley ni por contrato– sino simple manifestación del ejercicio de un permiso.

A nivel doctrinal y jurisprudencial está admitido el ejercicio de derechos de la
personalidad a través de la representación voluntaria, en particular cuando se trata de
articular la autorización ad hoc para actos de intromisión concretos. Esa posibilidad se
debe entender reforzada cuando el mandato para el ejercicio de un derecho de la
personalidad está ligado al apoderamiento para celebrar un contrato, del cual dicho
ejercicio es un elemento condicionante o complementario. Así, el agente o
representante de un artista mandatado para celebrar en nombre de su representado
un contrato de arrendamiento de servicios para actuar en una sala de conciertos o
grabar un disco, aparece comúnmente mandatado para autorizar al organizador del
espectáculo o a la compañía discográfica para el uso de la voz e imagen del artista.

Análogamente, los autorizados para contratar con EDP ENERGÍA en nombre de otra
persona, aparecen en primer lugar como sujetos mandatados para la concertación del
contrato de suministro, y de manera concomitante, porque se trata de un factor
inherente a la propia contratación, lo están también para autorizar el empleo y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/136

tratamiento de los datos personales de sus representados. En este sentido, resulta
necesario destacar que no cabe duda de que el tratamiento de los datos del
representado que sea necesario para la ejecución del contrato del que el representado
pasa a ser parte, debe considerarse un tratamiento plenamente lícito a la luz del
artículo 6.1.b) del RGPD.

Pero además, en tanto cabe establecer que el mandatario goza de legitimación para
tomar todas las decisiones pertinentes en el marco del proceso de contratación para el
que ha sido apoderado, el consentimiento que dicho mandatario preste sobre el
tratamiento de datos del representado y que EDP ENERGÍA recabe para uno o varios
fines específicos en el marco del proceso de contratación, permite considerar
igualmente lícito el tratamiento de los datos así obtenidos ex artículo 6.1.a) del RGPD
o cualquier otra base de legitimación. Y es que, quien contrata en nombre de otro –una
vez asumido que actúa en condición de tal– debe poder prestar los mismos
consentimientos en materia de datos personales que el propio interesado si fuera éste
quien celebrara la contratación, y esto tanto si el contrato se celebra in situ en una
oficina comercial como si se celebra por vía telefónica.

Debe concluirse, en contra de lo que señala la AEPD en la Propuesta de Resolución,
que:
(i) EDP ENERGÍA no está obligada a efectuar con los terceros autorizados
que contratan a través del canal telefónico o fuerzas de venta externas
ninguna comprobación sobre la existencia y alcance de su mandato, ni a
fortiori esa comprobación tiene por qué ser análoga a la que eventualmente
realice con los que contratan a través de oficinas comerciales propias;
(ii) (ii) en el poder para contratar el servicio a través de tercero autorizado
reside el poder para prestar los consentimientos inherentes al proceso de
contratación, incluidos los relativos al tratamiento de datos personales;
(iii) y (iii) no cabe poner en cuestión la licitud del tratamiento por parte de EDP
ENERGÍA de los datos personales de quienes contratan con ella a través
de un tercero autorizado, sea a través de oficinas comerciales propias o por
medio del canal telefónico o a través de fuerzas de venta externas, por el
simple hecho de haber contratado a través de un tercero autorizado, en
tanto que la base jurídica del tratamiento de los datos personales de una
persona que actúa por medio de representación debería ser la misma que
cuando actúa en su propio nombre.

(ii) EDP ENERGÍA ha evaluado correctamente los riesgos reales e implementado las
medidas mitigadoras adecuadas.

Reitera que las evaluaciones de riesgos aportadas en el presente procedimiento son
acordes a la normativa de protección de datos y a las guías de la AEPD, vigentes en el
momento de realización de los análisis, e identifican los riesgos reales aplicables a los
distintos procesos de contratación.

La AEPD, en su Propuesta de Resolución, alude a unos riesgos hipotéticos o teóricos
que cita, además, a mero título ejemplificativo y de los que no ofrece mayor detalle o
explicación.
Como se ha explicado en el punto anterior y en las Alegaciones al Acuerdo de Inicio,
estos riesgos son inexistentes o carecen de una entidad suficiente para su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/136

consideración. Así, puede afirmarse frente al listado contenido en la Propuesta de
Resolución–sin carácter exhaustivo puesto que la lista de la AEPD es a mero título
ejemplificativo–, entre otros: (i) que no existe un riesgo de suplantación de identidad en
tanto que existe representación y mandato, (ii) que no existe perjuicio económico para
los interesados en tanto que el coste lo asume EDP ENERGÍA en todo caso; o (iii) que
no existe riesgo de falta de base de legitimación en tanto que EDP ENERGÍA puede
asumir, conforme a la legislación civil antes mencionada y de acuerdo con el marco
jurídico aplicable a estas contrataciones, la existencia de autorización al mandatario
para el tratamiento de datos y (iv) que, en caso de extralimitación, los intereses del
mandante están salvaguardados por su derecho a ratificar o no lo actuado por el
mandatario fuera de los límites del mandato.

Por este motivo, EDP ENERGÍA ha evaluado correctamente los riesgos reales propios
de los distintos canales de contratación de conformidad con un análisis jurídico sólido
-y respaldado doctrinal y jurisprudencialmente- de la figura del mandato en el
ordenamiento jurídico español y ha implementado las medidas mitigadoras adecuadas
en relación con tales riesgos. El análisis de riesgos efectuado es, por tanto, coherente
y fue realizado conforme al instituto jurídico del mandato civil y su jurisprudencia.

En la medida que la coherencia del análisis efectuado ha quedado acreditada, la
AEPD deberá valorar el análisis conforme a estos criterios civiles consolidados o, si
por el contrario la AEPD considera que debe adoptarse un criterio jurídico distinto y
contrario al de la normativa civil y su jurisprudencia asentada, deberá fundamentar de
alguna manera su base jurídica con el fin de permitir a EDP ENERGÍA su comprensión
y defensa. En todo caso, la interpretación del mandato por parte de EDP ENERGÍA
conforme a la normativa, jurisprudencia y doctrina civilista -incluida la relativa a
derechos de la personalidad- debe interpretarse hecha de buena fe y excluye cualquier
culpabilidad por su parte.

(iii) La contratación por medio de representante constituye una proporción muy
minoritaria del total de contrataciones que realiza EDP ENERGÍA

Es imprescindible señalar que la contratación por medio de representante constituye
una parte minoritaria del total de contrataciones que realiza EDP ENERGÍA. En
concreto, del total de contrataciones que EDP ENERGÍA realizó en 2019, menos del
16% corresponde a contrataciones por medio de representantes de las cuales en
menos del 1,7% el representante y el representado no tendrían una relación de
parentesco.

Por ello, cuando la AEPD manifiesta que el procedimiento de contratación de EDP
ENERGÍA vulnera el principio de protección de datos desde el diseño, lo hace
erróneamente, dicho sea en estrictos términos de defensa, como si el procedimiento
de contratación en su totalidad vulnerara dicho principio. Más aún, a la hora de
cuantificar la sanción, la AEPD se refiere al volumen de facturación global de EDP
ENERGÍA para cuantificarla, cuando debería tener en cuenta exclusivamente, y en su
caso, los datos de facturación (volumen) generados por el eventual incumplimiento
alegado -relativo exclusivamente a la contratación por representación-.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/136

Llama la atención el hecho de que el volumen de negocio que se tome en
consideración por esta Agencia sea el del año 2018, cuando debería considerar el
volumen de negocio del año 2019, por ser éste el “ejercicio financiero anterior”. De
hecho, para otros temas, la Agencia sí tiene en cuenta los datos de 2019 (por ejemplo
para el número de clientes, que se refleja también en la página 35 de la Propuesta) y,
sin embargo, para el tema de la cifra de negocios, considera el 2018, en claro perjuicio
de mi representada, puesto que la cifra del 2018 es de más del doble de la del 2019
(en 2018 la cifra de negocios fue de 1.236.124.000 euros, mientras que en 2019 fue
sólo de 589.929.000 euros).

Téngase en cuenta, además, que, en todo caso, la AEPD podría haber invocado el
artículo 83.2.k) del RGPD y el artículo 76.2.(c) de la LOPDGDD (“los beneficios
obtenidos como consecuencia de la comisión de la infracción”) para graduar la sanción
propuesta. Por tanto, en el hipotético y eventual caso de que se considerara infringido
el artículo 25 del RGPD, el máximo volumen de negocio obtenido por EDP ENERGÍA
a tener en cuenta debiera ser 7.650.0002 euros aproximadamente, que es la cuantía
obtenida “como consecuencia de la [eventual] infracción”, esto es, en la contratación
por representación, y no en el global de contratación. En este sentido, el volumen de
negocio anual de la contratación a través de representante supondría un 0,11%
(aproximadamente) del volumen de negocio total anual de toda la cartera de clientes
de EDP ENERGÍA.

Asimismo, como bien conoce la AEPD, de las citadas ocho (8) reclamaciones,
únicamente existe un precedente sancionador a esta entidad, debiendo tener en
consideración que la AEPD incluye en su escrito un procedimiento que todavía no ha
sido resuelto de forma firme (PS/00109/2019), en la medida en que el mismo está
siendo objeto del correspondiente recurso contencioso- administrativo ante la Sala de
lo contencioso- administrativo de la PS/00236/2020 Escrito de alegaciones a la
Propuesta de Resolución 12/37 Audiencia Nacional. Debe mencionarse además que
más aún cuando, como se le ha expuesto reiteradamente a la AEPD por parte de EDP
ENERGÍA, en el citado caso se produjo un evidente aprovechamiento de la buena fe
contractual de esta entidad, quien asumió el coste de unos servicios que habían sido
disfrutados por el cliente, quien tras meses de uso y pago de los mismos, alegó que no
los había contratado.

Que la propuesta de sanción de la AEPD de quinientos mil (500.000) euros ha sido
realizada en la Propuesta de Resolución erróneamente por atender a un factor no
previsto en la normativa (el volumen de negocio y la condición de gran empresa) y por
tener en cuenta el volumen de contratación y los beneficios globales de EDP
ENERGIA -que incluyen tanto contratación directa (mayoritaria) como contratación por
representación (minoritario)-, que nada tiene que ver “los beneficios obtenidos como
consecuencia de la comisión de la infracción” a los que se refiere expresamente el
artículo 83.2.k) del RGPD y el artículo 76.2.(c) de la LOPDGDD. Por tanto, de forma
subsidiaria y en el hipotético caso de que la AEPD cuestione la validez del mandato
civil para los procedimientos de contratación y declare cometida la infracción, la
cuantificación de la eventual sanción debería corregirse significativamente para tener
en cuenta el volumen real de negocio generado por la contratación por representación
exclusivamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/136

En un procedimiento administrativo de naturaleza sancionadora, contando como hacía
la AEPD con criterios cuantificadores objetivos y suficientes en relación con el volumen
(marginal) que supone la representación, es especialmente relevante el cumplimiento
de los principios de proporcionalidad de la sanción y legalidad y debería, por tanto,
haberse tenido en cuenta: (i) Que la parte que corresponde a los procedimientos de
contratación por representación es una parte pequeña y muy limitada del
procedimiento global de contratación de EDP ENERGÍA, y, por ello, debe tenerse en
cuenta la escasa magnitud de la contratación que tiene el uso de este tipo de
contratación en EDP ENERGÍA , siendo un tipo de contratación minoritario. Además,
tal y como consta en la información aportada en el presente procedimiento, existen
únicamente ocho (8) reclamaciones ante la Agencia durante los años 2018-2019
(respecto de un total de 105.606 contrataciones realizadas por medio de
representante), lo cual refleja la escasa relevancia y materialización de los riesgos
atribuidos por la AEPD al proceso de contratación implantado por EDP ENERGÍA

El incumplimiento del principio de proporcionalidad de la sanción que propone la
Propuesta de Resolución -basada en premisas erróneas-, siendo como es un principio
constitucional y básico en el derecho penal y en el derecho administrativo sancionador,
genera una indefensión a EDP ENERGÍA que debe ser corregida. La enorme
diferencia entre los 1.236.124.000 euros tomados como referencia por esta Agencia, o
los 589.929.000 euros que es la cifra que debería haber tenido en cuenta la Agencia
(por ser el volumen de negocio del año 2019), y los 7.650.000 euros de volumen de
negocio aproximado obtenidos por EDP ENERGÍA en el año 2019 como consecuencia
de la contratación por representación deberían tener un impacto significativo -reductor-
de una eventual sanción respecto de la contenida en la Propuesta.

En último lugar y sin perjuicio de lo anterior, pese a que EDP ENERGÍA no considera
que su actuación merezca reproche jurídico alguno, en atención a las sugerencias
manifestadas por la AEPD, EDP ENERGÍA informa a la AEPD de que ha procedido a
reforzar el proceso de contratación por medio de representante en línea con el
protocolo que ya se aportó a la AEPD en fecha 16 de julio de 2020. Este protocolo,
que se presentó a la AEPD de forma voluntaria y antes del inicio del presente
procedimiento sancionador, tenía como finalidad precisamente colaborar con esta
Agencia para alcanzar un procedimiento acordado en materia de representación y que
satisficiera las propuestas que pudiera tener la AEPD. En las Alegaciones al Acuerdo
de Inicio, EDP ENERGÍA respondió además a las dudas planteadas por la AEPD en
cuanto a su contenido e implementación y confirmó que se trata de un procedimiento
con doble verificación por SMS y en cumplimiento de los mejores estándares del
mercado. A estos efectos, la AEPD debe tener en cuenta:

(i) que EDP ENERGÍA contactó proactivamente en julio de 2020, sin éxito, con la
AEPD para presentar un nuevo protocolo que proponía cambios en el procedimiento
de contratación por representación. Lejos de poder considerarse, como hace la
Propuesta de Resolución, negativamente y en contra de EDP ENERGÍA, esa
proactividad como signo de reconocimiento de culpa -los argumentos de licitud ya han
sido manifestados anteriormente-, la propuesta de cooperación con la AEPD debería
valorarse como un signo de buena fe y del firme compromiso de EDP ENERGÍA con el
cumplimiento de la normativa de protección de datos y la mejora de sus procesos así
como una circunstancia atenuante en la graduación de la sanción (artículo 83.2.f) del
RGPD);
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/136

(ii) que pese a no obtener respuesta distinta de la apertura del presente procedimiento,
EDP ENERGÍA, a la luz de los comentarios de la AEPD en el Acuerdo de Inicio y la
Propuesta de Resolución, ha eliminado de su procedimiento de contratación por
representación la posibilidad de solicitar consentimientos para finalidades de marketing
y comerciales a los que se refiere la AEPD en las páginas 107, 108 y 109 de la
Propuesta. Se adjuntan como Documentos nº 1 y nº 2 ejemplo de contrato y script de
locución para el canal telefónico que evidencian esta eliminación. En la medida que
EDP ENERGÍA ha adoptado medidas para ajustar su procedimiento a las propuestas
de la AEPD, esta circunstancia, conforme al artículo 83.2.c) del RGPD, también debe
ser considerada como una circunstancia atenuante para la graduación de una eventual
sanción, y

(iii) que EDP ENERGÍA confirma a la AEPD que el nuevo protocolo -con el contenido
comunicado en julio de 2020- está ya implantado para todos los canales de
contratación, desde el pasado mes de enero. Se adjunta de nuevo a este escrito como
Documento nº 3, el protocolo de contratación por representante mencionado.

En el documento número 1 bajo el título soporte duradero, una empresa en calidad de
tercero de confianza certifica que los datos consignados en el documento son los que
constan en su registro de procesos y comunicaciones electrónicas. Tales datos son el
envío de un e-mail con una URL asociada, en relación con una contratación,
informando al destinatario que una persona ha realizado en su nombre la contratación
relacionada con su suministro de energía/servicios. Se aporta como documento
adjunto el contrato, en el que no aparecen las referencias a consentimientos para el
envío de comunicaciones comerciales ni para la realización de perfilados, y las
condiciones generales de contratación.

El documento 2, tiene el siguiente contenido

Alta (representante) ML - Castellano

"[XXX] vamos a grabar su conformidad. Son las [hh:mm] del día [dd] de [mm] de
[20XX]. [nombre y apellidos] con DNI [nº DNI], como
[marido/mujer/hijo/apoderado/representante] y en representación del titular [nombre y
apellidos / razón social] con DNI/CIF [nº DNI/CIF] teléfono [teléfono] y correo
electrónico [email] acepta la oferta de EDP Residencial para la dirección [dirección de
suministro] que consiste en [condiciones del plan -dto en la luz-] para [CUPS LUZ:
ES…] sobre el precio EDP Residencial vigente de electricidad [precio de potencia
(€/kW mes) y precio término energía (€/kWh)] y/o [condiciones del plan -dto en gas]
para [CUPS GAS: ES…] y precio EDP Residencial vigente de gas [precio término
disponibilidad (€/mes) y precio término energía (€/kWh)]; y/o Funciona [precio anual
del servicio, condiciones del plan promoción funciona].
[Si no se elige la fecha de cobro] La forma de pago escogida es [domiciliación
bancaria en su cuenta actual/en la cuenta...] y se pasará al cobro en la fecha indicada
en la factura.
[Si se elige la fecha de cobro] La forma de pago escogida es [domiciliación bancaria
en su cuenta actual/en la cuenta...] y se pasará al cobro en una fecha concreta, los
días [DD] del mes. En ese caso el periodo de pago podrá ser inferior o superior a los
20 días establecidos en la normativa".
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/136

En nombre de su representado y tras superar un análisis del riesgo de la operación,
haremos las gestiones necesarias para activar los contratos de acceso, momento a
partir del cual entrará en vigor el nuevo contrato..
El/los contrato/s no tiene/n permanencia y tendrá/n una duración de un año,
prorrogable por igual periodo salvo denuncia con antelación de 15 días. ¿Está
conforme con la anterior información y condiciones del/los contrato/s? [Sí/Vale].
Muchas gracias.

En unos días, su representado recibirá el contrato (incluyendo documento de
desistimiento) por duplicado, de la que solo tendrá que devolvernos firmada una de las
copias en el sobre autofranqueo, no necesita sello, que le adjuntaremos.

Su representado dispone de 14 días naturales para ejercer su derecho de
desistimiento. No obstante, si usted nos lo solicita, podemos iniciar ahora los trámites.
En ese caso, si posteriormente desistiera del contrato, deberá abonar el importe
correspondiente al periodo de suministro prestado. ¿Desea que su contratación se
tramite de forma inmediata? [SÍ/NO]

Con la entrada en vigor del contrato, su representado recibirá la factura de EDP
Residencial con todas nuestras ventajas.

Sus datos personales y los de su representado podrán ser tratados por EDP
Residencial para la gestión de sus contratos, prevención de fraude, realización de
perfiles basados en información de cliente y EDP Residencial, envío de
comunicaciones personalizadas sobre productos o servicios relacionados, así como
participar en sorteos, promociones y encuestas de calidad, pudiendo oponerse en
cualquier momento.

[Leer solo a personas jurídicas que llaman en representación de un negocio] Además,
para que podamos asesorarle con las mejores propuestas: • ¿Nos permite presentarle
a su representado ofertas relacionadas con la energía tras la finalización del contrato,
o remitirle información de productos y servicios no energéticos, propios de Empresas
Colaboradoras? [SÍ/NO] • ¿Nos permite completar el perfil comercial de su
representado con información proporcionada por terceros, para enviarle propuestas
personalizadas? [SÍ/NO]

En breve, los técnicos de la Distribuidora se pondrán en contacto con Ud [recuerde
que debe entregarles el Certificado de Instalación Individual de Gas, cuando pasen a
realizar el alta]. [Altas Gas] Por su seguridad, le recordamos la obligación legal de
colaborar con su Compañía Distribuidora, facilitando el acceso a sus instalaciones.
Esta solicitud ha sido registrada con el código [indicamos el código]"

TERCERA.- PRESUNTO INCUMPLIMIENTO DEL ARTÍCULO 13 DEL RGPD

(i) Respecto de la información aportada en el Canal CAC Inbound.

Señala que proporciona la información relativa al tratamiento de los datos personales a
través de un sistema basado en diversas capas. Así reitera que en todas las llamadas
entrantes se reproduce automáticamente una locución que informa de lo siguiente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/136

“Esta llamada puede ser grabada. Los datos que nos proporcione serán tratados por
EDP Energía, S.A.U. y/o EDP Comercializadora, S.A.U. para la gestión de su solicitud
o consulta. Puede ejercitar los derechos de acceso, rectificación, supresión, oposición,
limitación y portabilidad en cualquier momento. Consulte la Política de Privacidad en
nuestra web edpenergia.es o pulse 0”

Señala que se ha actualizado en la locución la dirección que se facilita a los usuarios,
indicando actualmente edp-residencialbytotal.es/privacidad, de forma que, si el usuario
escribe esa dirección en el navegador, accede -directamente y de forma sencilla- a la
información relativa a protección de datos.

El interesado puede consultar la segunda capa a través de la política de privacidad de
la página web o pulsando 0. En tal caso se reproduce una locución cuyo contenido es
el siguiente:

“La utilización de este CANAL TELEFONICO no obliga al usuario a facilitar ninguna información
sobre sí mismo. Sin embargo, para utilizar ciertos servicios o acceder a determinados
contenidos, los usuarios deberán proporcionar previamente algunos datos de carácter personal.
En el caso de que el usuario facilite información de carácter personal, le informamos de que los
datos serán PS/00037/2020 Escrito de alegaciones a la Propuesta de Resolución 15/37
tratados por EDP Energía, S.A.U. y EDP Comercializadora, S.A.U., con domicilio social en
Oviedo, Plaza del Fresno 2, 33007 y NIF A33543547 y A95000295 respectivamente, en
adelante “EDP”, como responsables del tratamiento, según lo establecido por el Reglamento
General de Protección de Datos ((UE) 2016/679), en adelante “RGPD”, y su normativa de
desarrollo.

En concreto, sus datos podrán ser tratados, cuando el usuario así lo solicite, para gestionar la
atención y seguimiento de las solicitudes y consultas dirigidas a través del sitio web, así como
para la realización de encuestas y la participación en sorteos, juegos y promociones.

Los datos solicitados serán de carácter obligatorio y limitados a los necesarios para proceder a
la prestación y/o gestión del servicio solicitado, lo que le será convenientemente informado en
el momento de la recogida de sus datos de carácter personal. En caso de no facilitarlos o no
facilitarlos correctamente, no se le podrá prestar el servicio.
En estos supuestos, el usuario garantiza que los datos personales facilitados son veraces y se
hace responsable de comunicar cualquier modificación de los mismos.

En el caso de las gestiones tramitadas a través del CANAL TELEFONICO y el registro en el
mismo, los tratamientos de datos realizados se fundamentan en la relación jurídica derivada de
su solicitud.

El tratamiento de datos para la realización de encuestas se basa en el interés legítimo de EDP
a fin de mejorar la calidad de los servicios prestados a los clientes y/o usuarios, pudiendo
oponerse a dichos tratamientos en cualquier momento, sin que esto afecte a la licitud de los
tratamientos efectuados anteriormente.

En ningún caso podrán incluirse en los formularios contenidos en el CANAL TELEFONICO
datos de carácter personal correspondientes a terceras personas, salvo que el solicitante
hubiese recabado con carácter previo su consentimiento en los términos exigidos por el artículo
7 del RGPD, respondiendo con carácter exclusivo del incumplimiento de esta obligación y
cualquier otra en materia de datos de carácter personal.

Los datos personales de los usuarios registrados en el sitio web podrán ser cedidos a las
Administraciones Públicas que por ley corresponda, a otras empresas del grupo empresarial
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/136

para fines administrativos internos, y a los proveedores del responsable del tratamiento
necesarios para el adecuado cumplimiento de las obligaciones contractuales.

