Nota informativa: Sanción de 5 millones a comercializadora de energía por contratación fraudulenta

Nota informativa del área de Privacidad de ECIJA Madrid.

Si bien la Resolución valora un supuesto de especial gravedad, lo cierto es que confirma la progresiva tendencia de aumento en la cuantía de las sanciones que llevan aparejadas las infracciones de la normativa de protección de datos, equiparándose a las cifras comunitarias

La Agencia Española de Protección de Datos (en lo sucesivo, “AEPD”) ha impuesto a una entidad comercializadora de energía una sanción de 2,5 millones por una infracción del Artículo 5.1a) del Reglamento General de Protección de Datos (“RGPD”) y una sanción de 2,5 millones por una infracción del Artículo 5.2 del RGPD.

La entidad comercializadora habría contratado, en julio de 2019, a un proveedor para realizar sus labores de prospección comercial (“promoción de contratos a comisión”), habiendo desarrollado éste una actividad de captación irregular, no sólo en materia en términos de protección de datos, sino en términos de competencia y contratación.

En inicio, la situación fue investigada por la Comisión Nacional del Mercado y la Competencia (en adelante, “CNMC”), quien acabó remitiendo el expediente y documental a la AEPD. La comercializadora de energía fue conocedora de que se producían ciertas irregularidades en la actividad de prospección en septiembre de 2019, advirtiendo, en esta fecha, a su proveedor, para que cesase en tales conductas.

Si bien la entidad manifiesta por múltiples medios su oposición a cualquier práctica irregular, e inicia una auditoría o revisión exhaustiva de la actividad de su proveedor, lo cierto es que ésta no resuelve la relación contractual con el proveedor hasta mayo de 2020, cuando recibe, por segunda vez, requerimientos de información de la CNMC.

En julio de 2022, la CNMC dicta resolución del procedimiento incoado a la entidad comercializadora de energía, sancionando a ésta con una multa cuya cuantía asciende a ciento cincuenta mil euros (150.000 €) por incumplimiento de los requisitos de contratación y apoderamiento con los clientes.

Por su parte, la AEPD, tras las actuaciones de investigación y a pesar de las alegaciones de la entidad sancionada, considera a la misma responsable del tratamiento de captación de clientes potenciales que ejecutaba su proveedor de forma irregular.

Dicho proveedor contaba con una base de datos propia, que empleaba con dicha finalidad. Si bien garantizó contractualmente a la entidad sancionada que la misma había sido obtenida de forma lícita, lo cierto es que dichos datos se utilizaron para confundir a los clientes potenciales, haciendo que contrataran una nueva comercializadora de energía, sin ser conscientes de ello.

La Agencia especifica que se han utilizado datos de carácter personal con el fin de presionar a los clientes potenciales a suscribir un nuevo contrato de suministro de energía. La entidad sancionada, en calidad de responsable del tratamiento, recibió información por distintas vías que le alertaron de la forma en la que su encargado estaba tratando, por su cuenta, los datos de carácter personal. Si bien dicha entidad adoptó algunas medidas a posteriori, las mismas no impidieron la continuación de las prácticas comerciales irregulares.

La autoridad de control considera acreditado que la entidad sancionada, en lugar de actuar proactivamente, como exige el artículo 5.2 del RGPD, actuó de forma reactiva y limitada, impulsada fundamentalmente por la defensa de los intereses de su propia organización (proteger su reputación, evitar posibles perjuicios).

En este sentido, se considera determinante que la entidad sancionada optó por mantener el contrato con su proveedor, permitiendo que este continuara contactando con clientes potenciales. La AEPD considera que este hecho pone de manifiesto la ausencia de unos controles adecuados y efectivos por parte de la entidad sancionada con respecto a sus encargados del tratamiento.

De forma expresa, la AEPD identifica las siguientes deficiencias en la conducta de la entidad sancionada para con su proveedor:

• No realizo ningún análisis de riesgos relativo a dicho encargado del tratamiento.
• No llevó a cabo un control adecuado de la procedencia de los datos de carácter personal.
• No estableció un control continuado y exhaustivo de las grabaciones de voz del proceso de contratación que le aportaba dicho proveedor.
• A pesar de tener evidencias de que su encargado podía no seguir sus instrucciones, no articuló un mecanismo de control eficaz sobre su actuación.
• En lugar de tener una actitud proactiva, implantando medidas previas y eficaces, tuvo una actitud fundamentalmente reactiva.

La resolución de la AEPD evidencia nuevamente la necesidad de establecer un proceso de diligencia debida para con los proveedores que tratan datos personales, en primer lugar, de forma previa a realizar la contratación; y, a posteriori, estableciendo controles periódicos que permitan a los responsables una revisión continua y proactiva, en aras de garantizar que se están cumplimiento las disposiciones contractuales y la normativa aplicable.