Una persona (d’ara endavant, la part reclamant) va presentar una reclamació a l’Agència Espanyola de Protecció de Dades, a data 10 de febrer de 2021, contra una entitat de subministrament elèctric (Empresa.1)
Antecedents del cas:
La part reclamant rep una trucada des de un nº de telèfon (Telèfon.1) per part de l’entitat reclamada per a renovar el seu contracte de subministrament elèctric.
Posteriorment rep un SMS amb enllaç a un contracte de subministrament elèctric amb una altre entitat (Empresa.2). En aquest contracte hi figuren les dades personals i es desconeix com s’han obtingut. Aquest fet pot suposar un tractament de dades personals sense coneixement del titular.
En conformitat amb l’article 65.4 de la LOPDGDD, el 25 de maig del mateix any es va traslladar la reclamació a la part reclamada per tal que procedeixi a l’anàlisi i informi a l’Agència sobre els fets succeïts.
Dos mesos més tard l’Agència rep una resposta indicant que l’Empresa.1 es una entitat comercialitzadora de l’Empresa.2. i que va contactar via telèfon amb la part reclamant, explicant una oferta i iniciant el procediment de contractació a distància del servei de subministra elèctric de l’Empresa.2
Notificació certificada
A continuació s’envia un SMS amb notificació certificada amb el precontracte on apareixien les dades proporcionades per la persona reclamant.
Puntualitza que, aquest missatge ha de ser acceptat y contestat pel client per què la contractació finalitzi.
En aquest cas concret la part reclamant no confirma l’SMS enviat el 09 de febrer i, per tant, el procés de contractació no finalitza.
A data 12 de juliol de 2021 la Directora de l’AEPD va admetre a tràmit la reclamació.
Procediment sancionador
El 29 d’octubre de 2021 la Directora va cordar iniciar el procediment sancionador per presumpte infracció de l’article 6 de la RGPD.
L’Empresa.1, va presentar al·legacions manifestant que es va contactar amb la reclamant amb l’únic objectiu d’oferir-li una oferta de subministrament elèctric de molt bones condicions amb l’Empresa.2. Recordant que l’Empresa.1 (part reclamada) és una entitat comercialitzadora de l’Empresa.2
Apunta també que, el procediment habitual és explicar la oferta al client i només si la persona està interessada es faciliten les seves dades.
L’empresa.1 no te accés a les dades personals a no ser que els clients els facilitin perquè estiguin interessat en contractar-los amb l’Empresa.2. I que, si es disposaven d’aquestes dades personals era perquè la part reclamant els va proporcionar.
A data de 7 de desembre de 2021 es va formular la proposta de resolució.
Valoracions de l’AEPD
En les conclusions, l’AEPD va assenyalar que l’entitat reclamada va afirmar que les dades personals van ser facilitades per la reclamant i que la càrrega de la prova correspon a la reclamant.
Tot i això, l’AEPD ha recordat que segons l’article 7 del RGPD, la càrrega de la prova recau en el responsable del tractament, indicant que si l’Empresa.1 no pot aportar documentació que acrediti que compta amb el consentiment del reclamant per a utilitzar les seves dades personals i enviar-li un precontracte, s’entén que encara que l’entitat va obtenir les dades del reclamant, l’entitat no va obtenir el seu consentiment per al seu tractament, i per tant incorre en una violació de l’article 6 del RGPD ‘.
Sanció
En base a les agreujants, l’AEPD va considerar oportú imposar a l’imputat una sanció de 15.000 € per la infracció de l’article 6 del RGPD