Los datos personales serán conservados durante la vigencia de su contrato de suministro con
EDP, en el resto de casos, durante el tiempo necesario para contestar a sus solicitudes o para
analizar el contenido de sus respuestas a las encuestas. Una vez finalizada la relación
contractual, contestadas sus solicitudes o analizadas sus respuestas, según corresponda en
cada caso, sus datos personales serán borrados, manteniéndose el resto de información
anonimizada únicamente a efectos estadísticos. Sin perjuicio de lo anterior, los datos podrán
conservarse durante el plazo establecido para cumplir con las obligaciones legales de
mantenimiento de la información y, como máximo, durante el plazo de prescripción de las
acciones legales correspondientes, debiendo mantenerse los datos bloqueados durante el
mencionado plazo de prescripción. Superado ese periodo, los datos serán suprimidos.

En aplicación de lo establecido en el artículo 32 del RGPD, EDP se compromete a cumplir las
obligaciones de seguridad de aquellos datos facilitados por los usuarios, procurando establecer
todos los medios técnicos a su alcance para evitar la pérdida, mal uso, alteración, acceso no
autorizado y robo de los datos que el usuario facilite a través del mismo, habida cuenta del
estado de la tecnología, la naturaleza de los datos facilitados y los riesgos a los que puedan
estar expuestos. Sin perjuicio de lo anterior, el usuario debe ser consciente de que las medidas
de seguridad en el CANAL TELEFONICO no son inexpugnables.

EDP tratará los datos del usuario de forma confidencial, en todo momento, guardando el
preceptivo deber de secreto sobre los mismos, de conformidad con lo previsto en la normativa
de aplicación.

El usuario puede ejercitar sus derechos de acceso, rectificación, supresión, oposición,
limitación y portabilidad, así como el de revocación de los consentimientos otorgados
previamente, en los términos establecidos legalmente, comunicándolo por escrito a EDP, a la
siguiente dirección: Canal de Comunicación LOPD, Plaza del Fresno, nº2, 33007 Oviedo.
Asimismo, puede ejercitar dichos derechos enviando un correo electrónico con sus datos
personales a ***EMAIL.2. En ambos casos se deberá adjuntar una fotocopia del DNI del titular
o documento que acredite su identidad.

Igualmente, podrá ponerse en contacto con el Delegado de Protección de Datos de EDP, en la
siguiente dirección postal: Plaza del Fresno, 2 33007 Oviedo o en el correo electrónico
***EMAIL.1, en el caso de que entienda vulnerado alguno de sus derechos relacionados con la
protección de datos, o en su caso, interponer una reclamación ante la Agencia Española de
Protección de Datos en la dirección Calle de Jorge Juan, 6, 28001 Madrid".

En el proceso de contratación, se vuelve a informar de lo siguiente: “Sus datos
personales y los de su representado serán tratados por EDP Comercializadora SAU y
EDP Energía SAU para la gestión de sus contratos, prevención de fraude, realización
de perfiles basados en información del cliente y de EDP, así como la realización de
comunicaciones personalizadas sobre productos o servicios directamente relacionados
con sus contratos, pudiendo en cualquier momento oponerse a las mismas”.

Por tanto, no cabe reprochar una falta de información a los interesados en las
llamadas entrantes en tanto que la información referida en la primera capa informativa
(i.e., la que se proporciona al inicio de cada llamada) cumple con la información
necesaria del artículo 11 de la LOPDGDD (esto es, identidad del responsable, fines de
tratamiento y posibilidad de ejercitar los derechos) y se facilita un medio directo y
sencillo para acceder al resto de la información (accediendo a la página web o
pulsando 0). Es importante destacar que la locución de la primera capa informativa se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/136

reproduce automáticamente al inicio de cada una de las llamadas entrantes y, por
tanto, es de obligada escucha por todos los interesados que realizan una llamada. Por
este motivo, todos los interesados antes de llegar a la contratación ya han sido
informados sobre la posibilidad de ejercer sus derechos y la manera de acceder al
resto de información sobre el tratamiento de sus datos. Asimismo, antes de la
contratación, EDP ENERGÍA recuerda a los interesados -a través de una segunda
locución- parte de la información básica en protección de datos.

Conforme al artículo 13.4 del RGPD, la obligación de informar no resulta de aplicación
en la medida en que el interesado ya disponga de la información; en el caso que nos
ocupa, teniendo en cuenta que la locución inicial se reproduce de manera automática
en cada llamada, queda suficientemente acreditado que cualquier interesado que se
pone en contacto con EDP ENERGÍA a través del Canal CAC Inbound recibe la
información relativa a protección de datos personales. En este sentido, el Grupo del
Artículo 29 (actualmente conocido como Comité Europeo de Protección de Datos)
indica en sus Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/67
(“Directrices de Transparencia”) que deberá entenderse que el artículo 13.4 del RGPD
resulta de aplicación en aquellos casos en los que la información hubiese sido
proporcionada, por ejemplo, en los seis meses anteriores. En lo que se refiere al Canal
CAC Inbound, no sólo habría pasado un tiempo claramente inferior a 6 meses sino que
el lapso de tiempo puede medirse en minutos, por lo que es manifiesto que el
interesado sabe, conoce y recuerda perfectamente la información sobre protección de
datos sin que sea necesario reiterarle esta información

(ii) Respecto de la información aportada en los canales de Telemarketing y
Leads

Señala que esta Agencia cuestiona el medio para acceder a la segunda capa
informativa (i.e., las Condiciones Generales disponibles en el sitio web
edpenergia.es) sea “sencillo e inmediato”

Señala que EDP ENERGÍA ha acreditado en el presente procedimiento lo
siguiente:
• En primer lugar, la información sobre protección de datos (i) está claramente
identificada dentro de las condiciones generales de contratación de EDP ENERGÍA
(en el apartado 16 y titulado LOPD) y (ii) ocupa en extensión una de las cuatro
páginas del documento, por lo que su localización no tiene pérdida para el
interesado.

Informa a esta Agencia de que ha creado un documento separado que contiene,
exclusivamente, la información de protección de datos de las condiciones
generales de contratación, el cual es fácilmente accesible a través de la propia
página web y en siguiente dirección: ***URL.5; y que asimismo, las condiciones
generales de contratación continúan incluyendo la cláusula relativa al tratamiento
de datos personales, de modo que el interesado dispone de diversos medios a
través de los cuales podrá acceder a la información de manera sencilla.

• En segundo lugar, alega que la manera de facilitar la información sobre la
segunda capa informativa puede ser diversa y, como tal, ha sido reconocido por las
autoridades de protección de datos. Tal y como se indicó en las Alegaciones al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/136

Acuerdo de Inicio, cuando se produce la contratación, se remiten las condiciones
generales de contratación -donde se incluye la cláusula específica en materia de
protección de datos-; por tanto, la puesta a disposición de esta información a
través de la página web debe entenderse como un sistema alternativo y
complementario.

En este sentido, las Directrices de Transparencia expresamente indican que
“cuando el primer contacto con un interesado sea a través del teléfono, esta
información [primera capa informativa] podría facilitarse durante la llamada con el
interesado y este podría recibir el resto de la información requerida en virtud del
artículo 13 o 14 por otro medio adicional distinto, por ejemplo, enviándole una
copia de la política de privacidad por correo electrónico o un enlace a la
declaración/aviso de privacidad en línea del responsable”.

Conforme al criterio de las autoridades competentes, incluida la AEPD, EDP
ENERGÍA no habría cometido una infracción del deber de transparencia, en tanto
que la información completa sobre protección de datos (con el contenido exigido
por la normativa) se contiene dentro de las condiciones generales de contratación
que se remiten al interesado tras la contratación. Las Directrices de Transparencia
indican además que, en función de las circunstancias de la recogida y tratamiento
de los datos, un responsable de tratamiento podría verse obligado a utilizar de
manera adicional otras vías posibles para transmitir la información a los
interesados aplicables a los entornos pertinentes siempre que la información de la
primera capa informativa se transmita en la primera modalidad utilizada para
comunicarse con el interesado. Por este motivo, EDP ENERGÍA cumple con su
obligación de transparencia al facilitar la información de la primera capa informativa
por vía telefónica y la segunda capa informativa por escrito (ya sea documento
físico o electrónico). Asimismo, es importante señalar que la forma más
transparente e idónea de que el interesado reciba información sobre el tratamiento
de sus datos personales es incluyéndola junto con la información sobre la
contratación de los servicios, en tanto que esta es la circunstancia con la que se
relaciona el tratamiento de sus datos y es, además, un documento que el
interesado conservará durante su relación contractual con EDP ENERGÍA.

(iii) Respecto del contenido de la información aportada telefónicamente y en las
condiciones generales:

• Concreción del responsable del tratamiento:

La AEPD cuestiona la claridad con la que el interesado conoce qué entidad actúa
como responsable del tratamiento, no obstante, como se acredita en las condiciones
generales de contratación de EDP ENERGÍA (aportadas como evidencia 6) de este
procedimiento, el cliente es informado sobre la identidad del responsable del
tratamiento a través de la política de privacidad en relación con las condiciones de
contratación:
Política de privacidad: “los datos serán tratados por EDP Comercializadora SAU y
EDP Energía SAU”.
Condiciones Específicas del contrato:
“El cliente contrata, para el suministro que se indica, el suministro de gas con EDP
Comercializadora, S.A.U. y el suministro de electricidad y/o los servicios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/136

complementarios con EDP ENERGIA, S.A.U., (en adelante conjunta y/o
individualmente, según proceda, referidas como “EDP”) con arreglo a las Condiciones
Específicas que se recogen a continuación y a las Condiciones Generales en anexo”.

Como se explicaba en las alegaciones al Acuerdo de Inicio, se incluye información
sobre ambas entidades en tanto que, según el servicio que sea solicitado por el
interesado (gas y/o electricidad), será responsable del tratamiento una u otra entidad
(o ambas en caso de que el interesado contrate ambos servicios). Por tanto, el
interesado -el cual dispone de plena capacidad para contratar y, por tanto, se
presupone que debería ser capaz de comprender los términos y condiciones que
gobiernan dicha contratación, es consciente en todo momento de que, según contrate
el servicio de suministro de gas y/o electricidad, sus datos serán tratados por una o
ambas entidades.

• Finalidades y bases de legitimación

Se alega que ni el artículo 13 del RGPD ni ningún otro precepto legal exige que la
política de privacidad enumere cada finalidad indicando específicamente la base de
legitimación que resulta de aplicación. Aun así, en lo que se refiere a los tratamientos
sujetos a consentimiento, sí se indica expresamente cuales son.

En todo caso, como ya se indicaba en las Alegaciones al Acuerdo de Inicio,
tratándose de las bases de legitimación de “ejecución contractual” e “interés legítimo”,
resulta evidente para cualquier persona que contrata los servicios de suministro de
EDP ENERGÍA que los tratamientos estrechamente vinculados a la ejecución del
contrato tales como “gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio” encuentran su base de legitimación en la ejecución del
contrato, siendo los demás tratamientos asignables al interés legítimo (p.ej. la
realización de acciones de prevención del fraude o el envío de comunicaciones
comerciales). Los intereses legítimos están claramente expuestos y puestos en
relación con las finalidades que se persiguen (esto es, prevención del fraude y
mercadotecnia, en relación con el envío de comunicaciones comerciales
personalizadas) y dado que existe una identificación entre la finalidad informada y el
propio interés perseguido, hacer una alusión separada resultaría redundante.

• Elaboración de perfiles

Se afirma en las alegaciones que en la Propuesta de Resolución, la AEPD considera
que, en relación con la “realización de perfiles”, no queda claro cuál es su finalidad ni
el interés legítimo que sustenta el tratamiento. En este sentido, la AEPD manifiesta en
la Propuesta de Resolución lo siguiente: “No se cumplen en este caso, a juicio de esta
Agencia, las exigencias de información antes descritas. EDP ENERGÍA, S.A.U., se
limita a informar sobre la “realización de perfiles”, pero no ofrece una información
sobre el tipo de perfiles que se van a realizar, los usos específicos a que se van a
destinar estos perfiles o la posibilidad de que el interesado pueda ejercer el derecho
de oposición en aplicación del artículo 21 del RGPD.”
Sin embargo, la elaboración de perfiles está asociada con el envío de comunicaciones
comerciales personalizadas: “serán tratados (...) con la finalidad de (...) realización de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/136

perfiles, comunicaciones comerciales personalizadas basadas en información
facilitada por el Cliente y/o derivada de la prestación del servicio por parte de la/s
Comercializadora/s y relativas a productos y servicios relacionados con el suministro y
consumo de energía, mantenimiento de instalaciones y equipamiento”.

Si bien la redacción podría haber incluido “para el envío de” (es decir, que el texto
fuera “así como realización de perfiles para el envío de comunicaciones comerciales
personalizadas basadas en información facilitada por el Cliente (...)”), esa ausencia no
debe entenderse como que EDP ENERGÍA infringe el artículo 13 del RGPD.

• Ejercicio de derechos:

Se alega que a juicio de la AEPD, deberían indicarse expresamente cuáles son los
tratamientos a los que aplica el derecho de oposición. Sin embargo, como ya se
manifestó en las Alegaciones al Acuerdo de Inicio, la obligación de detallar los
tratamientos concretos a los que el interesado tiene derecho a oponerse no sólo no es
una obligación recogida en el RGPD, la LOPDGDD ni ninguna otra normativa de
aplicación, sino que además la AEPD en sus guías y herramientas (entre otras, la Guía
para el cumplimiento del deber de informar2 o la herramienta Facilita3 ) no indica que
las cláusulas informativas sobre el derecho de oposición deban especificar los
tratamientos sobre los que aplica el derecho de oposición, ni siquiera como ejemplo de
buena práctica. En todo caso, EDP ENERGÍA indica expresamente que el interesado
podrá oponerse a algunos tratamientos voluntarios como por ejemplo la promoción, la
elaboración de perfiles, la adopción de decisiones automatizadas y la realización de
ofertas comerciales.

Señala que en la propuesta de resolución se indicaba que: “Resulta impreciso señalar
que el interesado puede oponerse a la adopción de decisiones automatizadas de sus
datos personales. Estas solamente pueden llevarse a cabo por el responsable en los
supuestos previstos en el artículo 22 del RGPD, basándose en el presente caso en el
consentimiento del interesado, por lo que éste debe poder conocer que puede revocar
el consentimiento prestado para la adopción de tales decisiones en cualquier
momento, sin perjuicio de que se le informe también de los derechos conferidos por el
artículo 22 a los interesados.”
Se alega que, el matiz semántico y técnico asociado a los términos “oposición” y
“revocación” en el contexto del ejercicio de derechos no puede tener un impacto en el
interesado, pues con ambos términos el usuario logra un mismo objetivo, que es que
un tratamiento específicamente identificado en la política deje de producirse. Más aún,
el término utilizado por EDP ENERGÍA (oposición) en el contexto de este tipo de
tratamientos se entiende en la normativa y por el propio mercado de forma más amplia
-y por tanto más garantista- puesto que permite al usuario eliminar un tratamiento sea
basado en consentimiento, sea basado en interés legítimo.

• Tratamientos basados en el consentimiento:
La AEPD considera que la información sobre los tratamientos sujetos a consentimiento
no es completamente clara. Sin embargo, esta parte no puede estar de acuerdo con
esta interpretación por los siguientes motivos:
En primer lugar, la AEPD cuestiona que en el punto (IV) no es claro respecto a qué
datos se refiere la frase “los resultados obtenidos de la agregación de los datos
indicados” y argumenta la existencia de una confusión sobre si los datos agregados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/136

son los referidos en el punto (II) y/o en el punto (III). No obstante, como se manifestó
en las Alegaciones al Acuerdo de Inicio, de la lectura queda claro que “los resultados
obtenidos de la agregación de los datos indicados” se refiere a los datos indicados
anteriormente, es decir, los datos referidos en el punto (II) y (III), pues es evidente que
el uso del término anafórico “indicados” se refiere a los datos referidos en los puntos
anteriores.

En segundo lugar, la AEPD manifiesta que la diferencia del tratamiento de datos
publicitarios de este punto con los puntos anteriores no es evidente. No obstante, la
diferencia es clara:
el tratamiento publicitario derivado del punto (I) se refiere a ofertas de “servicios
financieros, servicios de protección de pagos, automoción o afines y electrónica,
propios o de terceros, ofrecidos por EDP y/o la participación en concursos
promocionales, así como para la presentación de propuestas comerciales vinculadas
al sector energético tras la finalización del contrato”, es decir, servicios ofrecidos por
EDP ENERGÍA no relacionados con los servicios contratados sino con el sector
energético u otros sectores como el financiero o la automoción y además de tipo
genérico - no personalizada;
▪ el punto (II) se refiere a “productos y servicios personalizados”, es decir, ofertas
adaptadas al perfil comercial del cliente; y
▪ el punto (IV) se refiere “a realizar ofertas personalizadas, y concretamente orientadas
a lograr la contratación de determinados productos y/o servicios de EDP o de terceras
entidades”, es decir, a la realización de ofertas personalizadas con un objetivo
concreto de conseguir la venta de determinados productos o servicios, siendo la
personalización no solo respecto del cliente sino también respecto del concreto
servicio o producto ofertado.
La crítica de la AEPD a la granularidad ofrecida por EDP ENERGÍA no puede
entenderse a la luz de sus propias recomendaciones y las del Comité Europeo de
Protección de Datos, que piden precisamente tal detalle y granularidad.

CUARTA.- COOPERACIÓN Y ACTITUD PROACTIVA DE EDP ENERGÍA.

EDP ENERGÍA está estudiando y analizando la implementación de las medidas
oportunas de cara a la adopción y adecuación a las recomendaciones, mejores
prácticas y los criterios sentados por la AEPD tanto en el presente procedimiento como
en sus guías y publicaciones (además de las mejoras ya implantadas a que se ha
hecho referencia anteriormente), a fin de mejorar todas sus políticas de protección de
datos, clausulados y condiciones generales a través de las cuales se informa sobre el
tratamiento de los datos personales de sus clientes y potenciales clientes

QUINTA.- INCUMPLIMIENTO DEL PRINCIPIO DE INTERDICCIÓN DE LA
ARBITRARIEDAD.

Se señala que ciertas prácticas recomendadas (e incluso aplicadas por la AEPD en
sus propias políticas de privacidad) han servido en este caso para argumentar y
motivar las supuestas infracciones cometidas por EDP ENERGÍA (por ejemplo, la
presentación de la información relativa al ejercicio de derechos de los interesados
recogido en la Alegación Segunda). Estos aspectos que, a priori, la AEPD recomienda
y pone en práctica, considerándolos ejemplos que se adecuan a la normativa

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/136

aplicable, son utilizados como elementos infractores para justificar el supuesto
incumplimiento de distintos preceptos legales por EDP ENERGÍA.

SEXTA.- FALTA DE CULPABILIDAD EN LA ACTUACIÓN DE EDP ENERGÍA.

En virtud de todo lo expuesto anteriormente, la actuación de EDP ENERGÍA no puede
ser considerada culpable en la eventual comisión de los ilícitos administrativos en
materia de protección de datos que se le imputan. En el ámbito administrativo
sancionador no basta con que la conducta sea típica y antijurídica (que en este caso,
tampoco lo es), sino que también es exigencia ineludible que sea culpable, esto es,
consecuencia de una acción u omisión imputable al responsable por dolo o culpa
inexcusable, sin que resulte admisible ninguna suerte de responsabilidad objetiva que
dispense a la Administración de acreditar cumplidamente la exigencia de culpabilidad o
intencionalidad en la comisión de la infracción. (Sentencias del Tribunal Supremo de 9
de julio de 1994, 16 de mayo de 1995, 12 de diciembre de 1995, 12 y 19 de enero de
1996, 15 de abril de 1996, entre otras muchas.)

También conviene hacer mención a que la apreciación del elemento subjetivo de la
infracción viene determinada por el grado de previsibilidad que tenía para el sujeto
afectado el que su conducta pudiera ser considerada típica y antijurídica y, por tanto,
susceptible de ser sancionada. El elemento subjetivo de culpabilidad sólo puede
concurrir cuando, a la vista de la situación existente en el momento de realizarse la
conducta, el sujeto pudiera anticipar razonablemente que estaba cometiendo una
infracción Sentencias de la Excma. Sala Tercera del Tribunal Supremo de 8 de mayo
de 2003 — ref. Aranzadi RJ 4209—, de 7 de julio de 2003 — ref. Aranzadi RJ 5832—,
y de 28 y 27 de enero de 2010 — ref. Aranzadi RJ 1362 y 1357.
Asimismo, la doctrina de los tribunales contencioso-administrativos ha excluido la
concurrencia del imprescindible elemento culpabilístico cuando el sujeto que haya
cometido objetivamente la infracción haya actuado con base en una razonable
interpretación del ordenamiento jurídico.

Una interpretación razonable de la normativa aplicable, aun cuando no sea finalmente
considerada correcta por los tribunales, excluye la culpabilidad, especialmente en
aquellos casos en los que las normas jurídicas aplicables no sean claras o unívocas.

SÉPTIMA.- SUBSIDIARIAMENTE, LAS SANCIONES PROPUESTAS SON
MANIFIESTAMENTE DESPROPORCIONADAS Y DEBERÍAN APLICARSE
CIRCUNSTANCIAS ATENUANTES.

En definitiva analizando cada una de las supuestas infracciones que se imputan a EDP
ENERGÍA, no cabe sino interpretar que existe una absoluta desproporcionalidad en la
interpretación realizada por la AEPD en la Propuesta de Resolución, no sólo porque
carece de motivación a la hora de considerar cometida la supuesta infracción, sino por
el hecho de que las sanciones propuestas escapan de cualquier criterio valorado con
carácter previo por la propia AEPD. En este sentido, cabe añadir que las cuantías de
sanciones anteriores impuestas en supuestos de hecho similares no son comparables
a las propuestas en este caso.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/136

Deben aplicarse circunstancias atenuantes: En efecto, cualquier sanción que se
impusiera a EDP ENERGÍA habría de fijarse de conformidad con los artículos 83.2 del
RGPD y 76.2 de la LOPDGDD, que contemplan instrumentos relevantes para que la
Administración adecúe la proporcionalidad de las sanciones. En el presente caso, tal y
como se hizo constar en las Alegaciones al Acuerdo de Inicio, concurren
sobradamente las siguientes circunstancias atenuantes que aquí se resumen:

• La naturaleza, gravedad y duración de la infracción: según el artículo 83.2.a) del
RGPD, la apreciación de esta circunstancia debe tener en cuenta “la naturaleza,
alcance o propósito de tratamiento” (...) y “el nivel de los daños y perjuicios que hayan
sufrido”. En este sentido, lo que se imputa a EDP ENERGÍA es la necesidad de
mejorar algunos aspectos de sus políticas de protección de datos, sin que en ningún
caso los textos utilizados hasta el momento puedan entenderse que hayan generado
un nivel alto de daños y perjuicios. Asimismo, los tratamientos previstos en estas
políticas -los cuales son conocidos por los interesados- no son particularmente
sensibles, ni por la tipología de datos tratados ni por las características de las
actividades de tratamiento. Por tanto, no sólo no procede considerar como
circunstancia agravante la naturaleza de esta infracción sino que, lo anterior ha de
considerarse como circunstancia atenuante aplicable al presente procedimiento.

