Una persona (en adelante, la parte reclamante) presentó una reclamación a la Agencia Española de Protección de Datos, a fecha 10 de febrero de 2021, contra una entidad de suministro eléctrico (Empresa.1)
Antecedentes del caso:
La parte reclamante recibe una llamada desde un nº de teléfono (Teléfono.1) por parte de la entidad reclamada para renovar su contrato de suministro eléctrico.
Posteriormente recibe un SMS con enlace a un contrato de suministro eléctrico con otra entidad (Empresa.2). En este contrato figuran los datos personales y se desconoce cómo se han obtenido. Este hecho puede suponer un tratamiento de datos personales sin conocimiento del titular.
En conformidad con el artículo 65.4 de la LOPDGDD, el 25 de mayo del mismo año se trasladó la reclamación a la parte reclamada a fin de que proceda al análisis e informe a la Agencia sobre los hechos sucedidos.
Dos meses más tarde, la Agencia recibe una respuesta indicando que la Empresa.1 es una entidad comercializadora de la Empresa.2. y que contactó vía teléfono con la parte reclamante, explicando una oferta e iniciando el procedimiento de contratación a distancia del servicio de suministro eléctrico de la Empresa.2
Notificación certificada
A continuación se envía un SMS con notificación certificada con el precontrato en el que aparecían los datos proporcionados por la persona reclamante.
Puntualiza que este mensaje debe ser aceptado y contestado por el cliente para que la contratación finalice.
En este caso concreto la parte reclamante no confirma el SMS enviado el 09 de febrero y, por tanto, el proceso de contratación no finaliza.
A fecha 12 de julio de 2021, la Directora de la AEPD admitió a trámite la reclamación.
Procedimiento sancionador
El 29 de octubre de 2021 la Directora abrió iniciar el procedimiento sancionador por presunta infracción del artículo 6 de la RGPD.
La Empresa.1, presentó alegaciones manifestando que se contactó con la reclamante con el único objetivo de ofrecerle una oferta de suministro eléctrico de muy buenas condiciones con la Empresa.2. Recordando que la Empresa.1 (parte reclamada) es una entidad comercializadora de la Empresa.2
Apunta también que, el procedimiento habitual es contar la oferta al cliente y sólo si la persona está interesada se facilitan sus datos.
La empresa.1 no tiene acceso a los datos personales a menos que los clientes los faciliten para que estén interesado en contratarlos con la Empresa.2. Y que, si se disponían de estos datos personales, era porque la parte reclamante los proporcionó.
A fecha 7 de diciembre de 2021 se formuló la propuesta de resolución.
Valoraciones de la AEPD
En las conclusiones, la AEPD señaló que la entidad reclamada afirmó que los datos personales fueron facilitados por la reclamante y que la carga de la prueba corresponde a la reclamante.
Sin embargo, la AEPD recordó que según el artículo 7 del RGPD, la carga de la prueba recae en el responsable del tratamiento, indicando que si la Empresa.1 no puede aportar documentación que acredite que cuenta con el consentimiento del reclamando para utilizar sus datos personales y enviarle un precontrato, se entiende que aunque la entidad obtuvo los datos del reclamante, la entidad no obtuvo su consentimiento para su tratamiento, y por tanto incurre en una violación del artículo 6 del RGPD’.
Sanción
En base a las agravantes, la AEPD consideró oportuno imponer al imputado una sanción de 15.000 € por la infracción del artículo 6 del RGPD