Holaluz, multada por dar de alta el suministro de varias viviendas sin saberlo su dueño

La Agencia Española de Protección de Datos (AEPD) ha impuesto a Holaluz una multa de 70.000 euros por dar de alta el suministro eléctrico de cuatro viviendas sin contar con la autorización de su propietario. Según la resolución, fechada el pasado 18 de agosto, la comercializadora cometió una infracción "muy grave" al tratar los datos del reclamante sin su consentimiento, según requieren la legislación europea y la nacional en materia de protección de datos. La sanción, no obstante, se ha visto reducida en un 20%, hasta los 56.000 euros, por el pago voluntario por parte de la compañía.

* Si no ves correctamente el módulo de suscripción, haz clic aquí.

Según describe la resolución, en julio de 2021, Holaluz activó el servicio en cuatro nuevos puntos de suministro a través de la distribuidora Blaner, inmuebles que, hasta la fecha, operaban con la comercializadora Energía XXI. En enero de 2022, sin embargo, la comercializadora remitió una comunicación a Blaner alertando de que había recibido una queja del titular de las viviendas. En la misma, negaba haber contratado el servicio de suministro con Holaluz y señalaba que el correo electrónico al que supuestamente habían enviado el contrato para su validación no era suyo.

Los hechos, según la reclamación presentada por el propietario de los cuatro inmuebles ante la AEPD, suponían una suplantación de identidad para la firma de los contratos. La defensa de Holaluz consistió en culpar a la empresa distribuidora, quien, según su versión, "de manera fraudulenta" había hecho constar una dirección de e-mail distinta a la del reclamante. Un argumento exculpatorio que, sin embargo, es rechazado por el organismo, quien reprocha a la compañía energética no haber aplicado los controles necesarios en el proceso de contratación.

TE PUEDE INTERESAR

La AEPD sanciona a un bar porque un camarero le pidió el teléfono a una clienta

Irene Cortés

"El reclamado [Holaluz] tiene previsto un sistema de validación de los contratos que realizan sus encargados y, si bien indica que en el presente caso se realizó la validación de manera correcta, no hay evidencia al respecto, pues remite los contratos sin firmar, así como el envío del correo electrónico para tal validación, pero no hay evidencia de que se haya realizado tal validación por alguna persona", manifiesta la resolución. De tal modo, continúa, que para la AEPD "consta acreditado" que Holaluz trató los datos personales del propietario de las viviendas "sin legitimación para ello", pues tuvo que gestionar la baja de los contratos con la anterior comercializadora, Energía XXI, lo que requiere de una información identificativa del susodicho que afecta a su privacidad.

En este sentido, la resolución recuerda que el cambio de comercializadora de suministro, que viene determinado por la ley, contiene trámites que no pueden realizarse sin tratar datos personales. Así, se detalla, la transición entre una compañía y otra requiere el alta del contrato con la primera y la baja con la segunda, mediante un agente que ejecuta el cambio. No obstante, la formalización de los documentos debe hacerse por parte de la comercializadora, siendo esta quien debe comprobar la identidad y voluntad del consumidor, lo que, inevitablemente, conlleva el tratamiento de datos personales.

"Sus datos fueron incorporados a los sistemas de Holaluz, sin que esta haya acreditado que hubiese contratado legítimamente"

Este tratamiento, según expresa la AEPD, requiere el consentimiento del interesado o alguna otra base legitimadora, según se establece en el artículo 6.1 del Reglamento General de Protección de Datos (RGPD). Un precepto que, en ausencia del mismo, fue vulnerado por Holaluz. "Los datos personales del reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales o existiese alguna otra causa que hiciese lícito el tratamiento efectuado", indica la resolución. No hubo autorización, por tanto, para que la información personal del reclamante fuera registrada en los ficheros de la eléctrica, ni tratada para la emisión de facturas.

Al calcular la cuantía de la sanción, el organismo tiene en cuenta, como causa agravante, que, por su actividad, trata recurrentemente datos personales, por lo que debería tener implementadas medidas técnicas y organizativas que respetaran este derecho fundamental. Sin embargo, valora, en su descargo, que Holaluz adoptó medidas inmediatas para atenuar los daños y perjuicios sufridos por el reclamante, pues gestionó su solicitud de baja de forma inmediata.