1/9
Expediente Nº: PS/00476/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26 de abril de 2021
interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra BASER COMERCIALIZADORA DE REFERENCIA,
S.A. con CIF A74251836 (en adelante, la parte reclamada).
El motivo en que basa la reclamación es que un tercero ha contactado con la entidad
reclamada con la que tiene contratado el suministro de electricidad, solicitando un
aumento en la potencia contratada, en base a una supuesta autorización que él no
otorgó.
Aporta entre otra la siguiente documentación:
- Grabación de voz de fecha 3 de febrero de 2021 en la que una mujer llama a la
entidad reclamada, reclamando sufrir cortes de luz.
Se le solicita identificarse con su DNI a lo que responde si facilita el suyo o el del titular
del contrato que es su hermano. Facilita el nombre y apellidos y DNI del titular.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, el 3
de junio de 2021, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.
Con fecha 2 de julio de 2021 presentó en la oficina telemática de registro el escrito de
alegaciones a la solicitud de información en el procedimiento E/06494/2021, pero que
la plataforma habilitada por la AEPD no le permitió incorporar archivos de audio para
su defensa, por lo que se adjuntan documentos en formato digital legible, de los cuales
se desprende que la entidad reclamada recibió la llamada de una mujer que aseguró
vivir en la dirección del suministro, pero que el contrato estaba a nombre de su
hermano, por lo que la entidad reclamada tras requerirle el DNI, nombre y apellidos del
titular, respondió a las preguntas planteada por esa mujer, relativas a la potencia
contratada.
La entidad reclamada le informa a su interlocutora que la potencia contratada es de
1,4 KW, a lo que ésta señala que alguien ha cambiado la potencia contratada pues era
de 1,8 KW.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/9
La entidad reclamada le informa que a través de la página web el titular cambió la
potencia contratada de 1,8 KW a 1,4 KW en fecha 1 de febrero de 2021.
La entidad reclamada le informa que puede hacer nuevamente el cambio de potencia
el cual se realiza a requerimiento suyo.
Por todo ello, la entidad reclamada manifiesta que el departamento de atención al
cliente se ajustó al Protocolo, al solicitar el DNI del titular, el nombre y apellidos, el
número de teléfono y dirección de suministro, por lo que no consideró necesario
solicitar información adicional prevista en el Protocolo, como la dirección de correo
electrónico ni los números de la cuenta o del contrato.
TERCERO: Con fecha 20 de septiembre de 2021 la Directora de la Agencia Española
de Protección de Datos acordó admitir a trámite de la reclamación presentada por la
parte reclamante.
CUARTO: Con fecha 10 de noviembre de 2021, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo
83.5 del RGPD.
QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones en el que, en síntesis, manifiesta que ha actuado en todo momento de
conformidad con el protocolo que consiste en verificar que el sujeto que llama dispone
del nombre, apellidos y DNI del titular del contrato, dirección del punto de suministro,
número de teléfono o la dirección de correo electrónico y, en caso de que la persona
que llama no disponga de la información correspondiente al número de teléfono o
dirección de email, adicionalmente, se le solicitan los cuatro últimos dígitos de la
cuenta bancaria en la que esté domiciliado el contrato de suministro respecto del que
desea o el número de contrato.
Se manifiesta que la persona que llamó conocía perfectamente todos los datos
solicitados por lo que superó el Protocolo, siendo por ello considerada representante
del titular del contrato y se procedió a gestionar el cambio de potencia solicitado.
Se considera que las modificaciones de la potencia contratada de suministro eléctrico
en la dirección de suministro se constituyen como “elemento de presión” utilizado por
el reclamante para tratar de resolver un conflicto de índole familiar relacionado con la
falta de pago del alquiler de la vivienda, por la vía de hecho, y así queda constatado,
por la entidad reclamada al aportar laudo arbitral por tales hechos.