• La intencionalidad o negligencia en la infracción: EDP ENERGÍA no ha mostrado
intencionalidad o negligencia alguna. La AEPD, en su Propuesta de Resolución, indica
que “los defectos señalados en la información facilitada muestran la falta de diligencia
de EDP ENERGÍA en dar cumplimiento a las obligaciones de transparencia”. Por
tanto, a lo que esta Agencia parece referirse es a la ausencia de toda la diligencia que,
según dicha Autoridad, se esperaría de EDP ENERGÍA. No obstante, no parece que
dicha afirmación pueda entenderse como “intencionalidad o negligencia” en su
actuación en tanto que, como se ha manifestado en las Alegaciones al Acuerdo de
Inicio y en las presentes alegaciones, EDP ENERGÍA ha observado cuidadosamente
las guías, directrices y herramientas puestas a disposición por la propia AEPD y el
Comité Europeo de Protección de Datos para el cumplimiento de sus obligaciones de
protección de datos. Por este motivo, la diligencia de EDP ENERGÍA debe tenerse en
cuenta como circunstancia atenuante.

• La alta vinculación de la actividad del infractor con la realización de tratamientos de
datos personales: EDP ENERGÍA se dedica, como afirma la AEPD en la Propuesta de
Resolución, al suministro de electricidad, una actividad que no es intensiva en el
tratamiento de datos personales y que aunque es cierto que el desarrollo de la
actividad de EDP ENERGÍA implica el tratamiento de datos personales, éste es de
forma instrumental sin que su actividad se base en la explotación de datos personales.
En este sentido, la baja vinculación de la actividad de EDP ENERGÍA en el tratamiento
de datos personales debe considerarse una circunstancia atenuante.

• Cualquier medida tomada para paliar los daños y perjuicios: tal y como se ha puesto
en conocimiento de la AEPD, EDP ENERGÍA se encuentra inmersa en la revisión y
mejora de sus procedimientos y clausulados con el fin de adaptar e implementar las
recomendaciones realizadas por esta Agencia, evitando que pueda producirse
cualquier tipo de daño o perjuicio a los interesados. Prueba de ello es que algunas de
las recomendaciones de esta Agencia se encuentran ya implementadas, como la
mejora del acceso a la información sobre protección de datos, que ya está disponible
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/136

en la dirección edp-residencialbytotal.es/rgpd así como el nuevo protocolo de
contratación mediante representante, el cual ya fue aportado al procedimiento el
pasado 16 de julio de 2020 y ya ha sido implementado el pasado mes de enero.

• Grado de cooperación con la autoridad: EDP ENERGÍA ha mostrado desde el inicio
de este procedimiento una actitud completamente colaborativa con la AEPD, tal y
como ha sido acreditado en el presente escrito. En las Alegaciones al Acuerdo de
Inicio se proporciona información más completa en relación con la cooperación
mostrada por EDP ENERGÍA.

• Categorías de datos y afectación de los derechos de los menores: los datos objeto
de tratamiento no son categorías especiales de datos y no se han visto afectados los
derechos de los menores (los clientes de EDP ENERGÍA son siempre mayores de
edad con capacidad para contratar).

• Carácter continuado de la infracción: como ha sido acreditado, EDP ENERGÍA,
desde el momento en que ha tenido conocimiento de las mejoras que, a juicio de la
AEPD, podían adoptarse en sus políticas, ha procedido a analizar sus textos y
procedimientos. Por ello, no puede entenderse que se trata de una infracción de
carácter continuado, si bien esta Agencia debe entender que en grupos corporativos
complejos los procesos de cambio y adaptación de procedimientos no pueden hacerse
de manera inmediata. No obstante, no por ello la presunta infracción que se imputa
debe entenderse como “continuada”.

• Condición de gran empresa y su volumen de negocio: el hecho de que EDP
ENERGÍA sea considerada una gran empresa no puede ser utilizado como una
circunstancia agravante al no ser una circunstancia prevista ni en el RGPD ni en la
LOPDGDD. Además, en este sentido, el Tribunal Supremo (sentencia de 4 de
noviembre de 2015, recurso 100/2014) ha manifestado en jurisprudencia reciente pero
consolidada que "no es factible, en ningún caso, presumir una conducta dolosa por el
mero hecho de las especiales circunstancias que rodean al sujeto pasivo de la
imposición (importancia económica, clase de asesoramiento que recibe, etc.) (...). [L]o
que no puede hacer el poder público, sin vulnerar el principio de culpabilidad que
deriva del art. 25 CE [véase, por todas, la Sentencia de esta Sección de 6 de junio de
2008 (rec. cas. para la unificación de doctrina núm. 146/2004), FD 4], es imponer una
sanción a un obligado tributario (o confirmarla en fase administrativa o judicial de
recurso) por sus circunstancias subjetivas -aunque se trate de una persona jurídica,
tenga grandes medios económicos, reciba o pueda recibir el más competente de los
asesoramientos y se dedique habitual o exclusivamente a la actividad gravada por la
norma incumplida”. Por este motivo, no cabe legal ni constitucionalmente valorar la
condición de gran empresa como circunstancia agravante. Asimismo, la AEPD también
alude a “su volumen de negocio” (hecho que tampoco se contempla como
circunstancia agravante ni en el RGPD ni en la LOPDGDD). A la hora de cuantificar la
sanción, la AEPD se refiere al volumen de facturación global de EDP ENERGÍA para
cuantificarla, cuando debería tener en cuenta exclusivamente, y en su caso, los datos
de facturación generados por el eventual incumplimiento alegado -en el caso del
artículo 25 del RGPD, relativo exclusivamente a la contratación por representación-.
En este sentido, la AEPD, en su investigación en el marco del procedimiento, solicitó y
obtuvo datos concretos sobre el volumen de contratación por representación y la
ínfima parte que corresponde en el global de la actividad de EDP ENERGÍA, y debiera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/136

en todo caso haberlo tenido en cuenta en la Propuesta de Resolución, lo que no ha
ocurrido. Asimismo, tal y como ha sido indicado en la Alegación Primera, el volumen
de negocio derivado de la contratación con representante supone aproximadamente
un 0,11% del volumen de negocio global. Por su parte, en lo que se refiere a la
sanción asociada a la presunta infracción del artículo 13 del RGPD, la AEPD tampoco
debió tomar en consideración la facturación global de su actividad.
Beneficios obtenidos como consecuencia de la infracción: la presunta comisión de la
infracción imputada no ha generado ningún tipo de beneficio económico, directo o
indirecto, a EDP ENERGÍA. En todo caso, si esta Agencia considera lo contrario, el
beneficio debería calcularse atendiendo a los criterios que han sido indicados en la
Alegación Primera, teniendo en cuenta que el volumen de negocio derivado de la
contratación a través de representante suponen solo un 0,11% del volumen de negocio
global y que la sanción propuesta supone un importe desproporcionado en relación a
los beneficios obtenidos

. • Elevado volumen de datos y tratamientos: en contra de lo que indica esta Agencia
en su Propuesta de Resolución, las presuntas infracciones que se imputan a EDP
ENERGÍA no afecta a “todos los tratamientos de datos efectuados por la entidad EDP
ENERGÍA S.A.U.”, sino solo a los tratamientos relativos a clientes. De hecho, la
propia AEPD reconoce en el apartado relativo a “Elevado número de interesados” que
“[l]a infracción afecta a todos los clientes personas físicas de la entidad”, pero no
indica ningún otro colectivo de interesados. Asimismo, en lo que se refiere a la
contratación por terceros en nombre de su titular, es relevante señalar que dicha
contratación únicamente afecta a un 0,11% del volumen de negocio de EDP ENERGÍA
por lo que es evidente que el volumen de datos y tratamientos afectados es mínimo.
Por este motivo, el reducido número de tratamientos afectados, y especialmente, en
relación con la contratación mediante representante, debe ser tenido en cuenta como
circunstancia atenuante.

• Reciente adquisición de EDP ENERGÍA: como hemos indicado en la alegación
Preliminar de este escrito, EDP ENERGÍA ha sido recientemente adquirida por el
Grupo Total. En virtud del artículo 76.2.e) de la LOPDGDD, en conjunto con el artículo
83.2.k) del RGPD, entiende esta parte que debe tenerse en consideración esta
circunstancia a la hora de, en su caso, modular y atenuar la potencial sanción -sanción
que en todo caso esta parte entiende que no procede-. Aunque el mencionado
precepto recoge los supuestos en que la modificación estructural es una fusión por
absorción, en aplicación del principio de interpretación teleológica, su regulación debe
extenderse a otras modificaciones estructurales realizadas con posterioridad a la
comisión de la infracción y que tengan como consecuencia la imposición de sanciones
desproporcionadas y gravosas a la nueva entidad que no cometió la infracción inicial

HECHOS PROBADOS

1. Consta en el expediente que EDP ENERGÍA, S.A.U. utiliza los siguientes canales
para formalizar la contratación de sus servicios:

A. Canal Telefónico, con cierre parcial o definitivo del proceso de contratación
mediante una llamada de teléfono. Incluye los siguientes subcanales:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/136

- CAC Inbound: Recepción de llamadas, desde los clientes hacia EDP. En
general son ya clientes de EDP que se identifican desde el inicio de la llamada
a través de un protocolo de seguridad, aunque también pueden recibirse
llamadas de clientes potenciales.
- Telemarketing: Emisión de llamadas, desde EDP hacia bases de datos
propias de ya clientes para upselling o recuperación de abandonos. Se utiliza
para la realización de la llamada el número de teléfono que consta en la ficha
del cliente, y que ha sido aportado por dicha persona con anterioridad.

- LEADS: Emisión o recepción de llamadas, sobre usuarios que han
manifestado un interés en alguna plataforma o página web (sorteos,
promociones, comparadores de ofertas, blogs, agencias de publicidad, etc.)
dejando sus datos básicos para ser contactados o contactando ellos mismos en
el número de teléfono que se les muestra. Normalmente dichos usuarios aún
no tienen contratos activos con EDP.

B. Canal Web, con cierre mediante un formulario digital. El usuario accede a través de
una web e inicia un proceso de contratación totalmente online, sin interacción con
agentes.

C. Distribuidores, con cierre presencial o digital del proceso de contratación,
incluyendo:

- Oficinas Comerciales propias de EDP. Normalmente ya clientes de EDP que
acuden proactivamente a la oficina, aunque puede tratarse también de clientes
potenciales.
- Tiendas ajenas (ej. ***TIENDA.1). En general nuevos clientes que acuden a
realizar sus compras y se interesan por la oferta de EDP.

D. Fuerzas de Venta Externas, con cierre presencial del proceso de contratación,
incluyendo:

- Stands en Ferias, Centros Comerciales, etc. En general nuevos clientes que
acuden a dichos eventos o lugares y se interesan por la oferta de EDP.

- Visitas a domicilio con solicitud previa. Clientes o potenciales clientes que han
facilitado sus datos y consentimiento para recibir propuestas de un agente de
EDP a domicilio.

2. Los procedimientos de contratación implantados en aquellos casos en que la
contratación es realizada por tercero en representación del titular son los siguientes:

A) Canales telefónicos:
A.1 – CAC INBOUND 1) Cuando el usuario indica que desea realizar una contratación
como representante se le pregunta por su relación con el titular y si cuenta con
autorización de dicha persona. 2) Una vez confirmado el punto anterior, se solicitan
datos identificativos del representante, y todos los datos del titular necesarios para
formalizar la contratación. 3) Finalmente se lee y registra en audio el Consentimiento
Expreso de representante. 4) Al titular del contrato, a efectos informativos, se le remite
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/136

por duplicado, con sobre franqueado, la documentación contractual en cumplimiento
de lo dispuesto en la normativa de protección de consumidores y usuarios.

B. Distribuidores:

C. Fuerzas de Venta Externas:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/136

responsabiliza de informar de todas las condiciones del mismo. Se requiere, por otra
parte, de una fotocopia del NIF del representante.

Para acreditar la representación, se formaliza el talonario de contratación donde el
representante declara disponer de facultades suficientes para suscribir el contrato en
nombre del cliente a quien se responsabiliza de informar de todas las condiciones de
este. Igualmente, se aporta copia del NIF del representante.

3. Consta en el expediente que la documentación que se utiliza por EDP ENERGÍA,
S.A.U. para acreditar la representación del titular al suscribir un contrato es la
siguiente:

A. Canal Telefónico:

En los tres subcanales del canal telefónico (evidencias 2, 3 y 4, canales CAC Inbound,
Telemárketing y Leads respectivamente) se solicita al representante, durante la
grabación del procedimiento de contratación, confirmación de los siguientes aspectos:
de su identidad y DNI, de su actuación en representación del titular, de la relación con
el representado (como marido, mujer, hijo, apoderado, representante); de la identidad
(nombre, apellidos, DNI) del representado, y de teléfono y correo electrónico. La
documentación acreditativa de la representación del titular del contrato consiste en las
grabaciones en las que el representante efectúa las confirmaciones mencionadas. En
el caso de los canales telemarketing y LEADS se envía además al representante un
sms/email con el siguiente texto “Oferta EDP: Por favor, responde con un SI a este
SMS para aceptar y activar descuentos.” (evidencias 10 y 12).

B. Distribuidores: En el caso de oficinas comerciales propias de EDP ENERGÍA,
S.A.U. se solicita cumplimentado y firmado por ambas partes interesadas
(representante y titular) un documento de autorización expresa en el que figuran los
datos de ambas personas y copias de sus NIF.

En el canal oficinas comerciales propias (evidencia 5) la representación se acredita
mediante un documento denominado “plantilla autorización gestiones representante”,
en ella el titular (identificado con su nombre y DNI o CIF), en nombre propio o
representación de la empresa autoriza al representante igualmente identificado con su
nombre y DNI para realizar diferentes gestiones (alta/baja, cambio de titularidad,
cambio de domiciliación bancaria y/o otras gestiones) debiendo indicarse en la casilla
contigua a cada una de ellas cual o cuales son las gestiones autorizadas. Dicho
documento exige la firma del autorizante y el autorizado. Asimismo, dicho documento
contiene la siguiente advertencia “PARA TENER VALIDEZ, ESTA AUTORIZACIÓN
DEBE PRESENTARSE ACOMPAÑADA DE FOTOCOPIA DEL DNI DEL TITULAR Y
DEL AUTORIZADO. CUANDO SE TRATE DE AUTORIZACIÓN CONCEDIDA POR UN
REPRESENTANTE DEL TIPO S.A., S.L., A.I.E, U.T.E, CB, COMUNIDAD DE
PROPIETARIOS, FUNDACIONES, COLEGIOS, ADEMÁS SE REQUERIRÁ
FOTOCOPIA DE LA ESCRITURA DE PODER OPORTUNA”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/136

C. Fuerzas de Venta Externas: En el caso de las fuerzas de venta externas (stands de
ferias, centros comerciales y visitas a domicilio, siempre que exista solicitud previa por
parte del interesado), se utiliza para acreditar la representación un documento
denominado talonario de ventas (evidencia 6). En dicho talonario, se contienen
espacios para cumplimentar los datos del titular del contrato (nombre, apellidos,
teléfono y correo electrónico) y datos del representante (nombre, NIF y domicilio) y se
incluyen varias casillas para marcar que el representante lo es en calidad de
cónyuge/pareja registrada, ascendiente/ descendiente o apoderado) debajo de tales
casillas un texto señala que “declara disponer de facultades suficientes para suscribir
el presente contrato en nombre del cliente a quien se responsabiliza de informar de
todas las condiciones del mismo.” Se realiza una grabación de verificación donde se
confirma con el representante los datos del representado, así como la relación o
parentesco que les une (evidencia 16)

Consta en las evidencias presentadas que en los subcanales de contratacion
telefónica se informa a los representantes de que “En nombre de su representado, y
tras superar un análisis del riesgo de la operación, haremos las gestiones necesarias
para activar los contratos de acceso, momento a partir del cual entrará en vigor el
nuevo contrato quedando resuelto el anterior.”

5. Consta que durante el proceso de contratación, en los canales de contratación
telefónica se solicita al representante el consentimiento en nombre del representado
para llevar a cabo otros tratamientos como el envío de ofertas relacionadas con la
energía adaptadas a su perfil tras la finalización del contrato o remitirle en cualquier
momento información de productos o servicios no energéticos de empresas o
colaboradoras de EDP. (evidencias 2, 3 y 4).

Durante dicho proceso, se solicita también el consentimiento del representante en
nombre del representado para completar el perfil comercial con información de bases
de datos de terceros, con la finalidad de enviarle propuestas personalizadas y la
posibilidad de contratar o no determinados servicios.

En el canal de fuerzas externas, está prevista igualmente la posibilidad de prestar tales
consentimientos. Tal y como muestra la evidencia 6 bajo el título
CLIENTE/REPRESENTANTE, tras advertir que la información relativa a protección de
datos puede leerse en el reverso, permite marcar los siguientes consentimientos,
marcando la casilla conjunta a cada uno de ellos:
 Consiento el tratamiento de mis datos personales una vez finalizada la relación
contractual, para la realización de comunicaciones comerciales adaptadas a mi perfil
de productos y servicios relativos al suministro y consumo de energía. Asimismo,
consiento los mencionados tratamientos durante la vigencia y tras la finalización del
contrato, sobre productos y servicios no energéticos, tanto de las empresas del Grupo
EDP como de terceros.
 Consiento el tratamiento de mis datos personales para la elaboración de mi perfil
comercial con información proveniente de bases de datos de terceros, para la
adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar
propuestas comerciales personalizadas, así como para permitir, o no, la contratación
de determinados servicios.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/136

6. Consta en las evidencias 2, 3 y 4 que durante el proceso de contratación telefónica
se aporta al representante la siguiente información: “Sus datos personales y los de su
representado serán tratados por EDP Comercializadora SAU y EDP Energía SAU para
la gestión de sus contratos, prevención de fraude, realización de perfiles basados en
información del cliente y de EDP, así como la realización de comunicaciones
personalizadas sobre productos o servicios directamente relacionados con sus
contratos, pudiendo en cualquier momento oponerse a las mismas".

En el canal telemarketing y leads evidencias 3 y 4 se añade lo siguiente “Les
recordamos que podrán ejercitar en cualquier momento sus derechos de acceso,
rectificación, oposición, supresión, limitación y portabilidad, a través de cualquiera de
las vías indicadas en las Condiciones Generales que pueden consultar en nuestra web
***URL.1.”
Dicha información no consta en la evidencia 2 correspondiente el canal CAC inbound.

En el canal oficinas propias la información que se facilita es la siguiente (evidencia 5)
“Los interesados quedan informados que los datos de carácter personal facilitados en
este formulario serán tratados como responsable del tratamiento por EDP ENERGÍA,
S.A.U. y EDP COMERCIALIZADORA, S.A.U. con el fin de que puedan ser utilizados
para la tramitación de la gestión autorizada.
Los datos personales que usted nos facilita, serán utilizados, en la forma y con las
limitaciones y derechos que reconoce el Reglamento General de Protección de Datos
(UE) 2016/679.

Los interesados cuyos datos sean objeto de tratamiento podrán ejercitar los derechos
de acceso, rectificación, supresión, portabilidad, limitación y oposición al tratamiento
de estos datos, acreditando su identidad, mediante email dirigido a ***EMAIL.2 o
mediante escrito dirigido al responsable del tratamiento a la dirección Plaza del
Fresno, 2 – 33007 Oviedo (Asturias). Igualmente, podrá ponerse en contacto con el
Delegado de Protección de Datos de EDP, en la misma dirección postal o en el correo
electrónico ***EMAIL.1, en el caso de que entienda vulnerado alguno de sus derechos
relacionados con la protección de datos, o en su caso, interponer una reclamación
ante la Agencia Española de Protección de Datos “

En el Canal fuerzas externas, el talonario de ventas proporciona la siguiente
información. En el reverso de la primera página aparece un apartado, titulado
“Información básica sobre Protección de Datos”: en el que figura lo siguiente:
“Los datos personales serán tratados por parte de EDP COMERCIALIZADORA,
S.A.U. y EDP ENERGÍA, S.A.U. (en adelante, conjuntamente, EDP) en calidad de
Responsables del Tratamiento, para el mantenimiento, desarrollo, cumplimiento y
gestión de la relación contractual, prevención del fraude, realización de perfiles
basados en información facilitada por el Cliente y/o derivada de la prestación del
servicio por parte de EDP, así como envío de comunicaciones comerciales, relativas a
productos y servicios relacionados con el suministro y consumo de energía,
mantenimiento de instalaciones y equipamiento, y que podrán ser personalizadas en
base a su perfil de Cliente, según se informa en las Condiciones Generales, pudiendo
oponerse en cualquier momento al envío de comunicaciones comerciales.
Adicionalmente, el Cliente presta su consentimiento explícito para los tratamientos de
datos personales recogidos en el anverso. Sin perjuicio de los consentimientos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/136

prestados, el cliente podrá ejercitar, en todo momento, sus derechos de acceso,
rectificación, oposición, supresión, limitación y portabilidad, a través de cualquiera de
las vías indicadas en las Condiciones Generales.”

En la parte de condiciones generales figura la siguiente información relativa a
protección de datos personales:

“LOPD Finalidades del tratamiento de los datos personales. De acuerdo con lo
dispuesto en la normativa vigente el cliente queda informado de que todos los datos
facilitados en el presente contrato son necesarios a los efectos de su formalización.
Dichos datos, además de los obtenidos como consecuencia de la ejecución del
contrato, serán tratados por EDP COMERCIALIZADORA, S.A.U, con domicilio en
C/General Concha, 20, 48001, Bilbao y por EDP ENERGÍA, S.A.U con domicilio en
Plaza del Fresno, 2 -33007, Oviedo en su calidad de Responsables del tratamiento,
con la finalidad de gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio, para la realización de acciones de prevención del
fraude, así como realización de perfiles, comunicaciones comerciales personalizadas
basadas en información facilitada por el Cliente y/o derivada de la prestación del
servicio por parte de EDP y relativas a productos y servicios relacionados con el
suministro y consumo de energía, mantenimiento de instalaciones y equipamientos.
Dichos tratamientos serán realizados dando estricto cumplimiento a la legislación
vigente y en la medida que sean necesarios para la ejecución del contrato y/o la
satisfacción de los intereses legítimos de EDP, siempre que sobre estos últimos no
prevalezcan otros derechos del cliente.

