Condenan a EDP Energía por vulneración de protección de datos
La Audiencia Nacional rebaja la sanción inicial de 1,5 millones a 850.000 euros
La Audiencia Nacional ha obligado a EDP Energía a abonar una multa de 850.000 euros por vulneración de protección de datos en el proceso de contratación de servicios de manera telefónica. En una sentencia del pasado 1 de marzo, a la que ha tenido acceso este periódico, la Sala de lo Contencioso-Administrativo ha avalado todos los argumentos que la Agencia Española de Protección de Datos (AEPD) señaló en una resolución de 2021 por la que impuso a la compañía una sanción de 1,5 millones de euros por el tratamiento de datos personales sin el consentimiento del interesado.
La agencia inició una investigación en 2019, tras recibir la denuncia de un particular en relación a la contratación de un suministro de energía eléctrica a su nombre sin su consentimiento, contratada supuestamente por un tercero o representante, sin que la entidad acreditara la existencia de tal representación. El organismo concluyó que EDP no había adoptado medidas para comprobar la autorización para contratar o para prestar consentimiento en nombre del representado. Por tanto, constató una “ausencia efectiva en implantación de medidas técnicas y organizativas para eliminar los riesgos que genera la contratación de servicios y la obtención de consentimiento para otras finalidades, cuando se actúa a través de representante”.
EDP Energía ha defendido que no cometió ninguna de las irregularidades atribuidas porque, según alegó, siguió las normas referidas al procedimiento de contratación por medio de representante. Asimismo, aseguró que la AEPD se extralimitó a la hora de cuestionar esta forma de contratación a través de algunos de sus canales habilitados y subraya que sus consideraciones carecen de fundamento legal.
La Sala de lo Contencioso-Administrativo de la Audiencia Nacional no comparte íntegramente estos argumentos, sino que asume el criterio de la agencia de protección de datos. En este sentido, los magistrados señalan en su sentencia que “no resulta fácil” para la persona que contrata unos servicios, y que no suele estar “especializada en materia de protección de datos”, diferenciar en el caso de EDP entre los tratamientos que derivan del contrato y los que van destinados a otros objetivos, como puede ser temas publicitarios o la creación del envío de ofertas relacionadas con la energía adaptadas a su perfil.