SEXTO: Con fecha 15 de diciembre el instructor del procedimiento acordó la apertura
de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones
previas de investigación, así como los documentos aportados por el reclamado en
fecha 23 de noviembre de 2021.
SEPTIMO: Con fecha 13 de enero de 2022 se formuló propuesta de resolución,
proponiendo lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/9
Que por la Directora de la Agencia Española de Protección de Datos se sancione a
BASER COMERCIALIZADORA DE REFERENCIA, S.A., con CIF A74251836, por
una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una
multa de 100.000 euros (cien mil euros).
Que por la Directora de la Agencia Española de Protección de Datos se sancione a
BASER COMERCIALIZADORA DE REFERENCIA, S.A., con CIF A74251836, por
una infracción del artículo 32 del RGPD, tipificada en el artículo 83.5 del RGPD, una
multa de 50.000 euros (cincuenta mil euros).
OCTAVO: Notificada la propuesta de resolución, el reclamado presentó escrito de
alegaciones en el que, en síntesis, reitera las ya alegadas, incidiendo en que la
hermana del denunciante ha actuado como su representante y por tanto, sus actos
deben desplegar los mismos efectos que si hubieran sido realizados por el
denunciante.
De modo que el tratamiento realizado sobre los datos personales del reclamante
deberá tener, en todo caso, su base jurídica en la ejecución del contrato, con base en
el artículo 6.1.b) del RGPD, entendiendo que la modificación del contrato, realizada
por la hermana del reclamante, al actuar como su representante, ha sido en realidad a
instancias del titular del contrato, es decir del reclamante.
La entidad reclamada manifiesta además que siguió su protocolo de seguridad y que
no está obligada a efectuar ninguna comprobación adicional sobre la existencia y
alcance del mandato o representación cuestionados en este supuesto.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El reclamante tiene un contrato de suministro de electricidad con la entidad
reclamada, la cual ha realizado un cambio en las condiciones contractuales (aumento
de la potencia contratada) sin contar con su consentimiento.
SEGUNDO: La entidad reclamada manifiesta que recibió la llamada de una mujer que
aseguró vivir en la dirección del suministro, por lo que tras solicitar los datos del titular,
procedió a cambiar la potencia contratada.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para
resolver este procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/9
II
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, en su artículo 4.11 define el consentimiento del
interesado como “toda manifestación de voluntad libre, específica, informada e
inequívoca por la que el interesado acepta, ya sea mediante una declaración o una
clara acción afirmativa, el tratamiento de datos personales que le conciernen”.
En este sentido, el artículo 6.1 de la LOPDGDD, establece que “de conformidad con lo
dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consenti-
miento del afectado toda manifestación de voluntad libre, específica, informada e ine-
quívoca por la que este acepta, ya sea mediante una declaración o una clara acción
afirmativa, el tratamiento de datos personales que le conciernen”.
Por su parte el artículo 6 del RGPD, establece lo siguiente:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condicio-
nes:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos intere-
ses no prevalezcan los intereses o los derechos y libertades fundamentales del intere-
sado que requieran la protección de datos personales, en particular cuando el intere-
sado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento reali-
zado por las autoridades públicas en el ejercicio de sus funciones.”
En segundo lugar, para estudiar el correcto protocolo de actuación seguido por la
entidad reclamada hemos de acudir al artículo 32 del RGPD “Seguridad del
tratamiento”, donde se establece que:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/9
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.
III
En el presente supuesto se denuncia a la entidad reclamada por la modificación de las
características de un contrato de suministro celebrado con el reclamante sin contar
con su consentimiento.
La entidad reclamada ha presentado alegaciones al acuerdo de inicio, así como a la
propuesta de resolución, expresando su disconformidad con este procedimiento
sancionador, por considerar que ha actuado en todo momento de conformidad con el
protocolo, que consiste en verificar que el sujeto que llama dispone del nombre,
apellidos y DNI del titular del contrato, dirección del punto de suministro, número de
teléfono o la dirección de correo electrónico y, en caso de que la persona que llama no
disponga de la información correspondiente al número de teléfono o dirección de
email, adicionalmente, se le solicitan los cuatro últimos dígitos de la cuenta bancaria
en la que esté domiciliado el contrato de suministro respecto del que desea o el
número de contrato.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/9
En este caso concreto siguiendo el protocolo establecido por la entidad reclamada, se
solicitó el DNI del titular, el nombre y apellidos, el número de teléfono y dirección de
suministro.