88/136

Los datos personales serán conservados durante la vigencia de la relación contractual
y como máximo, durante el plazo de prescripción de las acciones legales
correspondiente, salvo que el Cliente autorice su tratamiento por un plazo superior,
aplicándose desde el comienzo del tratamiento medidas organizativas y de seguridad
para garantizar la integridad, confidencialidad, disponibilidad y resiliencia de los datos
personales
Comunicaciones y destinatarios de los datos personales.
Todos los datos personales derivados de la prestación del servicio y los obtenidos en
virtud del presente contrato podrán ser comunicados a las siguientes entidades:
i) La empresa distribuidora correspondiente, produciéndose con la misma un
intercambio de información permanente para la adecuada prestación del
servicio, entre ellos la solicitud de acceso a su red, las lecturas (que en el caso
de contador telegestionado serán horaria) y/o estimación de consumo, control
de calidad del suministro, solicitud de cortes de suministro, modificaciones en
la potencia, etc.
ii) Los Organismos y Administraciones Públicas que por Ley corresponda.
iii) Los Bancos y entidades financieras para el cobro de los servicios prestados.
iv) Otras empresas del grupo empresarial, únicamente para fines administrativos
internos y la gestión de los productos y servicios contratados.
v) Servicios de solvencia patrimonial y crédito de ámbito nacional (Asnef-Equifax,
…) a los que en caso de impago, sin causa justificada por parte del Cliente, se
podrá comunicar la deuda, así como servicios de prevención contra el fraude,
con el único fin de identificar información errónea o fraudulenta facilitada
durante el proceso de contratación.
vi) Proveedores de EDP necesarios para el adecuado cumplimiento de las
obligaciones contractuales, incluso aquellos que pueden estar ubicados fuera
del Espacio Económico Europeo encontrándose en tal caso debidamente
adecuada la transferencia internacional de datos.
Derechos del titular de los datos
El cliente contará en todo momento con la posibilidad de ejercitar de forma libre y
completamente gratuita los siguientes derechos:
i) Acceder a sus datos personales que sean tratados por parte de
EDP.
ii) Rectificar sus datos personales que son tratados por parte de EDP
que resulten inexactos o incompletos.
iii) Suprimir sus datos personales que son tratados por EDP
iv) Limitar el tratamiento por parte de EDP de todos o parte de sus
datos personales.
v) Oponerse a determinados tratamientos y adopción de decisiones
automatizadas de sus datos personales, requiriendo la intervención
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/136

humana en el proceso, así como a impugnar las decisiones que
sean finalmente adoptadas en virtud del tratamiento de sus datos.
vi) Portar sus datos personales en un formato interoperable y
autosuficiente.
vii) Retirar en cualquier momento, los consentimientos otorgados
previamente.
De conformidad con la normativa vigente, el usuario puede ejercer sus derechos
solicitándolo por escrito, y junto a una copia de documento fehaciente de acreditación
de la identidad, en la siguiente dirección postal: Plaza del Fresno, 2 , 33007 Oviedo o
en el correo electrónico ***EMAIL.2.
Igualmente, podrá ponerse en contacto con el delegado de protección de datos de
EDP en la siguiente dirección postal Plaza del Fresno, 2 , 33007 Oviedo o en el correo
electrónico ***EMAIL.1, en el caso de que entienda vulnerado alguno de sus derechos
relacionados con la protección de datos, o en su caso, interponer una reclamación
ante la Agencia Española de Protección de Datos, en la dirección Calle de Jorge Juan,
6, 28001. Madrid “

7. Consta que el número de contratos suscritos en los años 2018 y 2019 por terceros
en representación de personas físicas es el siguiente:
A.1 – CAC INBOUND
Año Canal Representación Nº Contratos
2018 CAC Parentesco 1.536
2018 CAC Sin parentesco 436
2019 CAC Parentesco 1.351
2019 CAC Sin parentesco 295

A.3 – LEADS
Año Canal Representación Nº Contratos
2018 LEADS Parentesco 17.040
2018 LEADS Sin parentesco 2.719
2019 LEADS Parentesco 17.808
2019 LEADS Sin parentesco 3.496

B. Web: No se contempla la contratación con representante.

C. Distribuidores (Oficinas comerciales propias):

Año Canal Representación Nº Contratos
2018 OOCC Parentesco 261
2018 OOCC Sin parentesco 64
2019 OOCC Parentesco 244
2019 OOCC Sin parentesco 52

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/136

D. Fuerzas de Venta Externas: (stands ferias, centros comerciales – visita a domicilio)

Año Canal Representación Nº Contratos
2018 FVE Parentesco 43.008
2018 FVE Sin parentesco 523
2019 FVE Parentesco 11.945
2019 FVE Sin parentesco 13

8. Consta que obra en el expediente de investigación E/5549/2019, origen del presente
procedimiento sancionador, el documento a que se refiere EDP ENERGÍA, S.A.U. en
sus alegaciones, presentado por EDP COMERCIALIZADORA,S.A.U., con fecha 16 de
julio de 2020, en el que expone que” ha revisado el procedimiento a seguir en las
contrataciones por terceros en nombre del titular, a fin de fortalecer dicho
procedimiento y reducir los riesgos de posibles suplantaciones de identidad realizadas
de mala fe por la parte contratante en este tipo de procesos, teniendo en cuenta,
adicionalmente, las necesidades particulares identificadas con motivo del estado de
alarma decretado el pasado mes de marzo y que necesariamente ha requerido que
todas las contrataciones sean realizadas de forma no presencial.
Que a fin de poner en el conocimiento de la AEPD las concretas acciones que se
están llevando a cabo en relación con este asunto por parte de EDP, en cumplimiento
de su deber de cumplimiento proactivo (accountability), les adjuntamos el
“Procedimiento de contratación por terceros en nombre del titular”, para que tengan
visibilidad sobre las modificaciones que se están implementando en dichos procesos
con el fin de atender su petición al respecto, así como para poner de manifiesto la
proactividad de EDP en cuanto a su sugerencia de adaptación de dicho
procedimiento.” El procedimiento a seguir viene detallado seguidamente en dicho
escrito, consistiendo en el envío al cliente de una comunicación, por correo electrónico
o SMS, una vez formalizado el contrato por el mandatario en los casos en que no se
disponga de autorización escrita.

Este documento se declara reproducido en este acto a efectos probatorios.

9. EDP ENERGÍA, S.A.U. aporta en respuesta a la petición efectuadas por esta
Agencia en el marco de las actividades de investigación extracto del Registro de
Actividades de Tratamiento que incluye los registros relativos a las actividades que se
realizan en el ámbito de la contratación de productos y/o servicios y el análisis de
riesgos realizado relativo a los tratamientos que se realizan en el contexto de la
contratación de productos y/o servicios.

91/136

valoración de 0 a 12; medio valoración de 13 a 25; alto de 26 a 38 y muy alto
de 39 a 51. La valoración o peso que se da a cada uno de los factores de
riesgo es de 1 a 4. En el análisis de riesgos se marca para cada uno de los
canales de venta un sí o un no en cada uno los 15 factores de riesgo antes
enumerados. La suma del peso atribuido a de cada uno de los factores para
cada canal determina el riesgo inherente. El resultado del riesgo inherente es
medio en todos los canales de contratación, excepto en los canales web y
fuerzas externas a través de visitas a domicilio en los que el resultado del
riesgo inherente es bajo. No se indican medidas de corrección de riesgo.

Estos documentos se declaran reproducidos en este acto a efectos probatorios

10. Consta que para acceder a las Condiciones Generales, a las que se remite en los
procesos telefónicos para obtener el resto de la información respecto al tratamiento de
los datos personales, en la página ***URL.1 debe seguirse el proceso siguiente:

-Acceso mediante el navegador de internet a la dirección ***URL.2

- Introducción en el buscador de la propia página del texto: “Condiciones Generales”

-El sitio de internet muestra, bajo la siguiente dirección: ***URL.3, 2 pestañas una
denominada información relacionada y otra Documentos.

-Se seleccionan las “Condiciones generales de contratación” y automáticamente se
abre una nueva ventana del navegador apuntando a la siguiente dirección de internet:
***URL.4, donde puede descargarse el documento.

11.Se aportan los siguientes documentos en apoyo de las alegaciones formuladas:

Anexo.1.a) Metodología de análisis de riegos y realización de DPIAs
- Anexo 1.b) RAT contratación EDPE
- Anexo 1.c) Evaluación de riesgos RAT- Contratación EDPE
- Anexo 1.e) Evaluaciones de impacto -Valoraciones de Riesgos
- Anexo 1.f) Evaluaciones de impacto- Informes

Anexo 2 :
- Metodología Privacy by Design by Default de EDP
- Instrucción Operativa Privacy by Design & Privacy by Default
- Formulario Privacy by Design & Privacy by Default
- Flujograma Procedimiento Privacy By Design.

Anexo 4:

- Ejemplos de solicitudes de ejercicio de derechos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

92/136

La Metodología de análisis de riesgos y realización de DPIAS (DATA PRIVACY
ASSESSMENTS) contiene en su primera página un histórico de versiones, siendo la
fecha de la versión inicial 24/11/2017 y la última el 11/05/2018 fecha de la revisión
previa a la aplicabilidad del RGPD. A ella se acompañan diversos anexos cuya fecha
no consta.

El documento contenido en el anexo 1.b RAT, EDPE, cuya fecha no consta, incluye
una finalidad de tratamiento no incluida en el Registro de actividades de tratamiento
remitidas a esta Agencia con fecha 17 de junio de 2020. En concreto dicho tratamiento
que ahora se incluye tiene el siguiente contenido:
Responsable: EDP Energía, S.A.U.
Finalidad del tratamiento: “Realización de Scoring de clientes del segmento B2C previo
a la contratación”,
Descripción: “Realización de Scoring de clientes del segmento B2C previo a la
contratación de acuerdo a la deuda pendiente interna e información de ficheros de
solvencia (ASNEF).”
Categoría de los titulares de los datos: “Clientes y clientes potenciales.”
Categoría de datos personales tratados: “Datos identificativos y datos económicos.”
Base legal para la realización del tratamiento: “Satisfacción de intereses legítimos.”
Plazo de conservación de los datos personales: “5 años desde la finalización de la
relación contractual. La deuda cierta, vencida y exigible derivada de la ejecución del
contrato se mantendrá hasta su cancelación o el plazo de prescripción de las acciones
legales pertinentes de recobro.”
Cesiones de datos (destinatarios datos, diferentes a los encargados del tratamiento):
“ASNEF es corresponsable de tratamiento, según deberá recoger el acuerdo firmado
con ASNEF.”
Categorías encargados tratamiento: La casilla no tiene contenido.
Transferencia internacional de datos: No

El anexo 1.c) bajo el nombre “Evaluación de Riesgos RAT- Contratación EDPE”, cuya
fecha tampoco se refleja en el documento, contiene el análisis de riesgos, en forma de
matriz, igual al presentado en fecha 17 de junio de 2020, con el mismo contenido, si
bien se han añadido dos columnas bajo el título el “tratamiento requiere PIA”, las dos
tituladas “Nº de criterios EDP-W29”, en la primera se indica un número que parece
corresponderse con su título y en la segunda se indica la necesidad de efectuar una
evaluación de impacto. En dicha matriz aparece también un nuevo tratamiento cuya
finalidad es la “Realización de Scoring de clientes del segmento B2C previo a la
contratación”.
Se aportan diversos documentos titulados evaluaciones de impacto, cuya fecha
tampoco consta, estas evaluaciones de impacto son las siguientes:
-Evaluación de riesgos realización de Scoring de clientes B2C previo a la
contratacion, en el que entre otras amenazas se indican las siguientes:
-“La base que legitima el tratamiento no es adecuada, es ilícita o no se ha
formulado adecuadamente”, cuyo probabilidad se fija como alta, con un
impacto calificado como muy alto y resultando el riesgo inherente Alto. En
cuanto a los controles implantados frente a dicha amenaza se señala que “la
base legal del tratamiento es satisfacer un interés legítimo (prevención del
fraude)”.
–“En el momento de la recogida de los datos no se proporciona la información
mínima prevista a la persona o no se le proporciona ninguna información.” En
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/136

este supuesto se considera que “no aplica” ni la probabilidad ni el impacto, ni
existe un riesgo inherente, siendo los controles la “cláusula de Protección de
datos incluida en el contrato firmado con el cliente con toda la información
requerida por el RGPD” y la “información facilitada al cliente previamente a la
realización del proceso de scoring”

En todas estas evaluaciones de impacto se contemplan como amenazas, entre otras
muchas, las relativas a que “la base que legitima el tratamiento no es adecuada, es
ilícita o no se ha formulado adecuadamente” y “en el momento de la recogida de los
datos no se proporciona la información mínima prevista a la persona o no se le
proporciona ninguna información” En ambos casos se valora la probabilidad como alta,
el impacto como muy alto y el riesgo inherente alto. Se mencionan los controles
adoptados, referidos a la base legitimadora del tratamiento, en el primero de los casos,
y “cláusula de Protección de datos incluida en el contrato firmado con el cliente con
toda la información requerida por el RGPD”, en el segundo. Se describen entre los
controles en curso para ambas amenazas en todos los canales, excepto en el canal
OOCC, “la implantación de un nuevo procedimiento de contratación a través de
representante, incorporando el envío de un mensaje SMS/Email a través del cual se
facilita la información básica necesaria en materia de protección de datos al titular del
contrato.”
No se expresa la fecha en que se incorporaron las actuaciones en curso a las
correspondientes evaluaciones de impacto.

Estos documentos se declaran reproducidos en este acto a efectos probatorios.

FUNDAMENTOS DE DERECHO

En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679,
del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las
Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante
RGPD) reconoce a cada Autoridad de Control, y según lo establecido en los artículos
47, 48, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la
Directora de la Agencia Española de Protección de Datos es competente para iniciar y
resolver este procedimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/136

El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

El artículo 4 del Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de estos datos
(Reglamento General de Protección de Datos, en adelante RGPD), bajo la rúbrica
“Definiciones”, dispone lo siguiente:

“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción”.

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros”

El artículo 24.1 del RGPD dispone respecto de la responsabilidad del responsable del
tratamiento que “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del
tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.”

En el presente supuesto, consta que EDP ENERGÍA, S.A.U es el responsable de los
tratamientos de datos, referidos en los antecedentes de hecho del presente acuerdo de
inicio del procedimiento sancionador, toda vez que, conforme a la definición del artículo
4.7 del RGPD, es quien determina la finalidad y medios de los tratamientos realizados con
las finalidades señaladas en la documentación aportada relativa a la contratación de sus
servicios, por lo que en su condición de responsable del tratamiento está obligada a
cumplir con lo dispuesto en el transcrito art 24 del RGPD y en especial en cuanto al control
efectivo y continuado de “medidas técnicas y organizativas apropiadas a fin de garantizar y
poder demostrar que el tratamiento es conforme con el presente Reglamento”

Asimismo, el artículo 25.1 del RGPD establece que “Teniendo en cuenta el estado de
la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del
tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el
tratamiento para los derechos y libertades de las personas físicas, el responsable del
tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/136

como en el momento del propio tratamiento, medidas técnicas y organizativas
apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los
principios de protección de datos, como la minimización de datos, e integrar las
garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados.”

Se tiene en cuenta a estos efectos lo señalado en los siguientes considerandos del
RGPD:

74. “Debe quedar establecida la responsabilidad del responsable del tratamiento por
cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En
particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y
ha de poder demostrar la conformidad de las actividades de tratamiento con el
presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el
riesgo para los derechos y libertades de las personas físicas.”

75. “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y
probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar
daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los
que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de
identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de
confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la
seudonimización o cualquier otro perjuicio económico o social significativo; en los
casos en los que se prive a los interesados de sus derechos y libertades o se les
impida ejercer el control sobre sus datos personales; en los casos en los que los datos
personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión
o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos,
datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones
penales o medidas de seguridad conexas; en los casos en los que se evalúen
aspectos personales, en particular el análisis o la predicción de aspectos referidos al
rendimiento en el trabajo, situación económica, salud, preferencias o intereses
personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o
utilizar perfiles personales; en los casos en los que se traten datos personales de
personas vulnerables, en particular niños; o en los casos en los que el tratamiento
implique una gran cantidad de datos personales y afecte a un gran número de
interesados.”

76. “La probabilidad y la gravedad del riesgo para los derechos y libertades del
interesado debe determinarse con referencia a la naturaleza, el alcance, el contexto y
los fines del tratamiento de datos. El riesgo debe ponderarse sobre la base de una
evaluación objetiva mediante la cual se determine si las operaciones de tratamiento de
datos suponen un riesgo o si el riesgo es alto.”

Por consiguiente, el responsable del tratamiento debe llevar a cabo un análisis de los
riesgos que los tratamientos de datos que efectúa puedan tener para los derechos y
libertades de las personas físicas, implantando las medidas técnicas y organizativas
apropiadas para aplicar los principios de protección de datos e integrar las garantías
necesarias en el tratamiento a fin de cumplir los requisitos del RGPD, debiendo poder
demostrar que el tratamiento es conforme con lo previsto en la citada norma.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/136

Los principios de protección de datos se encuentran recogidos en el artículo 5 del
RGPD, debiendo destacarse aquí el primero de ellos relativo a la licitud del
tratamiento. Conforme al artículo 5.1.a del RGPD “Los datos personales serán: a)
tratados de manera lícita, leal y transparente en relación con el interesado («licitud,
lealtad y transparencia»). El número segundo del artículo 5 dispone que “El
responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el
apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).”

La licitud del tratamiento implica que los datos personales solamente pueden ser
tratados por el responsable del tratamiento cuando concurra alguna de las bases
legitimadoras enumeradas en el artículo 6 del RGPD.

Teniendo en cuenta la documentación aportada por el responsable del tratamiento,
cabe señalar que la contratación de los servicios de electricidad por parte de EDP
ENERGÍA, S.A.U. puede llevarse a cabo por diferentes canales siendo estos los
siguientes:

A- Telefónico, que incluye los siguientes subcanales: CAC Inbound, Telemarketing y
Leads.
B. Canal Web.
C. Distribuidores, que incluye Oficinas Comerciales propias de EDP y Tiendas ajenas.
D. Fuerzas de Venta Externas, que pueden ser: Stands en Ferias, Centros
Comerciales, etc., o visitas a domicilio con solicitud previa.

Conforme a dicha documentación, la contratación del servicio puede llevarse a cabo
con un representante del cliente, excepto cuando se trata del canal web y el subcanal
tiendas ajenas en que no está permitida. El examen de los procedimientos de
contratación del servicio descritos por el responsable y la documentación aportada
evidencian que cuando la contratación del servicio se lleva a cabo mediante
representante no se requiere a éste que acredite la representación que dice ostentar.
Esta ausencia de acreditación tiene una única excepción cuando la contratación del
servicio se efectúa en el subcanal Oficinas comerciales propias en que se recaba un
documento acreditativo de la autorización otorgada para la contratación por el
representado unida a la presentación del DNI de éste (evidencia 5)..

De este modo, en la medida en que no se ha implantado un procedimiento que permita
acreditar la representación de quien efectúa una contratación en nombre de un
tercero, se pueden generar diversos riesgos pudiendo mencionarse, a título de
ejemplo, el consistente en un tratamiento de datos del representado sin legitimación, el
riesgo de suplantación de identidad o los perjuicios económicos o de otro tipo que se
puedan ocasionar al interesado como consecuencia del cambio de compañía
suministradora del servicio con la consiguiente cancelación del contrato de origen o el
cambio de titularidad del contrato o de la modalidad del contrato con la compañía
suministradora, sin que el interesado haya consentido tales cambios.

En segundo lugar, en la documentación aportada se observa que en el canal de
contratación telefónica ( subcanales CAC inbound, Telemarketing y leads) junto a la
contratación del servicio, se solicita el consentimiento para llevar a cabo otros
tratamientos, tales como el envío de ofertas relacionadas con la energía adaptadas al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/136

perfil del cliente tras la finalización del contrato o la remisión en cualquier momento de
información de productos o servicios no energéticos de empresas colaboradoras o de
EDP. Esta solicitud se efectúa al representante como se desprende de la propia
literalidad del texto de las evidencias 2, 3 y 4 remitidas, según las cuales se pregunta a
éste: “¿Nos permite presentar a su representado ofertas relacionadas con la energía
adaptadas a su perfil tras la finalización del contrato, o remitirle en cualquier momento
información de productos y servicios no energéticos, de Empresas Colaboradoras o de
EDP?” (evidencia 2) “¿Nos permite presentar a su representado ofertas relacionadas
con la energía tras la finalización del contrato, o remitirle en cualquier momento
información de productos y servicios del sector financiero, asegurador y de
automoción, de Empresas Colaboradoras o de EDP?” (evidencia 3). “¿Nos permite
presentarle ofertas relacionadas con la energía adaptadas a su perfil tras la
finalización del contrato, o remitirle en cualquier momento información de productos y
servicios no energéticos, de Empresas Colaboradoras o de EDP? (evidencia 4).

En ninguno de los tres supuestos, según se desprende del análisis de los
procedimientos seguidos por el responsable en los procesos de contratacion, se
solicita acreditación de que el representante ha sido autorizado para prestar tal
consentimiento en nombre del representado.

Tampoco se acredita que el representante haya sido autorizado por su representado
para consentir el tratamiento de datos con fines publicitarios a que arriba se ha hecho
referencia, en el caso de que así lo haga, cuando el proceso de contratación se lleve a
cabo a través del canal de oficinas comerciales propias de EDP ENERGÍA, S.A.U. ya
que no se contempla tal posibilidad en el documento presentado como evidencia 5, en
el que se contienen las autorizaciones para diversos tratamientos por parte del
representante, debiendo tenerse en cuenta que debe, en su caso, tratarse de un
mandato específico sin que pueda deducirse de una autorización general para otros
tratamientos.

En el caso de la contratación a través del canal fuerzas externas, la evidencia 6, a la
que el responsable denomina talonario de ventas, contiene, en el recuadro titulado
“cliente/representante”, una casilla para consentir el tratamiento de datos personales,
en los siguientes términos: “Consiento el tratamiento de mis datos personales una vez
finalizada la relación contractual, para la realización de comunicaciones comerciales
adaptadas a mi perfil de productos y servicios relativos al suministro y consumo de
energía. Asimismo, consiento los mencionados tratamientos durante la vigencia y tras
la finalización del contrato, sobre productos y servicios no energéticos, tanto de las
empresas del Grupo EDP como de terceros.” En dicho contrato o talonario de ventas,
como se ha denominado por el responsable, consta igualmente, tras los espacios
destinados a los datos del representante que “declara disponer de facultades
suficientes para suscribir el presente contrato en nombre del cliente a quien se
responsabiliza de informar de todas las condiciones del mismo.” Tampoco en este
procedimiento de contratación se exige una acreditación de la representación que se
dice ostentar para contratar o prestar el consentimiento para otros tratamientos en
nombre del representado, siendo la representación meramente declarada por el
representante.

Tampoco en estos supuestos se ha implantado un procedimiento que permita acreditar
que el representante disponía de la autorización del representado para consentir tales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

98/136

tratamientos, produciéndose el riesgo de tratamiento de datos del representado sin
legitimación, quedando éste expuesto a la recepción de publicidad incluso después de
finalizada la relación contractual. En el caso del canal fuerzas de venta externas se
incrementa el riesgo, dado que ni siquiera se envía el contrato al representado, sino
que se le da la copia al representante al que se responsabiliza de informar al
representado.

En tercer lugar, se observa en la documentación obrante en el presente procedimiento
que en el momento de la contratación a través del canal telefónico, en todos los
subcanales, se solicita al representante permiso para “completar el perfil comercial del
representado con información de bases de terceros, con la finalidad de enviarle
propuestas comerciales y la posibilidad de contratar o no determinados servicios”
(evidencia 2, 3 y 4). Al igual que en el supuesto anterior no queda acreditado que el
representante esté autorizado por el representado para consentir tal tratamiento.

Lo mismo puede decirse cuando el consentimiento para este tratamiento se presta por
el representante en el canal oficinas comerciales propias, ya que no consta tampoco
en el documento en que se reflejan las autorizaciones que se otorgan al representante
(evidencia 5), autorizaciones específicas para que el representante preste su
consentimiento para tales tratamientos.

En el caso del canal fuerzas externas, en el denominado talonario de ventas, aparece
una casilla para prestar el consentimiento, que se formula de la siguiente manera:
“Consiento el tratamiento de mis datos personales para la elaboración de mi perfil
comercial con información proveniente de bases de datos de terceros, para la
adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar
propuestas comerciales personalizadas, así como para permitir, o no, la contratación
de determinados servicios.” Igualmente, no se exige acreditación de la autorización del
representado para prestar su consentimiento a estos tratamientos, considerando que
basta su declaración en tal sentido. Por otra parte, al igual que se puso de manifiesto
anteriormente, se aumenta el riesgo para el representado toda vez que del talonario de
ventas (evidencia 6) se desprende que se entrega una copia del documento al
representante al que se responsabiliza de informar al representado.

Tampoco en estos supuestos se ha implantado un procedimiento que permita acreditar
que el representante disponía de la autorización del representado para consentir tales
tratamientos, quedando el interesado expuesto a que se haga un perfilado con
información procedente de bases de datos de terceros o se tomen decisiones
automatizadas respecto de él sin haberlo consentido.

En las alegaciones al acuerdo de inicio del presente procedimiento se manifestaba que
la libertad de forma en el modo establecido en el Código Civil para el contrato de
mandato resulta incompatible con la obtención de una evidencia de la existencia de la
representación o mandato, más allá de las manifestaciones del mandatario, amparada
en la buena fe contractual. Sin embargo, tal y como esta Agencia ha señalado en la
propuesta de resolución, nada impide que una de las partes de un contrato requiera a
quien actúa como mandatario de la otra parte la acreditación de la representación que
dice ostentar, prueba de ello es que la propia EDP ENERGÍA, S.A.U. así lo exige en su
procedimiento de contratación en el canal oficinas comerciales propias, requiriendo al
representante un documento acreditativo de la autorización otorgada para la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

99/136

contratación por el representado firmada por ambos a la que debe acompañarse el
DNI tanto del representante como del representado. Se alega ahora por dicha entidad
que no está obligada a efectuar con los terceros autorizados que contratan a través del
canal telefónico o fuerzas de venta externas ninguna comprobación sobre la existencia
y alcance de su mandato, sobre la base de que la posibilidad de comprobación de los
poderes del mandante constituyen una carga para el mandatario, no para el tercero,
puesto que los intereses que se trata de salvaguardar, en el marco del derecho civil,
son los de éste, y no los del mandatario ni tampoco los del mandante. Se alega
asimismo, que en el poder para contratar el servicio a través de tercero autorizado
reside el poder para prestar los consentimientos inherentes al proceso de contratación,
incluidos los relativos al tratamiento de datos personales.

Esta Agencia no puede compartir tales argumentos, la normativa de protección de
datos personales pone el foco en la protección de este derecho de los interesados, de
manera que sus datos solamente pueden ser tratados cuando existe una legitimación,
sin la cual no puede llevarse a cabo ningún tratamiento de datos. En el caso que nos
ocupa la legitimación puede derivar de la existencia de un contrato o de la prestación
de un consentimiento para determinados tratamientos, de modo que si el contrato se
efectúa por un tercero en representación del interesado o tales consentimientos se
prestan por un tercero en nombre del interesado, el responsable del tratamiento debe
actuar diligentemente para comprobar que efectivamente quien afirma estar
autorizado para actuar en nombre de otro, efectivamente lo está y que esa
autorización alcanza no solamente a la realización de un contrato, sino a la prestación
de consentimientos para otros tratamientos de datos diferentes que se le solicitan
durante el proceso de contratación. En este último caso, con mayor motivo puede
dudarse de la existencia de tal autorización por el interesado para consentir
tratamientos en su nombre, teniendo en cuenta que las solicitudes de consentimiento
para el envío de comunicaciones comerciales y de la realización de perfilados se
efectúan durante el proceso de contratación telefónica, de manera inesperada, de
manera que es difícil pensar que el representado haya autorizado previamente al
representante a prestar tales consentimientos. De la misma manera, resulta dudoso
que en un proceso de contratacion en el canal fuerzas externas, que debe recordarse
se refiere a la contratación en stands de ferias o centros comerciales, exista una
autorización previa para consentir tratamientos en nombre del representado, ya que tal
solicitud se hace igualmente durante el proceso de contratación, agravándose el
riesgo para el interesado en tanto que ni siquiera se le envía el contrato, sino que se le
da copia al representante al que se responsabiliza de informar al representado.

De este modo el primero de los riesgos a valorar es precisamente la legitimación para
cada tratamiento, y en particular, y en el caso de que se actúe mediante representante
los riesgos que para el interesado tiene el tratamiento de sus datos sin la debida
legitimación, en el caso de que el representante carezca de poder para permitir tales
tratamientos.

El análisis de riesgos presentado inicialmente no contempla los riesgos mencionados
anteriormente, limitándose a mencionar como riesgos las comunicaciones comerciales
y el scoring/profiling, riesgos que ni siquiera se contemplan para el canal fuerzas de
venta externas. El análisis de riesgos presentado con las alegaciones al acuerdo de
inicio tampoco contempla tales riesgos, resultando sustancialmente igual al anterior
incluyéndose solamente dos columnas que bajo el mismo título “Nº criterios EIPD-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

100/136

WP29” señalan en una de ellas el supuesto número de criterios y la necesidad de
llevar a cabo una EIPD.

Se aportan con las alegaciones varias evaluaciones de impacto, una por cada uno de
los canales de venta, en las que se se contemplan como amenazas, entre otras, las
dos siguientes: “la base que legitima el tratamiento no es adecuada, es ilícita o no se
ha formulado adecuadamente” y “en el momento de la recogida de los datos no se
proporciona la información mínima prevista a la persona o no se le proporciona
ninguna información” En ambos casos se valora la probabilidad como alta, el impacto
como muy alto y el riesgo inherente como alto. Se mencionan los controles adoptados,
que respecto de la primera amenaza vienen constituidos por la referencia a la base
legitimadora del tratamiento y en el caso de la segunda se señala como control
adoptado lo siguiente: “cláusula de Protección de datos incluida en el contrato firmado
con el cliente con toda la información requerida por el RGPD”. Se describen entre los
controles en curso para ambas amenazas en todos los canales, excepto en el canal
OOCC a clientes o clientes potenciales, “la implantación de un nuevo procedimiento de
contratación a través de representante, incorporando el envío de un mensaje
SMS/Email a través del cual se facilita la información básica necesaria en materia de
protección de datos al titular del contrato.” No consta la fecha en que se incorporó a
las evaluaciones de impacto esa actuación en curso.

Alega EDP ENERGÍA, S.A.U que la AEPD pretende justificar el inicio de este
expediente sancionador en la supuesta inexistencia de una documentación que nunca
se ha solicitado. Y señala que cuenta con una metodología de identificación, análisis y
gestión de riesgos, tanto para identificar los riesgos inherentes, como específicamente
para valorar la necesidad de la realización de las Evaluaciones de Impacto, incluyendo
como anexo la documentación justificativa que acredita sobradamente que cumple
íntegra y plenamente con estas obligaciones.

A este respecto, debe tenerse en cuenta que las obligaciones establecidas en los
artículos 24 y 25 del RGPD no constituyen meras obligaciones formales, sino que
como señala el artículo 24 “el responsable aplicará medidas técnicas y organizativas
apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el
presente Reglamento.” Y el artículo 25, igualmente reitera que “el responsable del
tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento
como en el momento del propio tratamiento, medidas técnicas y organizativas
apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los
principios de protección de datos, como la minimización de datos, e integrar las
garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados.” Se trata además de una
obligación dinámica, cada modificación de las medidas técnicas y organizativas debe
igualmente ser objeto de un análisis de riesgos para determinar si dicha modificación
es apta para aplicar de forma efectiva los principios de protección de datos e integrar
las garantías necesarias en el tratamiento.

En el presente supuesto, con independencia de cuándo se haya incluido en cada
Evaluación de impacto entre los controles en curso la implantación de ese nuevo
procedimiento de contratacion a través de representante, ya que dicha fecha no
consta, no es hasta el 16 de julio de 2020 en que se presenta ante esta Agencia un
escrito manifestando que “ha revisado el procedimiento a seguir en las contrataciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

101/136

por terceros en nombre del titular, a fin de fortalecer dicho procedimiento y reducir los
riesgos de posibles suplantaciones de identidad realizadas de mala fe por la parte
contratante en este tipo de procesos, teniendo en cuenta, adicionalmente, las
necesidades particulares identificadas con motivo del estado de alarma decretado el
pasado mes de marzo y que necesariamente ha requerido que todas las
contrataciones sean realizadas de forma no presencial.

Que a fin de poner en el conocimiento de la AEPD las concretas acciones que se
están llevando a cabo en relación con este asunto por parte de EDP, en cumplimiento
de su deber de cumplimiento proactivo (accountability), les adjuntamos el
“Procedimiento de contratación por terceros en nombre del titular”, para que tengan
visibilidad sobre las modificaciones que se están implementando en dichos procesos
con el fin de atender su petición al respecto, así como para poner de manifiesto la
proactividad de EDP en cuanto a su sugerencia de adaptación de dicho
procedimiento.” Dicho escrito no señalaba la fecha de implantación de tales medidas.

En las alegaciones de EDP ENERGÍA S.A.U., se expone que “el protocolo de
contratación propuesto ha sido puesto en conocimiento de la AEPD en fecha 16 de
julio de 2020, presentado en todo caso antes de recibir el escrito de Acuerdo de Inicio
de Procedimiento Sancionador, siendo un Requerimiento de información con número
común para EPD ENERGÍA y EDP COMERCIALIZADORA sin que hasta la fecha la
AEPD se haya pronunciado respecto al mismo con el correspondiente informe jurídico
de valoración, tal y como se le solicitaba, para poder implementar un sistema que
fuera totalmente conforme con los criterios e interpretaciones de la AEPD, limitándose
hasta el momento a incluir en el Acuerdo de Inicio remitido a EDP ENERGÍA
determinadas consideraciones en relación con el mismo.” Afirma igualmente que “En
cuanto a la fecha de implantación, la misma depende precisamente de la opinión que
sobre este procedimiento manifieste la AEPD, puesto que no tendría sentido ponerlo
en marcha si la autoridad de control considera que no se ajusta a sus criterios para
considerarlo un procedimiento adecuado, teniendo en cuenta los costes económicos
asociados a esta implementación, además de los recursos de tiempo y dedicación
necesarios para el despliegue de estas medidas.”

En las alegaciones a la propuesta de resolución se indica que el procedimiento se ha
implantado en enero de 2021. Añade también que se ha eliminado de su
procedimiento de contratación por representación la posibilidad de solicitar
consentimientos para finalidades de marketing y comerciales a los que se refiere la
AEPD, adjuntado unos documentos para evidenciar esta eliminación. Sin perjuicio de
que esta Agencia valore positivamente que se haya eliminado la posibilidad de solicitar
tales consentimientos, resulta sorprendente el procedimiento seguido en los canales
telefónicos, en los que la supresión consiste en indicar “[Leer solo a personas jurídicas
que llaman en representación de un negocio] Además, para que podamos asesorarle
con las mejores propuestas: • ¿Nos permite presentarle a su representado ofertas
relacionadas con la energía tras la finalización del contrato, o remitirle información de
productos y servicios no energéticos, propios de Empresas Colaboradoras? [SÍ/NO] •
¿Nos permite completar el perfil comercial de su representado con información
proporcionada por terceros, para enviarle propuestas personalizadas? [SÍ/NO].” La
normativa de protección de datos no ampara a las personas jurídicas, de modo que
resulta ajena a ella el que se solicite un consentimiento para llevar a cabo un perfilado
de éstas con información proporcionada por terceros para enviarle propuestas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

102/136

personalizadas. En todo caso, no se indica que tratamiento se va a dar a las
autorizaciones prestadas por representante de personas físicas para el envío de
comunicaciones comerciales y realización de perfilados solicitados con anterioridad a
la adopción de dicha medida. Por otra parte tampoco se ha aportado el análisis de
riesgo del que deriva la modificación del procedimiento de contratación ni la
fundamentación sobre la aptitud de las medidas adoptadas para minimizarlos.
Reiterando el incumplimiento del principio de responsabilidad proactiva exigido por el
Reglamento.

Todo ello viene a demostrar que no se habían adoptado medidas para comprobar la
existencia de autorización para contratar o para prestar en nombre del representado el
consentimiento para otros tratamientos hasta enero de este año en que se implantó
según exponen un nuevo procedimiento, para comprobar la realidad de la
representación y se ha eliminado, sin indicar desde que fecha, la posibilidad de
solicitar al representante la autorización para llevar a cabo tratamientos de datos
distintos al contrato como el envío de comunicaciones comerciales y la realización de
perfiles comerciales, incumpliéndose así las obligaciones establecidas en el artículo 25
que no vienen limitadas a aspectos formales, sino a la efectiva implantación de
medidas técnicas y organizativas apropiadas, medidas que a su vez deben ser objeto
del correspondiente análisis de riesgos para determinar su aptitud para conseguir el
resultado perseguido.

Por otra parte, en relación con lo expuesto en las alegaciones al acuerdo de inicio, en
que se indicaba que tales medidas no habían sido implantadas en tanto que esta
Agencia no había emitido un informe jurídico para evaluarlas, tal y como resulta de lo
previsto en el RGPD es el responsable, en cumplimiento de sus obligaciones de
responsabilidad proactiva, quien debe implantar las medidas técnicas y organizativas
necesarias, tal y como expresan los artículos 24 y 25 del RGPD, o como se señala en
los términos del considerando 73 de la misma norma: “En particular, el responsable
debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas” y es al responsable a quien corresponde valorar si tales
medidas resultan adecuadas. En segundo lugar, esta Agencia no está obligada a emitir
informe jurídico alguno sobre tales actuaciones, que además en el caso de que
voluntariamente pudiera emitirse, no tiene carácter vinculante, por lo que no cabe
justificar en la ausencia de un informe jurídico de la AEPD el incumplimiento de las
obligaciones del responsable.

Asimismo, en las alegaciones al acuerdo de inicio se indicaba por EDP ENERGÍA,
S.A.U. la aplicación del principio non bis in idem por considerar que la apreciación de
la comisión se deriva de acontecimientos que, con anterioridad al presente
procedimiento, han sido previamente analizados por la AEPD. A este respecto cabe
recordar que la sentencia del Tribunal Constitucional 77/2010, de 19 de octubre viene
a señalar respecto de dicho principio que “tal como hemos afirmado la citada triple
identidad de sujeto, hecho y fundamento "constituye el presupuesto de aplicación de la
interdicción constitucional de incurrir en bis in idem, sea éste sustantivo o procesal, y
delimita el contenido de los derechos fundamentales reconocidos en el art. 25.1 CE, ya
que éstos no impiden la concurrencia de cualesquiera sanciones y procedimientos
sancionadores, ni siquiera si éstos tienen por objeto los mismos hechos, sino que
estos derechos fundamentales consisten precisamente en no padecer una doble
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

103/136

sanción y en no ser sometido a un doble procedimiento punitivo, por los mismos
hechos y con el mismo fundamento" No puede admitirse tal alegación, ya que no cabe
apreciar aquí que se trate de los mismos hechos y fundamento que en procedimientos
anteriores seguidos contra EDP ENERGÍA, S.A.U., ya que en los mismos se imputaba
bien la infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de
Protección de Datos de Carácter Personal o bien la infracción del artículo 6.1 del
RGPD, por tratar los datos personales de los reclamantes sin legitimación.

En consecuencia, de conformidad con las constataciones expuestas, los citados
hechos podrían suponer una posible vulneración del artículo 25 del RGPD, que da
lugar a la aplicación de los poderes correctivos que el artículo 58 del RGPD otorga a la
Agencia Española de Protección de datos.

III

El número 11 del artículo 4 del RGPD define el consentimiento como “Toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen”

Por su parte, los artículos 6 y 7 del RGPD se refieren, respectivamente, a la “Licitud
del tratamiento” y las “Condiciones para el consentimiento”:

Artículo 6 del RGPD.“1. El tratamiento solo será lícito si se cumple al menos una de
las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas
a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al
tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más
precisa requisitos específicos de tratamiento y otras medidas que garanticen un
tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de
tratamiento a tenor del capítulo IX.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

104/136

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser
establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo
relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener
disposiciones específicas para adaptar la aplicación de normas del presente
Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento
por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines
de tal comunicación; la limitación de la finalidad; los plazos de conservación de los
datos, así como las operaciones y los procedimientos del tratamiento, incluidas las
medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras
situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión
o de los Estados miembros cumplirá un objetivo de interés público y será proporcional
al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización”.

Artículo 7 del RGPD.
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita
que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de
tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de
fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte
de la declaración que constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

105/136

retirada del consentimiento no afectará a la licitud del tratamiento basada en el
consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado
será informado de ello. Será tan fácil retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la
mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato,
incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de
datos personales que no son necesarios para la ejecución de dicho contrato”.

Se tiene en cuenta lo expresado en los considerandos 32, 40 a 44 y 47 del RGPD en
relación con lo establecido en los artículos 6 y 7 antes reseñados. De lo expresado en
estos considerandos, cabe destacar lo siguiente:

(32) El consentimiento debe darse mediante un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada, e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernen, como una
declaración por escrito, inclusive por medios electrónicos, o una declaración verbal.
Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros
técnicos para la utilización de servicios de la sociedad de la información, o cualquier
otra declaración o conducta que indique claramente en este contexto que el interesado
acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las
casillas ya marcadas o la inacción no deben constituir consentimiento. El
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a
raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no
perturbar innecesariamente el uso del servicio para el que se presta.

(42) Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el
responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su
consentimiento a la operación de tratamiento. En particular en el contexto de una
declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el
interesado es consciente del hecho de que da su consentimiento y de la medida en
que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo (LCEur 1993, 1071),
debe proporcionarse un modelo de declaración de consentimiento elaborado
previamente por el responsable del tratamiento con una formulación inteligible y de
fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas
abusivas. Para que el consentimiento sea informado, el interesado debe conocer como
mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los
cuales están destinados los datos personales. El consentimiento no debe considerarse
libremente prestado cuando el interesado no goza de verdadera o libre elección o no
puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.

(43) (…) Se presume que el consentimiento no se ha dado libremente cuando no
permita autorizar por separado las distintas operaciones de tratamiento de datos
personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un
contrato, incluida la prestación de un servicio, sea dependiente del consentimiento,
aún cuando este no sea necesario para dicho cumplimiento.

Procede tener en cuenta, igualmente lo establecido en el artículo 6 de la LOPDGDD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

106/136

“Artículo 6. Tratamiento basado en el consentimiento del afectado
1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679,
se entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual”.

De acuerdo con lo expresado, el tratamiento de datos requiere la existencia de una
base legal que lo legitime, como el consentimiento del interesado prestado
válidamente.

Del análisis de los procedimientos de contratación del servicio de gas establecidos por
EDP ENERGÍA, S.A.U, se desprende que en la contratación efectuada a través de los
subcanales telefónicos (CAC Inbound, Telemarketing y Leads) se solicita al
representante permiso para “completar el perfil comercial de representado con
información de bases de terceros, con la finalidad de enviarle propuestas comerciales
y la posibilidad de contratar o no determinados servicios” (evidencia 2, 3 y 4).

Consta en las evidencias 2,3 y 4 que se facilita la siguiente información al contratante
“Sus datos personales y los de su representado serán tratados por EDP Comercializa-
dora SAU y EDP Energía SAU para la gestión de sus contratos, prevención de fraude,
realización de perfiles basados en información del cliente y de EDP, así como la reali-
zación de comunicaciones personalizadas sobre productos o servicios directamente
relacionados con sus contratos, pudiendo en cualquier momento oponerse a las mis-
mas". A continuación, se le solicita su consentimiento en los siguientes términos:
"Adicionalmente, para que desde EDP podamos asesorarle con las mejores propues-
tas:
¿Nos permite completar el perfil comercial de su representado con información de ba-
ses de datos de terceros, con la finalidad de enviarle propuestas personalizadas y la
posibilidad de contratar o no determinados servicios? [SI/NO]”
En lo que respecta al canal ventas por fuerzas de venta externas, en el Talonario de
ventas (evidencia 6), figura la siguiente solicitud de consentimiento junto con una
casilla para marcar el mismo:
“Consiento el tratamiento de mis datos personales para la elaboración de mi perfil
comercial con información proveniente de bases de datos de terceros, para la
adopción, por parte de EDP, de decisiones automatizadas con la finalidad de enviar
propuestas comerciales personalizadas, así como para permitir, o no, la contratación
de determinados servicios.”
Se considera que el consentimiento así prestado no resulta ajustado a lo previsto en el
RGPD y en la LOPDGDD. Se pide un consentimiento con una información deficiente,
en tanto no se indican ni qué bases de terceros se van a consultar ni qué tipo de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

107/136

se van a recabar, de modo que el interesado desconoce absolutamente que es lo que
está consintiendo. Tampoco se determina quien va a ser el responsable del
tratamiento, se hace una referencia genérica a EDP, sin que el cliente que haya
contratado un servicio únicamente con una de las dos entidades (EDP
COMERCIALIZADORA S.A.U. o EDP ENERGÍA, S.A.U.) sepa si está consintiendo
que tales tratamientos lo lleven a cabo ambas entidades o solamente aquella de la que
es cliente. Tampoco se aclara que tipo de servicios se va a permitir contratar o no.
Tales deficiencias no permiten que el interesado conozca las consecuencias de su
decisión y valore así la conveniencia de prestar o no su consentimiento.

Se pide, asimismo, un único consentimiento para dos finalidades diferentes, aunque
ambas sean automatizadas, una de ellas es el envío de publicidad personalizada y, la
otra, dar permiso para que el responsable determine si le permite o no contratar
determinados servicios, por lo que no puede considerarse que tal consentimiento sea
específico en los términos de los artículos 4.11 y 6,1.a) del RGPD y 6.1 de la
LOPDGDD.

Respecto a la decisión automatizada relativa a “permitir o no la contratación de un
servicio” debe, además, tenerse en cuenta lo previsto en el artículo 22 del RGPD
según el cual:
“1. Todo interesado tendrá derecho a no ser objeto de una decisión basada
únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que
produzca efectos jurídicos en él o le afecte significativamente de modo similar.
2. El apartado 1 no se aplicará si la decisión:
a) es necesaria para la celebración o la ejecución de un contrato entre el interesado y
un responsable del tratamiento;
b) está autorizada por el Derecho de la Unión o de los Estados miembros que se
aplique al responsable del tratamiento y que establezca asimismo medidas adecuadas
para salvaguardar los derechos y libertades y los intereses legítimos del interesado, o
c) se basa en el consentimiento explícito del interesado.
3. En los casos a que se refiere el apartado 2, letras a) y c), el responsable del
tratamiento adoptará las medidas adecuadas para salvaguardar los derechos y
libertades y los intereses legítimos del interesado, como mínimo el derecho a obtener
intervención humana por parte del responsable, a expresar su punto de vista y a
impugnar la decisión.
4. Las decisiones a que se refiere el apartado 2 no se basarán en las categorías
especiales de datos personales contempladas en el artículo 9, apartado 1, salvo que
se aplique el artículo 9, apartado 2, letra a) o g), y se hayan tomado medidas
adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del
interesado.”

De conformidad con lo previsto en dicho precepto, en la medida en que las decisiones
automatizadas van a producir efectos jurídicos en el interesado o le van a afectar de
modo significativo, el consentimiento debe ser explícito, por lo que su obtención no
puede efectuarse de la misma manera que para obtener un consentimiento general,
debiendo obtenerse de forma reforzada. A ello debe añadirse que el artículo 13 del
RGPD en su letra f) requiere que se aporte al interesado información significativa
sobre la lógica aplicada, así como la importancia y las consecuencias previstas de
dicho tratamiento para el interesado. Esta información no se facilita lo que, además,
puede dificultar el ejercicio por parte de los interesados de sus derechos y en especial
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

108/136

de los recogidos expresamente en el art. 22 del RGPD: derecho a obtener intervención
humana por parte del responsable, a expresar su punto de vista y a impugnar la
decisión.