En este sentido, ha de considerarse que el protocolo de la entidad reclamada, no
alcanza los niveles de seguridad exigidos para garantizar que el tratamiento de los
datos personales sea acorde a la normativa de protección de datos, ya que los datos
requeridos por la entidad reclamada en su protocolo de seguridad son datos (DNI,
nombre y apellidos, teléfono y dirección) que podrían estar al alcance de terceros.
Ha de indicarse que conocer el DNI del titular, el nombre y apellidos, el número de
teléfono y dirección de suministro, para la hermana del reclamante a la que este le ha
arrendado la vivienda objeto del suministro, no puede conllevar a la presunción de
representación, ya que su relación familiar y contractual le permite conocer tales datos,
sin necesidad de que implique un consentimiento del titular del contrato de suministro
para llevar a cabo su modificación.
Así las cosas, se ofrecen indicios evidentes de dos circunstancias claras:
La entidad reclamada ha vulnerado el artículo 32 del RGPD, por no
disponer de un protocolo de seguridad adecuado que permita constatar que se
está actuando en representación del reclamante, ya que su protocolo de
seguridad exige DNI del titular, el nombre y apellidos, el número de teléfono y
dirección de suministro, datos que pueden estar al alcance de terceros sin que su
conocimiento implique que se está actuando en nombre del titular del contrato.
La entidad reclamada, al no tener un protocolo de seguridad adecuado, ha
modificado la potencia contratada sin contar con el consentimiento de su titular, es
decir, del reclamante, lo cual supone una infracción del art. 6 del RGPD.
IV
El artículo 72.1 b) de la LOPDGDD señala que “en función de lo que establece el
artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán
a los tres años las infracciones que supongan una vulneración sustancial de los
artículos mencionados en aquel y en particular, las siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.”
El artículo 73 de la LOPDGDD, a efectos de prescripción, califica de “Infracciones
consideradas graves”:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/9
g) El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las
medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido
por el artículo 32.1 del Reglamento (UE) 2016/679”.
V
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá
de todos los siguientes poderes correctivos indicados a continuación:
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
Así las cosas, en atención a lo que resulte de la instrucción, se podrá ordenar a la
parte reclamada que en el plazo designado proceda a realizar las actuaciones
necesarias para que el tratamiento de los datos personales utilizados se ajuste a las
disposiciones del RGPD.
VI
Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el artículo 83.2 del RGPD, considerando como
agravantes:
La negligencia del reclamado al modificar el contrato celebrado con el
reclamante (artículo 83.2 b), sin tener la certeza de que la persona que llamó
solicitando el cambio representaba al titular del suministro, ya que los datos
exigidos en su protocolo podrían estar al alcance de cualquier tercero.
La vinculación de la actividad del infractor con la realización de tratamiento
de datos personales art. 76.2.b) LOPDGDD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/9
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a BASER COMERCIALIZADORA DE REFERENCIA, S.A., con
CIF A74251836, por una infracción del artículo 6 del RGPD, tipificada en el artículo
83.5 del RGPD, una multa de 100.000 euros (cien mil euros).
SEGUNDO: IMPONER a BASER COMERCIALIZADORA DE REFERENCIA, S.A.,
con CIF A74251836, por una infracción del artículo 32 del RGPD, tipificada en el
artículo 83.4 del RGPD, una multa de 50.000 euros (cincuenta mil euros).
TERCERO: NOTIFICAR la presente resolución a BASER COMERCIALIZADORA DE
REFERENCIA, S.A..
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/9
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es