Alega EDP ENERGÍA, S.AU. que el consentimiento se facilita en función de las
buenas prácticas enunciadas por la AEPD y ratificadas por la LOPDGDD, de modo
que se traslada a los interesados mediante el sistema de doble capa, alega también
que respecto de la ausencia de identificación de las fuentes de terceros o de las
categorías de datos, dicha información puede desprenderse de la información
facilitada al cliente en la primera capa (al identificar con claridad que el tratamiento
será efectuado con fuentes de terceros) como en la segunda capa, cuyo contenido
consta en el apartado denominado “condiciones generales del contrato”, cuyo
contenido señala: “(II) La elaboración de perfiles comerciales del Cliente mediante la
agregación de las bases de datos de EDP con datos provenientes de bases de datos
de terceros, con el fin de ofrecer al Cliente productos y servicios personalizados,
mejorando así la experiencia del Cliente. (III)La adopción de decisiones
automatizadas, tales como permitir la contratación, o no, de determinados productos
y/o servicios basadas en el perfil del Cliente y particularmente, en datos tales como, el
histórico de impagos, el histórico de contrataciones, permanencia, ubicaciones, datos
de consumo, tipos de dispositivos conectados a la red energética, y datos semejantes
que permitan conocer con mayor detalle los riesgos asociados a la contratación. (iv)
Tomando como base los resultados obtenidos de la agregación de los datos indicados,
EDP podrá realizar ofertas personalizadas y concretamente orientadas a lograr la
contratación de determinados productos y/o servicios de EDP.”

Señala que tal y como se refleja en el texto citado, EDP ENERGÍA ha identificado con
amplio detalle las tipologías de datos que se tratan con los fines detallados, siendo las
fuentes consultadas para ello una evidente derivación de lo anterior. Alega por último
que siendo el origen de los datos el propio interesado, únicamente corresponde a la
Entidad informar de acuerdo con lo previsto en el artículo 13 RGPD, disposición que
no establece, en ninguno de sus preceptos, la obligatoriedad de identificar ni la fuente
ni la tipología de los datos. Únicamente en el caso de que dicho tratamiento se hubiera
llegado a efectuar, la Entidad debía haber informado de tales extremos, toda vez que
solo en dicho momento sería de aplicación lo dispuesto en el artículo 14 RGPD.

Dichas alegaciones no pueden compartirse, el sistema de doble capa no está previsto
en la LOPDGDD como un mecanismo que pueda dar lugar a un incumplimiento de lo
previsto en el artículo 4.11 del RGPD, según el cual el consentimiento debe ser libre,
específico, informado e inequívoco. Cabe aquí recordar lo señalado por el Comité
Europeo de Protección de Datos en el documento ““Directrices 05/2020 sobre el
consentimiento con arreglo al Reglamento 2016/679” aprobadas el 4 de mayo de
2020, que actualiza las Directrices sobre el consentimiento en virtud del Reglamento
2016/679, adoptadas por el Grupo de Trabajo del artículo 29 y que fueron aprobadas
por el Comité Europeo de Protección de Datos en su primera reunión plenaria. Señala
dicho documento en su punto 3.3.1. Requisitos mínimos de contenido para que el
consentimiento sea «informado»:
“Para que el consentimiento sea informado es necesario comunicar al interesado
ciertos elementos que son cruciales para poder elegir. Por tanto, el CEPD opina que
se requiere, al menos, la información siguiente para obtener el consentimiento válido:
i. la identidad del responsable del tratamiento,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

109/136

ii. el fin de cada una de las operaciones de tratamiento para las que se solicita el
consentimiento,
iii. qué (tipo de) datos van a recogerse y utilizarse,
iv. la existencia del derecho a retirar el consentimiento,
v. información sobre el uso de los datos para decisiones automatizadas de
conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi. información sobre los posibles riesgos de transferencia de datos debido a la
ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se
describen en el artículo 46.”

En el presente caso, no queda determinada la identidad del responsable del
tratamiento, toda vez que el mismo se recaba en nombre de EDP, se trata de una
información ambigua, ya que el cliente de EDP ENERGÍA, S.A.U. desconoce si está
consintiendo que los tratamientos de datos se lleven a cabo por EDP
COMERCIALIZADORA S.A.U y EDP ENERGÍA, S.A.U. o solamente por aquélla
entidad con la que está contratando. Por otra parte, en ningún momento se le informa
cuáles son las bases de datos de terceros de las que van a obtenerse datos, ni
siquiera en la segunda capa, resultando inadmisible que deba deducirla el propio
cliente de las categorías de datos que trata. Tampoco cabe admitir que solamente en
el supuesto de que se hubiera llevado a cabo el tratamiento debería informarse al
interesado de qué datos van a tratarse, ya que solamente en tal caso resultaría de
aplicación el artículo 14 del RGPD. Por el contrario, es fundamental que el interesado
conozca que tipos de datos van a recogerse y utilizarse, por lo que tal información,
esto es los datos de bases de terceros que van a utilizarse y, obviamente, que bases
son esas, es un elemento esencial para que el interesado sepa qué está consintiendo.

No pueden compartirse las alegaciones relativas a que el consentimiento es específico
porque existe un único propósito, como sería la generación de un perfil comercial,
cuya utilización se ciñe a dos contextos vinculados entre sí: (i) el primero, para llevar a
cabo la valoración de la posibilidad de contratar y, (ii) el segundo, para emitir las
correspondientes ofertas comerciales al usuario en cuestión. Las solicitudes de
consentimiento para permitir completar el perfil comercial mencionan dos finalidades
diferenciadas, uno el envío de propuestas comerciales personalizadas, descritas con
este carácter genérico, lo que puede incluir cualquier propuesta comercial no vinculada
a sus servicios y otra, la posibilidad de contratar o no determinados servicios, entrando
esta última, en su caso, en el ámbito de las decisiones automatizadas.

Tampoco cabe admitir, como alega EDP ENERGÍA, S.A.U que la información relativa a
la elaboración de perfiles y decisiones automatizadas, cumple con lo requerido por el
artículo 13 del RGPD, ya que informa sobre la existencia de decisiones automatizadas,
incluida la elaboración de perfiles y facilita información significativa sobre la lógica
aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento
para el interesado.

En este sentido cabe tener en cuenta lo señalado en las Directrices sobre decisiones
individuales automatizadas y elaboración de perfiles a los efectos del Reglamento
2016/679 adoptadas por el Grupo de Trabajo sobre Protección de Datos del artículo 29
el 3 de octubre de 2017, revisadas por última vez y adoptadas el 6 de febrero de 2018
y aprobadas por el Comité Europeo de Protección de Datos en su primera reunión

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

110/136

plenaria, que se refiere a la información significativa sobre la lógica aplicada en los
siguientes términos:

“Información significativa sobre la «lógica aplicada»
El crecimiento y la complejidad del aprendizaje automático pueden hacer que resulte difícil
entender cómo funciona un proceso de decisiones automatizadas o de elaboración de perfiles.
El responsable del tratamiento debe hallar formas sencillas de informar al interesado acerca de
la lógica subyacente o los criterios utilizados para llegar a la decisión. El RGPD exige que el
responsable del tratamiento ofrezca información significativa sobre la lógica aplicada, no
necesariamente una compleja explicación de los algoritmos utilizados o la revelación de todo el
algoritmo.
No obstante, la información facilitada debe ser suficientemente exhaustiva para que el
interesado entienda los motivos de la decisión.
Ejemplo
Un responsable del tratamiento utiliza la calificación crediticia para evaluar y rechazar una
solicitud de préstamo de una persona. La calificación puede haber sido facilitada por un
organismo de referencia de crédito, o haber sido calculada directamente a partir de información
en poder del responsable del tratamiento.
Independientemente de la fuente (se debe facilitar al interesado información sobre la fuente en
virtud del artículo 14, apartado 2, letra f), cuando los datos personales no hayan sido obtenidos
a partir del propio interesado), si el responsable del tratamiento se basa en esta calificación,
debe poder explicar al interesado dicha calificación, así como los motivos de esta.
El responsable del tratamiento debe explicar que este proceso le ayuda a tomar decisiones
justas y responsables sobre préstamos. Asimismo, debe ofrecer detalles acerca de las
principales características consideradas a la hora de tomar la decisión, la fuente de esta
información y la pertinencia. Esto puede incluir, por ejemplo: • la información ofrecida por el
interesado en el formulario de solicitud;
• información sobre el comportamiento de las cuentas, incluidos atrasos en los pagos; e •
información de registros públicos oficiales, como información sobre fraudes o registros de
insolvencia. Asimismo, el responsable del tratamiento debe incluir información para advertir al
interesado que los métodos de calificación crediticia utilizados se comprueban periódicamente
para garantizar que siguen siendo justos, efectivos e imparciales. El responsable del
tratamiento debe ofrecer información de contacto para que el interesado solicite la
reconsideración de las decisiones rechazadas, de conformidad con las disposiciones del
artículo 22.”

Señala también dicho documento respecto a la «Importancia» y «consecuencias
previstas» que “Este término sugiere que debe facilitarse información sobre el
tratamiento previsto o futuro, y sobre cómo puede afectar la decisión automatizada al
interesado. A fin de que esta información sea significativa y comprensible, deben
ofrecerse ejemplos reales y tangibles del tipo de efectos posibles.”

En el presente supuesto, a juicio de esta Agencia tales requisitos no se cumplen: no
se informa de que tipo de productos o servicios va a permitir contratar, no se indica la
lógica a aplicar para tomar dicha decisión, limitándose a indicar que se va a utilizar un
conjunto de datos que “permitan conocer con mayor detalle los riesgos asociados a la
contratación”, por tanto no conociendo ni qué tipo de productos o servicios se puede
permitir contratar ni la lógica a aplicar para la toma de dicha decisión tampoco se
puede conocer su importancia ni las consecuencias previstas.

Por otra parte, esta Agencia no comparte la alegación de que existe un concurso
medial entre estas infracciones y la infracción del artículo 13 del RGPD. Cabe a este
respecto citar la sentencia de 16 de julio de 2019 de la Audiencia Nacional, en la que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

111/136

se señala que “Así, en cuanto a la existencia de un concurso medial entre las dos
infracciones, que determinaría la imposición de una única sanción, esta Sala ha
declarado reiteradamente (sentencias de 29 de enero y de 24 de junio de 2014
(recurso 562/12 y 141/2013), entre otras, que ambas infracciones son independientes
y no existe la relación medial que se pretende entre ambas, sino que: «[…]pueden
realizarse con independencia absoluta, pues presentan sustantividad propia y son
autónomas entre si, dado que protegen principios en materia de protección de datos
diferentes, en un caso el consentimiento inequívoco que exige todo tratamiento de
datos personales (artículo 6.1 LOPD), y, en otro, la calidad de dichos datos personales
(artículo 4.3 LOPD), a fin de salvaguardar el poder de disposición del titular de los
mismos, que integra el derecho fundamental a la protección de los datos (…) De la
misma manera debe considerarse que las tres infracciones del artículo 6, 13 y 22 del
RGPD son infracciones independientes, en este sentido debe tenerse en cuenta que
información constituye un elemento esencial del consentimiento, de conformidad con
lo previsto en el artículo 4.11 del RGPD, siendo determinante de su existencia, de
modo que su ausencia dará lugar a que el consentimiento no sea válido pudiendo así
vulnerarse tanto el artículo 6 como, en su caso, el 22 cuando el tratamiento se
fundamente en el consentimiento explícito del interesado. Por otra parte, existe un
principio de transparencia general respecto de todos los tratamientos que lleva a cabo
el interesado y que se plasma en lo previsto en los artículos 12 a 14. De este modo
puede darse el caso de que se produzcan supuestos, en los que además de la
inexistencia de consentimiento informado, se incumpla el principio de transparencia
con carácter general para todos los tratamientos que lleva a cabo el interesado,
infringiéndose así lo previsto en los artículos 12 a 14, sin que ello suponga un
concurso medial de infracciones.

Alega EPD ENERGÍA, S.A.U, que el tratamiento relativo a la creación de un perfil
comercial en base a la información de terceros para la remisión de información
publicitaria no está, en la práctica, siendo efectuado, ni a la fecha de emisión de las
presentes alegaciones, ni con carácter previo a las mismas. Alega también que , a
pesar de que EDP ENERGÍA incluye la posibilidad de realizar perfilados y adoptar
decisiones automatizadas, el único perfilado realizado, es el relativo a la calificación de
los clientes en materia de prevención del fraude, tratamiento para el que existe
habilitación legal y se encuentra basada en el interés legítimo de EDP ENERGÍA, con
la finalidad de salvaguardar el buen devenir de las contrataciones efectuadas por EDP
ENERGÍA, así como evitar que clientes, cuya única finalidad es consumir el servicio
energético sin pagar las facturas, pasen a formar parte de la cartera de clientes. Sin
perjuicio de lo anterior, se informa a los titulares de los datos que dicho perfilado es
revisado y tramitado finalmente por personal de EDP ENERGÍA, motivo por el cual no
puede considerarse como una decisión automatizada en sí misma, atendiendo en este
sentido al tenor literal del concepto establecido por las autoridades. En otras palabras,
ni existe tratamiento de datos basado en decisiones automatizadas, ni hay
manifestación alguna sobre dichos tratamientos, puesto que fuera de los estrictamente
necesarios para continuar con el servicio y aquellos previstos legalmente, no son
llevados a cabo, motivo por el cual, no solo no puede considerarse que hay
incumplimiento del artículo 22 del RGPD, ya que se cumple con los requisitos
recogidos por la normativa, sino que no existen, ni pueden existir titulares de datos que
hayan podido verse afectados por dichos tratamientos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

112/136

El presente procedimiento tiene como objeto en este punto el examen del
consentimiento para el enriquecimiento de perfiles con bases de datos de terceros a
efectos de envío de comunicaciones publicitarias y las posibles decisiones
automatizadas que produzcan efectos jurídicos o afecten significativamente al
interesado y que igualmente tengan como base el consentimiento del mismo. Por tanto
no será objeto de pronunciamiento en el presente procedimiento el perfilado efectuado
para la prevención del fraude, que EDP ENERGÍA, S.A.U. fundamenta en el interés
legítimo, ni en lo que respecta a su legitimación ni en lo relativo a si se producen
decisiones automatizadas en base a dicho perfilado.

La instrucción del procedimiento no ha permitido constatar que EDP ENERGÍA, S.A.U.
haya llevado a cabo perfilados incorporando datos de bases de datos de terceros ni
tratamientos de datos basados en decisiones automatizadas que produzcan efectos
jurídicos o afecten significativamente al interesado que hubiese consentido tales
tratamientos, tal y como se le solicita durante el proceso de contratación.

Esta Agencia considera que en caso de que se pretendiesen llevar a cabo los
tratamientos mencionados en el párrafo anterior, éstos deberían ajustarse a las
exigencias expresadas y a los requisitos que permiten considerar que el
consentimiento se ha prestado de modo válido y se da cumplimiento a todos los
requisitos exigibles conforme al artículo 22 del RGPD.

En consecuencia, se estima procedente que por falta de evidencias, atendiendo al
principio de presunción de inocencia expresamente recogido para los procedimientos
administrativos sancionadores en el artículo 53.2.b) de la Ley 39/2015, de 1 de
octubre, de Procedimiento Administrativo Común de las Administraciones Públicas,
que reconoce al interesado el derecho “A la presunción de no existencia de
responsabilidad administrativa mientras no se demuestre lo contrario”, no se considere
imputable a EDP ENERGÍA, S.A.U. la vulneración de lo previsto en los artículos 6 y
22, consideradas como posibles infracciones en el acuerdo de inicio del presente
procedimiento sancionador.

El artículo 12.1 del RGPD dispone que “El responsable del tratamiento tomará las
medidas oportunas para facilitar al interesado toda información indicada en los
artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22
y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil
acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida
específicamente a un niño. La información será facilitada por escrito o por otros
medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el
interesado, la información podrá facilitarse verbalmente siempre que se demuestre la
identidad del interesado por otros medios.”

Los artículos 13 y 14 enumeran las categorías de la información que deberá facilitarse
cuando los datos personales se obtengan del interesado y cuando los datos
personales no se hayan obtenido del interesado, respectivamente.

Cuando los datos personales se recaben directamente del interesado, la información
deberá facilitarse en el momento mismo en que tiene lugar esa recogida de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

113/136

Dispone el artículo 13 del RGPD

“Información que deberá facilitarse cuando los datos personales se obtengan del
interesado
1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica
del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer
país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los
artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o
al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar
los datos personales y está informado de las posibles consecuencias de que no
facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos
personales para un fin que no sea aquel para el que se recogieron, proporcionará al
interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin
y cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

114/136

medida en que el interesado ya disponga de la información.”

Artículo 14
“Información que deberá facilitarse cuando los datos personales no se hayan obtenido
del interesado
1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable
del tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de ellas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que
se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado, o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

115/136

c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.
4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.
5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida
en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de
las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en
que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la
base de una obligación de secreto profesional regulada por el Derecho de la Unión o
de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria.

Por su parte, el artículo 11, números 1 y 2 de la LOPDGDD dispone lo siguiente:
“Artículo 11. Transparencia e información al afectado 1. Cuando los datos personales
sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al
deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679
facilitando al afectado la información básica a la que se refiere el apartado siguiente e
indicándole una dirección electrónica u otro medio que permita acceder de forma
sencilla e inmediata a la restante información.
2. La información básica a la que se refiere el apartado anterior deberá contener, al
menos: a) La identidad del responsable del tratamiento y de su representante, en su
caso. b) La finalidad del tratamiento. c) La posibilidad de ejercer los derechos
establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos
obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la
información básica comprenderá asimismo esta circunstancia. En este caso, el
afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones
individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten
significativamente de modo similar, cuando concurra este derecho de acuerdo con lo
previsto en el artículo 22 del Reglamento (UE) 2016/679”.

En relación con este principio de transparencia, se tiene en cuenta, además, lo
expresado en los Considerandos 39, 58, 60 y 61 del RGPD.

(39) “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas
físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando
o tratando de otra manera datos personales que les conciernen, así como la medida
en que dichos datos son o serán tratados. El principio de transparencia exige que toda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

116/136

información y comunicación relativa al tratamiento de dichos datos sea fácilmente
accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho
principio se refiere en particular a la información de los interesados sobre la identidad
del responsable del tratamiento y los fines del mismo y a la información añadida para
garantizar un tratamiento leal y transparente con respecto a las personas físicas
afectadas y a su derecho a obtener confirmación y comunicación de los datos
personales que les conciernan que sean objeto de tratamiento. Las personas físicas
deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales así como del modo de hacer valer sus
derechos en relación con el tratamiento. En particular, los fines específicos del
tratamiento de los datos personales deben ser explícitos y legítimos, y deben
determinarse en el momento de su recogida. Los datos personales deben ser
adecuados, pertinentes y limitados a lo necesario para los fines para los que sean
tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su
plazo de conservación. Los datos personales solo deben tratarse si la finalidad del
tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que
los datos personales no se conservan más tiempo del necesario, el responsable del
tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben
tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman
los datos personales que sean inexactos. Los datos personales deben tratarse de un
modo que garantice una seguridad y confidencialidad adecuadas de los datos
personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y
del equipo utilizado en el tratamiento.”

(58) “El principio de transparencia exige que toda información dirigida al público o al
interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un
lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría
facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante
un sitio web. Ello es especialmente pertinente en situaciones en las que la proliferación
de agentes y la complejidad tecnológica de la práctica hagan que sea difícil para el
interesado saber y comprender si se están recogiendo, por quién y con qué finalidad,
datos personales que le conciernen, como es en el caso de la publicidad en línea.
Dado que los niños merecen una protección específica, cualquier información y
comunicación cuyo tratamiento les afecte debe facilitarse en un lenguaje claro y
sencillo que sea fácil de entender.”

(60) “Los principios de tratamiento leal y transparente exigen que se informe al
interesado de la existencia de la operación de tratamiento y sus fines. El responsable
del tratamiento debe facilitar al interesado cuanta información complementaria sea
necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las
circunstancias y del contexto específicos en que se traten los datos personales. Se
debe además informar al interesado de la existencia de la elaboración de perfiles y de
las consecuencias de dicha elaboración. Si los datos personales se obtienen de los
interesados, también se les debe informar de si están obligados a facilitarlos y de las
consecuencias en caso de que no lo hicieran. Dicha información puede transmitirse en
combinación con unos iconos normalizados que ofrezcan, de forma fácilmente visible,
inteligible y claramente legible, una adecuada visión de conjunto del tratamiento
previsto. Los iconos que se presentan en formato electrónico deben ser legibles
mecánicamente.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

117/136

(61) “Se debe facilitar a los interesados la información sobre el tratamiento de sus
datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra
fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los
datos personales pueden ser comunicados legítimamente a otro destinatario, se debe
informar al interesado en el momento en que se comunican al destinatario por primera
vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no
sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho
tratamiento ulterior, información sobre ese otro fin y otra información necesaria.
Cuando el origen de los datos personales no pueda facilitarse al interesado por
haberse utilizado varias fuentes, debe facilitarse información general.”

Examinada la información ofrecida por EDP ENERGÍA, S.A.U., se observa que la
misma no responde a las exigencias del artículo 13 del RGPD.

1 En primer lugar, cuando la contratación se lleva a cabo a través de los subcanales
CAC Inbound, Telemarketing y Leads, la información se facilita telefónicamente de la
siguiente forma, tal y como se desprende de las evidencias aportadas:

En el canal CAC Inbound se indica a quien efectúa la contratación por teléfono lo
siguiente: “Sus datos personales y los de su representado serán tratados por EDP
Comercializadora SAU y EDP Energía SAU para la gestión de sus contratos,
prevención de fraude, realización de perfiles basados en información del cliente y de
EDP, así como la realización de comunicaciones personalizadas sobre productos o
servicios directamente relacionados con sus contratos, pudiendo en cualquier
momento oponerse a las mismas". (Evidencia 2, contratación canal CAC Inbound.)

En los subcanales de contratación Telemarketing y Leads, además de la información
que figura en el párrafo anterior, se añade la información siguiente: “Les recordamos
que podrán ejercitar en cualquier momento sus derechos de acceso, rectificación, opo-
sición, supresión, limitación y portabilidad, a través de cualquiera de las vías indicadas
en las Condiciones Generales que pueden consultar en nuestra web ***URL.1.” (evi-
dencias 3 y 4)
Dicha información no resulta conforme a lo establecido en el artículo 13 del RGPD en
relación con lo previsto en el artículo 11 de la LOPDGDD, así en el primero de los ca-
sos la información es incompleta toda vez que durante el proceso de contratación en el
canal CAC Inbound no se informa de la posibilidad de ejercer los derechos estableci-
dos en los artículos 15 a 22 del RGPD, ni se indica a quien contrata una dirección
electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restan-
te información.
Se alega que al inicio de la llamada se escucha la siguiente locución “Esta llamada
puede ser grabada. Los datos que nos proporcione serán tratados por EDP Energía,
S.A.U. y/o EDP Comercializadora, S.A.U. para la gestión de su solicitud o consulta.
Puede ejercitar los derechos de acceso, rectificación, supresión, oposición, limitación y
portabilidad en cualquier momento. Consulte la Política de Privacidad en nuestra web
edpenergia.es o pulse 0”. Considera además que conforme al artículo 13.4 del RGPD,
la obligación de informar no resulta de aplicación en la medida en que el interesado ya
disponga de la información y que en el caso que nos ocupa, teniendo en cuenta que la
locución inicial se reproduce de manera automática en cada llamada, queda suficiente-
mente acreditado que cualquier interesado que se pone en contacto con EDP ENER-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

118/136

GÍA a través del Canal CAC Inbound recibe la información relativa a protección de da-
tos personales.
Tales alegaciones no pueden compartirse, a juicio de esta Agencia se facilita una in-
formación de forma fragmentada y dispersa que no da cumplimiento a lo previsto en
los artículos 13 del RGPD y 11 de la LOPDGDD, así en la locución inicial que según
alega se escucha en todo caso al iniciarse la llamada se informa al interesado del tra-
tamiento de sus datos con las genéricas finalidades de “gestionar la solicitud o consul-
ta” se le informa de la posibilidad de ejercer los derechos reconocidos por el RGPD y
se le dirige a la política de privacidad en la página web o se le indica que marque 0. En
esa segunda locución, se amplían las finalidades a las de realización de encuestas y la
participación en sorteos, juegos y promociones, sin que, por otra parte, se informe de
la base legal de la participación en sorteos juegos y promociones, pero no contiene re-
ferencia alguna a otras finalidades distintas a las mencionadas en este párrafo.
En la información que se le facilita en el marco de la contratación telefónica en el canal
CAC Inbound, conforme a la evidencia 2, se enumeran otras finalidades diferentes, so-
lamente se hace referencia a la posibilidad de oponerse a las comunicaciones perso-
nalizadas sobre productos o servicios directamente relacionados con los contratos, y
no se dirige al interesado a las Condiciones generales de contratación, que conten-
drían, al margen de las deficiencias que esta Agencia ha observado en la mismas, la
información específica relativa a tales finalidades.
No resulta conforme con la posibilidad de informar por capas, que el interesado deba
acudir a diferentes locuciones para conocer la información básica a que se refiere el
artículo 11 de la LOPDGDD, de modo que el interesado deba deducir de una primera
locución que puede ejercitar derechos distintos al de oposición a comunicaciones co-
merciales, único del que se le informa en el momento de la contratación. Por otra par-
te, ninguna de las locuciones señaladas remite al interesado a las condiciones genera-
les de contratación donde se encuentra la información exigible conforme al artículo 13
relativa a las finalidades mencionadas durante la contratación en el canal CAC In-
bound, sino que remiten genéricamente a la política de privacidad de la página web,
que no contempla esa información específica.
Por otra parte, la dirección electrónica que se indica en las evidencias 3 y 4, en el mar-
co de la contratación telefónica en los canales Telemarketing y Leads, no permite ac-
ceder de forma sencilla e inmediata a tal información, vulnerándose así lo previsto en
el artículo 11.1 de la LOPDGDD. Del examen del proceso de búsqueda de las Condi-
ciones Generales (tal y como se ha documentado en el número noveno de los hechos)
se desprende que la dirección facilitada no conduce directamente a la información exi-
gible conforme al artículo 13 del RGPD, sino a la página web del interesado, donde
debe procederse a una búsqueda que, además, arroja diversos resultados similares y
exige buscar en las condiciones generales (que incluyen numerosos aspectos relativos
a la contratación) la información relativa a la protección de datos, por lo que no puede
considerarse que tal dirección electrónica permita acceder de forma inmediata a tal in-
formación ni el acceso resulta sencillo para cualquier persona.
Se alega por EDP ENERGÍA que para encontrar las citadas condiciones generales
basta una simple búsqueda para acceder directamente a las mismas, utilizando para
ello el buscador disponible en la página web. Realizando la búsqueda de “condiciones
de contratación” o “condiciones generales de contratación”, se publican como primeros
resultados los documentos relativos a las condiciones generales de contratación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

119/136

Tal alegación no puede ser compartida, incluso utilizando el propio buscador de la pá-
gina la información no resulta accesible directamente, como queda demostrado en el
proceso de búsqueda documentado por esta Agencia.
En este sentido cabe recordar que las “Directrices sobre la transparencia en virtud del
Reglamento 2016/679”, adoptadas el 29/11/2017 y revisadas el 11/04/2018.” aproba-
das por el Comité Europeo de Protección de Datos en su primera reunión plenaria se-
ñalan que “Tanto el artículo 13 como el 14 hacen referencia a la obligación por la cual
el responsable del tratamiento «facilitará toda la información indicada a continuación»
al interesado. La palabra clave en esta expresión es «facilitará». Esto conlleva que el
responsable del tratamiento debe adoptar medidas activas para suministrar la informa-
ción en cuestión al interesado o dirigir activamente al interesado a la ubicación de esta
(p. ej., mediante un enlace directo, el uso de un código QR, etc.). El interesado no
debe tener que buscar activamente la información cubierta por dichos artículos entre
información de otro tipo, como por ejemplo las condiciones de uso de un sitio web o
una aplicación.” Por otra parte, si bien esta Agencia valora positivamente que se haya
creado un acceso directo a la información exigida por el artículo 13 del RGPD, ello no
invalida el hecho de hasta su creación, con posterioridad a la propuesta de resolución,
el acceso a la información carecía de ese elemento de inmediatez y sencillez exigido
por el artículo 11 LOPDGDD.
Se alega, asimismo, que no se habría cometido una infracción del deber de transpa-
rencia, en tanto que la información completa sobre protección de datos (con el conteni-
do exigido por la normativa) se contiene dentro de las condiciones generales de con-
tratación que se remiten al interesado tras la contratación. No puede compartirse este
argumento, debe facilitarse al interesado la información en el momento en que se ob-
tengan los datos, sin que pueda diferirse tal momento al de la recepción del contrato.
El artículo 13 del RGPD determina en su apartado primero cuando se debe facilitar la
información al disponer que “Cuando se obtengan de un interesado datos personales
relativos a él, el responsable del tratamiento, en el momento en que estos se obten-
gan, le facilitará toda la información indicada a continuación: (…)”, (el subrayado es de
la AEPD). La LOPDGDD permite que dicha información pueda facilitarse por capas,
facilitando al interesado durante la recogida de los datos una información básica, cuyo
contenido determina, y permitiendo indicar una dirección electrónica u otro medio que
permita acceder de forma sencilla e inmediata al resto de la información. El elemento
de inmediatez es fundamental para dar cumplimiento al artículo 13 del RGPD, de
modo que proporcionar la información días después cuando se reciba un contrato, no
da cumplimiento al requisito de proporcionar la información que según dicho precepto
debe comunicarse “en el momento en que se obtengan” los datos del interesado.
En este mismo sentido, las aludidas “Directrices sobre la transparencia en virtud del
Reglamento 2016/679” señalan que “ Independientemente de los formatos que se utili-
cen en este enfoque por niveles, el GT29 recomienda que el primer «nivel» (es decir,
la principal vía por la que el responsable interactúa por primera vez con el interesado)
transmita habitualmente la información más importante (mencionada en el apartado
36), a saber, los detalles de los fines del tratamiento, la identidad del responsable y la
existencia de los derechos del interesado, junto con información sobre la mayor reper-
cusión del tratamiento o el tratamiento que podría sorprender al interesado. Por ejem-
plo, cuando el primer contacto con un interesado sea a través del teléfono, esta infor-
mación podría facilitarse durante la llamada con el interesado y este podría recibir el
resto de la información requerida en virtud del artículo 13 o 14 por otro medio adicional
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

120/136

distinto, por ejemplo, enviándole una copia de la política de privacidad por correo elec-
trónico o un enlace a la declaración/aviso de privacidad en línea del responsable.” Es-
tos medios correo electrónico o enlace a la declaración de privacidad, inciden igual-
mente en ese elemento de inmediatez, que permite dar cumplimiento a lo previsto en
el artículo 13.
A este respecto deben tenerse en cuenta las consideraciones recogidas en el dicta-
men del Consejo de Estado al anteproyecto de Ley Orgánica de Protección de Datos
de carácter personal, en el que se señalaba la siguiente respecto de la información por
capas:
“(…) si la información se facilita en otro formato, o a través de “capas” distintas, no se
estará vulnerando el principio de transparencia, pero el responsable deberá valorar si
el principio se ha cumplido adecuadamente o si se precisa algún tipo de medida adi-
cional de salvaguarda de los derechos, (…)”. Y añadía “(…) Sin perjuicio de lo anterior,
debe recordarse que el artículo 13 exige que la totalidad de la información que debe
suministrarse al interesado se facilita en el momento en que se obtengan los datos
personales objeto de tratamiento. Pese a la aplicabilidad directa de esta disposición
del Reglamento, sería conveniente que el artículo 12 del anteproyecto precisara que
ese método de información” por capas” no puede en ningún caso implicar un retraso
en el suministro de la información considerada como” no básica.

2.Por otra parte, en lo que respecta a la información aportada tanto telefónicamente
(evidencias 2,3, y 4) como en las condiciones generales (evidencia 6 y documento de
condiciones generales de la página web) se observa lo siguiente:
A. Respecto del responsable del tratamiento, se indica en las evidencias 2, 3, 4 y 5
que los datos serán “tratados por EDP Comercializadora SAU y EDP Energía SAU” lo
que no necesariamente se corresponde con la entidad con la que se está contratando,
toda vez que cuando se contrata solamente el servicio de energía o solamente el de
gas, el responsable será uno u otro, sin que se informe correctamente en tales casos
al interesado sobre quien es el responsable de los tratamientos. El mismo reproche
cabe hacer a la información aportada en las condiciones generales en las que se
indica “Dichos datos, además de los obtenidos como consecuencia de la ejecución del
contrato, serán tratados por EDP COMERCIALIZADORA, S.A.U, con domicilio en
C/General Concha, 20, 48001, Bilbao y por EDP ENERGÍA, S.A.U con domicilio en
Plaza del Fresno, 2 -33007, Oviedo en su calidad de Responsables del tratamiento”
igualmente se trata de una información imprecisa, toda vez, que serán responsables
una u otra entidad dependiendo del servicio contratado o, en su caso, cada una de las
entidades para los respectivos tratamientos derivados del contrato y los posibles
consentimientos otorgados, sin que esta información quede clara para el cliente. A
esta imprecisión en la determinación del responsable se añade la de referirse
genéricamente a EDP en el resto de la información facilitada, de modo que el
interesado desconoce en el caso otros tratamientos cual es la entidad responsable.
A este respecto alega EDP ENERGÍA, S.A.U., que el cliente es informado sobre la
identidad del responsable del tratamiento a través de la política de privacidad en rela-
ción con las condiciones de contratación: Política de privacidad: “los datos serán trata-
dos por EDP Comercializadora SAU y EDP Energía SAU”. Condiciones Específicas
del contrato: “El cliente contrata, para el suministro que se indica, el suministro de gas
con EDP Comercializadora, S.A.U. y el suministro de electricidad y/o los servicios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

121/136

complementarios con EDP ENERGIA, S.A.U., (en adelante conjunta y/o individualmen-
te, según proceda, referidas como “EDP”) con arreglo a las Condiciones Específicas
que se recogen a continuación y a las Condiciones Generales en anexo”. Por tanto, el
interesado -el cual dispone de plena capacidad para contratar y, por tanto, se presupo-
ne que debería ser capaz de comprender los términos y condiciones que gobiernan di-
cha contratación, es consciente en todo momento de que, según contrate el servicio
de suministro de gas y/o electricidad, sus datos serán tratados por una o ambas enti-
dades.
Esta alegación no puede ser compartida por esta Agencia, de lo afirmado por EDP
ENERGÍA, S.A.U. solo cabe admitir que lo que conoce el cliente es la entidad con
quien ha contratado los servicios, pero no el responsable de los distintos tratamiento
de datos que puedan efectuarse, ya que como se ha expuesto anteriormente, en otras
evidencias y en las propias condiciones de contratación se señala que ambas entida-
des son responsables del tratamiento de datos (evidencia 2.3 y 4 y 5) y se utiliza la
fórmula genérica EDP que comprende a ambas.
En cuanto a otras explicaciones de EDP ENERGÍA, S.A.U. como la ausencia de activi-
dad de una de las entidades y la posible venta a terceros, ya realizada según expone,
no justifican la imprecisión de la información, ya que se contrata a nombre de dos enti-
dades diferentes, con independencia de que una tenga o no actividad, aspecto que ca-
rece de relevancia desde el punto de vista de protección de datos, ya que dicha enti-
dad sigue actuando como responsable del tratamiento.
B. En cuanto a las finalidades y bases legitimadoras de los tratamientos de datos, se
señalan en las condiciones generales las siguientes “gestionar, mantener, desarrollar,
cumplimentar y controlar la contratación de suministro de electricidad y/o gas y/o
servicios complementarios de y/o gas y/o servicios complementarios de revisión y/o
asistencia técnica y/o programa de puntos, y/o mejora del servicio, para la realización
de acciones de prevención del fraude, así como realización de perfiles,
comunicaciones comerciales personalizadas basadas en información facilitada por el
Cliente y/o derivada de la prestación del servicio por parte de EDP y relativas a
productos y servicios relacionados con el suministro y consumo de energía,
mantenimiento de instalaciones y equipamientos. Dichos tratamientos serán realizados
dando estricto cumplimiento a la legislación vigente y en la medida que sean
necesarios para la ejecución del contrato y/o la satisfacción de los intereses legítimos
de EDP, siempre que sobre estos últimos no prevalezcan otros derechos del cliente.”
Esta Agencia considera que no resulta sencillo para cualquier persona, sin
conocimientos de la materia de protección de datos, diferenciar qué tratamientos
derivan del contrato y cuales se fundamentan en el interés legítimo del responsable.
Tampoco se indica cual es el interés legítimo que el responsable se atribuye. Resulta
esencial para el ejercicio de los derechos de los interesados conocer la base jurídica
en que se basa el tratamiento, en particular para poder ejercitar su derecho de
oposición al tratamiento cuando éste se fundamenta en el interés legítimo del
responsable conforme a lo previsto en el artículo 21 del RGPD.
En este sentido señalan las Directrices sobre la Transparencia en virtud del
Reglamento (UE) 2016/679, adoptadas el 29 de noviembre de 2017 por el Grupo de
Trabajo del artículo 29 que “El interés específico en cuestión debe identificarse en be-
neficio del interesado. Como cuestión de buena práctica, el responsable del tratamien-
to también puede facilitar al interesado la información resultante del «examen de pon-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

122/136

deración» que debe llevarse a cabo para poder acogerse a lo dispuesto en el artículo
6, apartado 1, letra f), como base lícita para el tratamiento, con anterioridad a cualquier
recogida de los datos personales de los interesados. Para evitar la fatiga informativa,
esto puede incluirse dentro de una declaración/aviso de privacidad estructurado en ni-
veles (véase el apartado 35). En cualquier caso, la posición del GT29 es que la infor-
mación dirigida al interesado debe dejar claro que este puede obtener información so-
bre el examen de ponderación previa petición. Esto resulta fundamental para que la
transparencia sea efectiva cuando los interesados duden de si el examen de pondera-
ción se ha llevado a cabo lealmente o desean presentar una reclamación.”
Esta Agencia no comparte el argumento de que ni el artículo 13 ni ninguna otro pre-
cepto legal exige que la política de privacidad enumere cada finalidad indicando espe-
cíficamente la base de legitimación que resulte de aplicación, la propia redacción del
artículo 13 exige que se informe al interesado de “los fines del tratamiento a que se
destinan los datos personales y la base jurídica del tratamiento”, esto es, el uso del
singular deja ya claro que debe indicarse la base jurídica de cada tratamiento. La
transparencia está íntimamente ligada a la licitud del tratamiento, el artículo 5.1.a) del
RGPD señala como uno de los principios relativos al tratamiento el principio de licitud,
lealtad y transparencia. La base jurídica determina la licitud del tratamiento, por lo que
el responsable debe informar al interesado en cada caso de que existe una base jurídi-
ca apropiada para llevar a cabo dicho tratamiento conforme al artículo 6 del RGPD, sin
que sea admisible que el interesado tenga que interpretar la política de privacidad para
determinar cuál puede ser la base legitimadora de cada tratamiento.

Esta Agencia tampoco está de acuerdo con la alegación de que “para cualquier perso-
na puede ser evidente que tratamientos como “gestionar, mantener, desarrollar, cum-
plimentar y controlar la contratación de suministro de electricidad y/o gas y/o servicios
complementarios de y/o gas y/o servicios complementarios de revisión y/o asistencia
técnica y/o programa de puntos, y/o mejora del servicio” están estrechamente relacio-
nados a la ejecución del contrato, siendo los demás asignables al interés legítimo.
En este sentido cabe recordar lo señalado en las anteriormente mencionadas “Directri-
ces sobre la transparencia en virtud del Reglamento 2016/679”. En ellas se analiza el
alcance que debe atribuirse a los elementos de transparencia establecidos en el artí-
culo 12 del RGPD, según el cual el responsable del tratamiento tomará las medidas
oportunas para “facilitar al interesado toda información indicada en los artículos 13 y
14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al
tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un len-
guaje claro y sencillo”, que ha de ponerse en relación con lo expresado en el Conside-
rando 39 del citado Reglamento. De lo expuesto en dichas Directrices, cabe destacar
en este momento lo siguiente: “El requisito de que la información sea “inteligible” quie-
re decir que debe resultar comprensible al integrante medio de la audiencia objetivo.
La inteligibilidad está estrechamente vinculada al requisito de utilizar un lenguaje claro
y sencillo. Un responsable del tratamiento que actúe con responsabilidad proactiva co-
nocerá a las personas sobre las que recopila información y puede utilizar este conoci-
miento para determinar lo que dicha audiencia es susceptible de comprender…”. En el
presente caso los servicios prestados por EDP ENERGÍA, S.A.U. se dirigen a todos
los ciudadanos, de modo que no puede presumirse que cualquier persona puede en-
tender cuando se trata de una base jurídica u otra. En este sentido las propias alega-
ciones señalan que sus clientes no distinguen entre oposición y revocación del con-
sentimiento, lo que demuestra que, con carácter general, carecen de conocimientos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

123/136

técnicos en la materia y no pueden tampoco distinguir entre bases jurídicas diferentes,
que comportan un ejercicio de derechos de forma diferente.
En cuanto a la información sobre el interés legítimo que el responsable se atribuye,
alega EDP ENERGÍA, S.A.U. que los mismos están claramente expuestos y puestos
en relación con las finalidades que se persiguen, esto es: prevención del fraude y mer-
cadotecnia, en relación con el envío de comunicaciones comerciales personalizadas.
En estos casos considera obvio que existe una identificación entre la finalidad informa-
da y el propio interés perseguido, por lo que hacer una alusión separada a este último
resultaría redundante.
Esta alegación no puede admitirse, dentro de los tratamientos señalados por EDP
cuya base es su interés legítimo, se menciona el de “realización de perfiles” respecto
del cual no se indica ni el interés legítimo ni la finalidad.
En este sentido cabe tener en cuenta las Directrices del Grupo de Trabajo del Artículo
29 sobre decisiones individuales automatizadas y elaboración de perfiles a efectos del
Reglamento 2016/679, adoptadas el 03/10/2017 y revisadas el 06/02/2018, señalan lo
siguiente:
“La transparencia del tratamiento es un requisito fundamental del RGPD.
El proceso de elaboración de perfiles suele ser invisible para el interesado. Funciona
creando datos derivados o inferidos sobre las personas (datos personales «nuevos»
que no han sido directamente facilitados por los propios interesados). Las personas
tienen distintos niveles de comprensión y les puede resultar difícil entender las comple-
jas técnicas de los procesos de elaboración de perfiles y decisiones automatizadas”.
“Teniendo en cuenta el principio básico de transparencia que sustenta el RGPD, los
responsables del tratamiento deben garantizar que explican a las personas de forma
clara y sencilla el funcionamiento de la elaboración de perfiles o las decisiones auto-
matizadas.
En particular, cuando el tratamiento implique la toma de decisiones basada en la ela-
boración de perfiles (independientemente de si entran en el ámbito de las disposicio-
nes del artículo 22), debe aclararse al usuario el hecho de que el tratamiento tiene fi-
nes tanto de a) elaboración de perfiles como de b) adopción de una decisión sobre la
base del perfil generado
El considerando 60 establece que facilitar información acerca de la elaboración de per-
files forma parte de las obligaciones de transparencia del responsable del tratamiento
según el artículo 5, apartado 1, letra a). El interesado tiene derecho a ser informado
por el responsable del tratamiento, en determinadas circunstancias, acerca de su dere-
cho de oposición a la «elaboración de perfiles» independientemente de si se han pro-
ducido decisiones individuales basadas únicamente en el tratamiento automatizado so-
bre la base la elaboración de perfiles”.
“El responsable del tratamiento debe mencionar explícitamente al interesado detalles
sobre el derecho de oposición según el artículo 21, apartados 1 y 2, y presentarlos cla-
ramente y al margen de cualquier otra información (artículo 21, apartado 4).
Según el artículo 21, apartado 1, el interesado puede oponerse al tratamiento (incluida
la elaboración de perfiles) por motivos relacionados con su situación particular. Los
responsables del tratamiento están específicamente obligados a ofrecer este derecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

124/136

en todos los casos en los que el tratamiento se base en el artículo 6, apartado 1, letras
e) o f)”.
No se cumplen en este caso, a juicio de esta Agencia, las exigencias de información
antes descritas. EDP ENERGÍA, S.A.U., se limita a informar sobre la “realización de
perfiles”, pero no ofrece una información sobre el tipo de perfiles que se van a realizar,
los usos específicos a que se van a destinar estos perfiles o la posibilidad de que el in-
teresado pueda ejercer el derecho de oposición en aplicación del artículo 21 del
RGPD.
No cabe aquí admitir la alegación de que la elaboración de perfiles está asociada con
el envío de comunicaciones comerciales personalizadas. Tal y como se ha señalado
al determinar las finalidades en el primer párrafo de las condiciones generales se enu-
meran las siguientes: “gestionar, mantener, desarrollar, cumplimentar y controlar la
contratación de suministro de electricidad y/o gas y/o servicios complementarios de y/o
gas y/o servicios complementarios de revisión y/o asistencia técnica y/o programa de
puntos, y/o mejora del servicio, para la realización de acciones de prevención del
fraude, así como realización de perfiles, comunicaciones comerciales personalizadas
basadas en información facilitada por el Cliente y/o derivada de la prestación del
servicio por parte de EDP y relativas a productos y servicios relacionados con el
suministro y consumo de energía, mantenimiento de instalaciones y equipamientos”
separándose claramente la finalidad de realización de perfiles de la de envío de
comunicaciones comerciales.
De la misma manera, como se pone de manifiesto en las evidencias 2, 3 y 4 durante
el proceso de contratación telefónica mediante representante se informa a éste de
que: “Sus datos personales y los de su representado serán tratados por EDP Comer-
cializadora SAU y EDP Energía SAU para la gestión de sus contratos, prevención de
fraude, realización de perfiles basados en información del cliente y de EDP, así como
la realización de comunicaciones personalizadas sobre productos o servicios directa-
mente relacionados con sus contratos, pudiendo en cualquier momento oponerse a las
mismas". Igualmente se informa respecto de la realización de perfiles como un trata-
miento o tratamientos distintos y separados del envío de comunicaciones personaliza-
das sobre productos o servicios directamente relacionados con los contratos, como
prueba el uso de la locución conjuntiva “así como”.
En todo caso, aun cuando pudiera darse por cierta, que la intención de EDP ENER-
GÍA, S.A.U. era vincular ambas finalidades, la forma en que se da la información in-
fringe el principio de transparencia, tal y como señala el considerando 60 “Los princi-
pios de tratamiento leal y transparente exigen que se informe al interesado de la exis-
tencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe
facilitar al interesado cuanta información complementaria sea necesaria para garanti-
zar un tratamiento leal y transparente, habida cuenta de las circunstancias y del con-
texto específicos en que se traten los datos personales. Se debe además informar al
interesado de la existencia de la elaboración de perfiles y de las consecuencias de di-
cha elaboración.”
C. En las condiciones generales se facilita también la siguiente información respecto
de los tratamientos basados en el consentimiento del interesado:
“Siempre que el cliente lo haya aceptado explícitamente, sus datos personales serán
tratados, incluso una vez finalizada la relación contractual y siempre que no se
produzca la oposición a dicho tratamiento, para:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

125/136

(I)La promoción de servicios financieros, servicios de protección de pagos, automoción
o afines y electrónica, propios o de terceros, ofrecidos por EDP y/o la participación en
concursos promocionales, así como para la presentación de propuestas comerciales
vinculadas al sector energético tras la finalización del contrato, (II) La elaboración de
perfiles comerciales del Cliente mediante la agregación de las bases de datos de
terceros, con el fin de ofrecer al Cliente productos y servicios personalizados,
mejorando así la experiencia del cliente, (III) La adopción de decisiones
automatizadas, tales como permitir la contratación, o no, de determinados productos
y/o servicios basadas en el perfil del Cliente y particularmente, en datos tales como, el
histórico de impagos, el histórico de contrataciones, permanencia, ubicaciones, datos
de consumo, tipos de dispositivos conectados a la red energética, y datos semejantes
que permitan conocer con mayor detalle los riesgos asociados a la contratación. (IV)
Tomando como base los resultados obtenidos de la agregación de los datos indicados,
EDP podrá realizar ofertas personalizadas, y concretamente orientadas a lograr la
contratación de determinados productos y/o servicios de EDP o de terceras entidades
en función de si el cliente así lo ha consentido o no, siendo en todo caso tratados
datos cuya antigüedad no superará un año. En caso de que dicho proceso se llevara a
cabo de forma automatizada, el cliente siempre tendrá derecho a obtener intervención
humana por parte de EDP, admitiéndose la impugnación y en su caso valoración de la
decisión resultante.
Tampoco resulta sencillo para cualquier persona sin conocimientos especializados en-
tender que tipo de tratamientos se van a llevar a cabo sobre la base del consentimien-
to, en particular la redacción del punto IV no resulta clara en absoluto: se desconoce a
qué datos se refiere con “los resultados de obtenidos de la agregación de los datos in-
dicados” que podrían ser tanto los contenidos en el número III anterior como los obte-
nidos de bases de terceros o todos ellos. La finalidad del tratamiento parece indicar
que se trata de tratamientos publicitarios distintos de los señalados en los dos prime-
ros números, sin que sea evidente la diferencia respecto de ellos. Por otra parte, no re-
sulta comprensible el último inciso de este punto IV, al mencionar los derechos que el
artículo 22 del RGPD reconoce a los interesados cuando se adoptan decisiones auto-
matizadas que produzcan efectos jurídicos en ellos o les afecten significativamente de
modo similar.
En las alegaciones se ofrece una explicación sobre las finalidades de los diferentes
tratamientos y los datos a tratar que pretenden clarificar dichos aspectos, sin embargo,
no es en ellas donde deben aclararse tales puntos sino que es la información propor-
cionada al interesado la que debe ser clara y comprensible para el éste, incumpliéndo-
se con la información proporcionada, a juicio de esta Agencia, lo previsto en el artículo
12 del RGPD.
D. Las condiciones generales informan de la siguiente manera respecto a los derechos
del interesado:

“Derechos del titular de los datos

El cliente contará en todo momento con la posibilidad de ejercitar de forma libre
y completamente gratuita los siguientes derechos:

i) Acceder a sus datos personales que sean tratados por parte de EDP.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

126/136

ii) Rectificar sus datos personales que son tratados por parte de EDP que
resulten inexactos o incompletos.

iii) Suprimir sus datos personales que son tratados por EDP.

iv) Limitar el tratamiento por parte de EDP de todos o parte de sus datos
personales.

v) Oponerse a determinados tratamientos y adopción de decisiones auto-
matizadas de sus datos personales, requiriendo la intervención humana
en el proceso, así como a impugnar las decisiones que sean finalmente
adoptadas en virtud del tratamiento de sus datos.

vi) Portar sus datos personales en un formato interoperable y autosuficien-
te.

vii) Retirar en cualquier momento, los consentimientos otorgados previa-
mente.”
Dicha información, aunque recoge todos los derechos que el RGPD otorga al interesa-
do, debe adecuarse a los concretos tratamientos que lleva a cabo el responsable. Tal y
como señalan las aludidas Directrices sobre la Transparencia en virtud del Reglamento
(UE) 2016/579: “Esta información debe ser específica del escenario de tratamiento e
incluir un resumen de lo que implica el derecho y de qué forma el interesado puede ac-
tuar para ejercerlo, así como cualquier limitación al derecho.”
No cabe admitir las alegación de que la obligación de detallar los tratamientos concre-
tos a los que el interesado tiene derecho a oponerse no sólo no es una obligación re-
cogida en el RGPD, la LOPDGDD ni ninguna otra normativa de aplicación, sino que
además la AEPD en sus guías y herramientas (entre otras, la Guía para el cumplimien-
to del deber de informar2 o la herramienta Facilita3 ) no indica que las cláusulas infor-
mativas sobre el derecho de oposición deban especificar los tratamientos sobre los
que aplica el derecho de oposición. Debe aquí reiterarse lo señalado en las Directrices
del Grupo de Trabajo del Artículo 29 sobre decisiones individuales automatizadas y
elaboración de perfiles a efectos del Reglamento 2016/679, adoptadas el 03/10/2017 y
revisadas el 06/02/2018, que señalan lo siguiente:
“El responsable del tratamiento debe mencionar explícitamente al interesado detalles
sobre el derecho de oposición según el artículo 21, apartados 1 y 2, y presentarlos cla-
ramente y al margen de cualquier otra información (artículo 21, apartado 4).”
Por tanto, no es suficiente con mencionar el derecho a oponerse a “determinados tra-
tamientos”, sino que debe informarse de que estos tratamientos, en el presente su-
puesto, son aquellos que el responsable fundamenta en el artículo 6.1.f), esto es, en la
existencia de un interés legítimo prevalente sobre los intereses, derechos y libertades
del interesado, debiendo ser claro para el interesado cuales son estos tratamientos
frente a los que puede ejercitar su derecho de oposición.
Tampoco puede compartirse que con esta interpretación se vulnere el principio de in-
terdicción de la arbitrariedad alegada al considerar EDP ENERGÍA que la presentación
de la información relativa al ejercicio de derechos, tal y como se presenta en su infor-
mación constituye una práctica recomendada e incluso aplicada por la Agencia Espa-
ñola de Protección de Datos en su política de privacidad. A este respecto, debe tener-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

127/136

se en cuenta que esta Agencia no realiza tratamientos basados en lo previsto en el ar-
tículo 6.1.f, en particular los relativos a mercadotecnia directa.
Resulta impreciso señalar que el interesado puede oponerse a la adopción de decisio-
nes automatizadas de sus datos personales. Estas solamente pueden llevarse a cabo
por el responsable en los supuestos previstos en el artículo 22 del RGPD, basándose
en el presente caso en el consentimiento del interesado, por lo que éste debe poder
conocer que puede revocar el consentimiento prestado para la adopción de tales deci-
siones en cualquier momento, sin perjuicio de que se le informe también de los dere-
chos conferidos por el artículo 22 a los interesados.
No puede compartirse, respecto a esta imprecisión en cuanto al ejercicio de derechos,
la alegación de que el matiz semántico y técnico asociado a los términos “oposición” y
“revocación” en el contexto del ejercicio de derechos no puede tener un impacto en el
interesado, pues con ambos términos el usuario logra un mismo objetivo, que es que
un tratamiento específicamente identificado en la política deje de producirse y que el
término utilizado por EDP ENERGÍA (oposición) en el contexto de este tipo de trata-
mientos se entiende en la normativa y por el propio mercado de forma más amplia -y
por tanto más garantista- puesto que permite al usuario eliminar un tratamiento sea ba-
sado en consentimiento, sea basado en interés legítimo. La normativa es clara al deli-
mitar ambos derechos y cuando pueden ejercerse en los artículos 7 y 21.1.2 del
RGPD, lo que exige correlativamente, que el interesado tenga conocimiento de la base
jurídica del tratamiento. No cabe así justificar en una presunta mayor garantía para los
interesados la información incorrecta proporcionada sobre el ejercicio de derechos del
interesado.
En consecuencia, de conformidad con las evidencias expuestas, los hechos descritos
en el presente Fundamento de Derecho suponen una vulneración del principio de
transparencia regulado en el artículo 13 del RGPD, que da lugar a la aplicación de los
poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia
Española de Protección de datos.

Para el caso de que concurra una infracción de los preceptos del RGPD, entre
los poderes correctivos de los que dispone la Agencia Española de Protección de
Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:

“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada
caso particular;”.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

128/136

d) anterior es compatible con la sanción consistente en multa administrativa.

En el presente caso, ha quedado acreditado el incumplimiento del principio de
privacidad desde el diseño establecido en el artículo 25 del RGPD, y el principio de
transparencia regulado en el artículo 13 del RGPD con el alcance expresado en los
Fundamentos de Derecho anteriores, lo que supone la comisión de sendas
infracciones tipificadas en los artículos 83.4 y 83.5 de la misma norma que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone
lo siguiente:

4“ Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11,
25 a 39, 42 y 43;”

5. “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

b) los derechos de los interesados a tenor de los artículos 12 a 22;(…)”.”

A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.

A efectos del plazo de prescripción, los artículos 73 y 74 de la LOPDGDD
indican:
Artículo 73. Infracciones consideradas graves.

“1 En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

d) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para aplicar de forma efectiva los principios de protección de datos desde
el diseño, así como la no integración de las garantías necesarias en el tratamiento, en
los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679.”

Artículo 74. Infracciones consideradas leves.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

129/136

“Se consideran leves y prescribirán al año las restantes infracciones de carácter
meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83
del Reglamento (UE) 2016/679 y, en particular, las siguientes: a) El incumplimiento del
principio de transparencia de la información o el derecho de información del afectado
por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento
(UE) 2016/679”.

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturale-
za, alcance o propósito de la operación de tratamiento de que se trate así como el nú-
mero de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para pa-
liar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habi-
da cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en parti-
cular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medi-
da;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certi-
ficación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirecta-
mente, a través de la infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

130/136

establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las
sanciones de multa a imponer en el presente caso al reclamado, como responsable de
infracciones tipificadas en el artículo 83.5.a) y b) del RGPD, procede graduar la multa
que correspondería imponer por cada una de las infracciones imputadas como sigue:

1. Infracción por incumplimiento de lo establecido en el artículo 25 del RGPD, tipificada
en el artículo 83.4.a) y calificada como grave a efectos de prescripción en el artículo
73.1.d) de la LOPDGDD:

En este caso, considerando la gravedad de las infracciones constatadas procede
la imposición de multa.

No cabe aceptar la solicitud formulada por EDP ENERGÍA, S.A.U. para que se
impongan otros poderes correctivos, concretamente, el apercibimiento, que está
previsto para personas físicas y cuando la sanción constituya una carga
desproporcionada (considerando 148 del RGPD).

Por las mismas razones, y considerando los criterios de graduación de las
sanciones que seguidamente se indican, se desestima igualmente la petición de
imposición de una sanción en su grado mínimo.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las
sanciones de multa a imponer en el presente caso al EPD ENERGÏA, S.A.U., como
responsable de infracciones tipificadas en el artículo 83.4.a) y 83.5.b) del RGPD,
procede graduar la multa que correspondería imponer por cada una de las infracciones
imputadas como sigue:

Se estima que concurren en calidad de agravantes los siguientes factores que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

131/136

revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la entidad EDP
ENERGÍA, S.A.U.:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza alcance o propósito de las operaciones de tratamiento de que se
trata: La infracción resulta de la ausencia de una efectiva implantación de
medidas técnicas y organizativas para eliminar los riesgos que genera la con-
tratacion de los servicios y la obtención de consentimiento para otras finalida-
des cuando se actúa a través de representante.

- La intencionalidad o negligencia apreciada en la comisión de la infracción.
Las deficiencias en tales procedimientos de contratación y obtención de
consentimiento para otras finalidades debían haber sido advertidas por una
entidad de las características de EDP ENERGÍA, S.A.U. y evitadas al diseñar
sus procesos.

- El carácter continuado de la infracción. La infracción tiene su origen en un
incorrecto diseño de los procedimientos de contratación a través de
representante, que han sido utilizados desde al menos el año 2018, sin que
se hayan modificado éstos o implementado medidas correctoras hasta el
mes de enero del año en curso en que se implementó un protocolo de
contratación mediante representante.

- La alta vinculación de la actividad del infractor con la realización de
tratamientos de datos personales. Las operaciones que constituyen la
actividad empresarial desarrollada por EDP ENERGÍA, S.A.U. como
comercializadora de servicios de electricidad a particulares implican
operaciones de tratamiento de datos personales.

No cabe considerar como atenuante, como se alega por el responsable, que
el tratamiento de datos se lleve a cabo de forma instrumental sin que su
actividad se base en la explotación de datos personales, a este respecto se
tiene en cuenta que se han recabado autorizaciones del representante en
nombre del representado para llevar a cabo tratamientos de publicidad de
productos o servicios no energéticos de empresas o colaboradoras de EDP
ENERGÍA.

- La condición de gran empresa de la entidad responsable y su volumen de
negocio. El volumen de negocios de la entidad según la información obtenida
ha sido de 1.236.124.000 euros en el año 2018. Se alega que se han tenido
en cuenta los datos de 2018 y no los de 2019 siendo el volumen de negocio
de dicho año de 589.929.000 euros.

Se alega que tener la consideración de gran empresa o el volumen de
facturación no son circunstancias previstas como agravantes ni en el RGPD
ni en la LOPDGDD.

No cabe compartir tal alegación, el artículo 83.1 del RGPD dispone que
“Cada autoridad de control garantizará que la imposición de las multas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

132/136

administrativas con arreglo al presente artículo por las infracciones del
presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso
individual efectivas, proporcionadas y disuasorias.” El número 2 de dicho
artículo establece que al decidir la imposición de una multa administrativa y
su cuantía en cada caso individual se tendrá debidamente en cuenta: (…) k)
cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas,
directa o indirectamente, a través de la infracción.”

A estos efectos como factor agravante, cabe tener en cuenta la
consideración de la entidad como una gran empresa lo que se encuentra
vinculado entre otros aspectos a su volumen de facturación, en la medida en
que dispone de mayores medios para dar cumplimiento a las obligaciones
impuestas por el RGPD.

En cuanto al volumen de negocio tenido en cuenta en el procedimiento, se
tomó el que se encontraba disponible en el momento del acuerdo de inicio,
sin que haya sido cuestionado hasta ahora por EDP ENERGÍA, S.A.U.. No
obstante, aún teniendo por cierto que el volumen correspondiente al año
2019 es el que figura en las alegaciones a la propuesta de resolución, tal
dato no modifica la condición de gran empresa de dicha entidad.

- Elevado volumen de datos y tratamientos que constituye el objeto del
expediente. El volumen de contratos suscritos por terceros en representación
de personas físicas ascendió durante el año 2019 ascendió a 37.197.

- Toda infracción anterior cometida por el responsable o el encargado del
tratamiento; EDP ENERGÍA, S.A.U. ha sido sancionada en los
procedimientos PS/00101/2018 y PS/00363/2018, por infracción del artículo
6.1 de la Ley Orgánica 15/1999, y PS/00109/2019 por la vulneración del
artículo 6.1 del RGPD.

Se alega por el responsable que la AEPD se refiere al volumen de facturación global
de EDP ENERGÍA para cuantificar la infracción cuando debería tener en cuenta
exclusivamente, y en su caso, los datos de facturación generados por el eventual
incumplimiento alegado -en el caso del artículo 25 del RGPD, relativo exclusivamente
a la contratación por representación, siendo la cuantía obtenida por la contratación por
representación de 7.650.000 euros aproximadamente.

A este respecto, debe tenerse en cuenta que el artículo 83.4 dispone que “Las
infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior”, por
consiguiente esta Agencia entiende que el volumen total de negocio anual es el que
opera como límite de la cuantía de la infracción, y no el beneficio obtenido, que
constituye un elemento agravante más. A este respecto cabe tener en cuenta que el
2% de la facturación de dicha entidad durante 2019 según los datos que indican,
supone una cifra de 11.798.580 euros, por lo que la cantidad en que se valora la
cuantía de la multa, muy alejada de tal importe máximo, resulta ponderada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

133/136

Por otra parte, solicita dicha entidad que se consideren como atenuantes el hecho de
que no se traten categorías especiales de datos, ni datos de menores, a este respecto
debe considerarse que el tratamiento de tales datos puede constituir en su caso un
agravante, pero el hecho de que no se traten tales datos en sí mismo no constituye
una atenuante, sin que, por otra parte, por el responsable del tratamiento justifique en
modo alguno porque debe ser tenido en cuenta en este sentido tal circunstancia.

Tampoco cabe tener en cuenta como atenuante el hecho de que la entidad haya sido
objeto de venta a otra empresa, el artículo 76.2.e) de la LOPDGDD señala que podrá
tenerse en cuenta “la existencia de un proceso de fusión por absorción posterior a la
comisión de la infracción, que no puede imputarse a la entidad absorbente” Se
pretende aquí una interpretación analógica de este precepto de modo que se extienda
dicha circunstancia a otras “modificaciones estructurales” realizadas con posterioridad
a la comisión de la infracción, interpretación que no puede admitirse, cuando la
LOPDGDD quiere referirse a modificaciones estructurales en general así lo hace,
mientras que en el señalado precepto hace exclusiva referencia a la fusión por
absorción.

Alega que deben considerarse como atenuantes igualmente las medidas tomadas
para paliar los daños como es la implementación de un nuevo protocolo de
contratación y el grado de cooperación con la administración y el grado de
colaboración con la AEPD. Estos elementos son tenidos en cuenta de modo que no se
ha hecho uso de otro de los poderes correctivos que esta Agencia puede utilizar como
es la imposición de medidas en los términos previstos en el artículo 58.2 del RGPD.

Considerando los factores expuestos, la valoración que alcanza la multa por la
infracción imputada es de 500.000,00 euros.

2. Infracción por incumplimiento de lo establecido en el artículo 13 del RGPD, tipificada
en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo
74.a) de la LOPDGDD:

Se estiman concurrentes los criterios de graduación siguientes:

- La naturaleza, gravedad y duración de la infracción: Las deficiencias
apreciadas en la información que se facilita a los interesados afectan a
aspectos sustantivos del principio de transparencia.

Se alega que se imputa es la necesidad de mejorar algunos aspectos de sus
políticas de protección de datos sin que en ningún caso los textos utilizados
puedan entenderse que hayan generado un elevado nivel de daños y
perjuicios, lo que debe ser considerado como una atenuante. Esta alegación
no puede aceptarse, no se trata de simples defectos de la información
ofrecida sin mayor transcendencia, dicha información vulnera aspectos
fundamentales del principio de transparencia como se ha puesto de
manifiesto en el presente procedimiento.

- La intencionalidad o negligencia apreciada en la comisión de la infracción.
Los defectos señalados en la información facilitada muestran la falta de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

134/136

diligencia de EDP ENERGÍA, S.A.U. en dar cumplimiento a las obligaciones
de transparencia impuestas por el RGPD.

No puede compartirse la alegación de que en sus actuaciones ha seguido las
guías y directrices de la AEPD y del Comité Europeo de Protección de Datos
lo que demuestra su diligencia, por el contrario, en los fundamentos de
derecho se contienen los numerosos aspectos en que las directrices del
Comité Europeo de Protección de datos no han sido tenidas en cuenta en su
actuación.

- La alta vinculación de la actividad del infractor con la realización de
tratamientos de datos personales. Las operaciones que constituyen la
actividad empresarial desarrollada por EDP ENERGÍA, S.A.U. como
comercializadora de servicios de electricidad implican operaciones de
tratamiento de datos personales.

No cabe considerar como atenuante, como se alega por el responsable, que
el tratamiento de datos se lleve a cabo de forma instrumental sin que su
actividad se base en la explotación de datos personales. Tal y como se
desprende de los hechos expuestos en este procedimiento y de las
condiciones generales de contratación, se recaban consentimientos para
llevar a cabo tratamientos publicitarios de terceros en diversos sectores
(financieros, protección de pagos automoción y afines, electrónica….)

- El carácter continuado de la infracción, interpretado por la Audiencia Nacional
como infracción permanente.

- La condición de gran empresa de la entidad responsable y su volumen de
negocio. El volumen de negocios de la entidad según la información obtenida
ha sido de 1.236.124.000 euros en el año 2018. Se alega ahora que el
volumen de negocio del año 2019 es de 589.929.000 euros.

Respecto a la alegación de que tener la consideración de gran empresa o el
volumen de facturación no son circunstancias previstas como agravantes ni
en el RGPD ni en la LOPDGDD, esta Agencia se reitera en lo señalado
anteriormente en la determinación de los agravantes de la infracción del
artículo 25 ante la misma alegación.

- Elevado volumen de datos y tratamientos que constituye el objeto del
expediente. La infracción afecta a todos los tratamientos de datos efectuados
por la entidad EDP ENERGÍA, S.A.U.

- Elevado número de interesados. La infracción afecta a todos los clientes
personas físicas de la entidad. Según el informe de supervisión de los
cambios de comercializador, correspondiente al primer trimestre de 2019, de
la Comisión Nacional de los Mercados y la Competencia el número de puntos
de suministro de la entidad en el ámbito doméstico ascendía a 1.129.534
constituyendo un 4% del total del sector eléctrico en dicho ámbito doméstico.

No puede admitirse la alegación de que no se trata de un elevado volumen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

135/136

de tratamientos porque no se identifique a otros colectivos distintos a sus
clientes. El elevado número de clientes personas físicas de la entidad
responsable es elemento suficiente para considerar esta circunstancia como
una agravante.

En cuanto a otros factores que el responsable del tratamiento considera que deben ser
tenidos en cuenta como atenuantes, tales como el hecho de que no se traten
categorías especiales de datos ni datos de menores o la venta de la totalidad de las
acciones a otra empresa, no cabe sino remitirse a lo expresado por esta Agencia ante
las mismas alegaciones en relación con la infracción del artículo 25 del RGPD.

Alega que deben considerarse como atenuantes igualmente las medidas tomadas
para paliar los daños como es la como la mejora del acceso a la información sobre
protección de datos, que ya está disponible en la dirección edp-
residencialbytotal.es/rgpd y el grado de cooperación con la autoridad. La alegada
mejora afecta solamente a uno de los defectos señalados en relación con la
transparencia del procedimiento, cuya valoración positiva por esta Agencia no puede
suponer una atenuante de la sanción teniendo en cuenta que tal medida ha sido
tomada una vez iniciado el presente procedimiento sancionador.

Considerando los factores expuestos, la valoración que alcanza la multa por la
infracción imputada es de 1.000.000,00 euros

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad EDP ENERGIA, S.A.U., con NIF A33543547, por
una infracción del artículo 25 del RGPD, tipificada en el artículo 83.4.a) y calificada
como grave a efectos de prescripción en el artículo 73.d) de la LOPDGDD, una multa
por importe de 500.000 euros (quinientos mil euros).

SEGUNDO: IMPONER a la entidad EDP ENERGIA, S.A.U., por una infracción del
artículo 13 RGPD, tipificada en el artículo 83.5.b) y calificada como leve a efectos de
prescripción en el artículo 74.a) de la LOPDGDD, una multa por importe de 1.000.000
euros (un millón de euros).
TERCERO: DECLARAR, por falta de evidencias en aplicación del principio de
presunción de inocencia, no imputables a EDP ENERGIA, S.A.U.., las infracciones de
lo establecido en los artículos 6 y 22 del RGPD.

CUARTO: NOTIFICAR la presente resolución a EDP ENERGIA, S.A.U..

QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

136/136

de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Temsil Yoluyla Sözleşmelerde Tasarım ve Bilgilendirme Yükümlülüğü

Türkçe özet

Hukuki mesele

Sonuç

Karar metni