La AEPD multa a la comercializadora energética de Villar Mir con 5 millones
Enérgya VM recurre la sanción de Protección de Datos e irá a la Audiencia Nacional
La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa millonaria a Enérgya VM Gestión de Energía, la comercializadora de electricidad y gas del Grupo Villar Mir (GVM), por la falta de control en el canal que contrató en 2019 para la gestión comercial telefónica. Así, la empresa Nivalco Soluciones Comerciales, administrada por Carles Vidal y que entró en liquidación en 2021, captó para Enérgya VM 8.703 clientes entre junio de 2019 y mayo de 2020 de Naturgy con prácticas irregulares. La AEPD ha sancionado con cinco millones de euros a la Enérgya por dos infracciones, por sendos importes de 2,5 millones de euros, del Reglamento General de Protección de Datos (RGPD). La filial de GVM ya ha presentado un recurso de reposición ante la AEPD y, a la espera de la resolución definitiva, se prepara para elevar el caso a la vía contencioso-administrativa en la Audiencia Nacional.
Los hechos se remontan a junio de 2019, cuando Enérgya VM contrata para la comercialización telefónica de sus servicios, sin exclusividad, a Nivalco. Esta empresa había trabajado previamente para Naturgy. A comienzos de septiembre de aquel año, la gasista notifica a Enérgya VM la existencia del uso fraudulento por parte de Nivalco para captar clientes utilizando datos extraídos ilegalmente de Naturgy. Ésta, en paralelo, denunció los hechos ante la Comisión Nacional de los Mercados y la Competencia (CNMC), que requirió información al respecto a Enérgya.
Tras las advertencias de Naturgy, la comercializadora de la familia Villar Mir trasladó a Nivalco la situación para que cesara en estas prácticas e implantó un Script de Venta (argumentario) de uso para los agentes, a los que exigió en diversas comunicaciones su aplicación, así como un sistema de doble verificación de un proveedor independiente. De igual modo, encargó una auditoría interna a la empresa Markemos, cuyo informe, concluido en noviembre de 2019, confirma que varios agentes de Nivalco estaban cometiendo las presuntas negligencias, ejecutando llamadas telefónicas a clientes de Naturgy para traspasarlos a Enérgya VM, en muchos casos, mediante engaños. En concreto, los comerciales usaban la base de datos extraída de Naturgy para confundir al consumidor.
Al margen de las medidas internas, tanto Enérgya VM como Naturgy iniciaron como perjudicados en otoño de 2019 una demanda penal contra los empleados de Nivalco responsables. Las dos causas, separadas inicialmente, están unificadas en el Juzgado de Instrucción nº 6 de Madrid. A raíz de estas denuncias, la UDEF (Unidad Central de Delincuencia Económica y Fiscal) inició una investigación y en mayo de 2022 informó a la AEPD de los resultados.
A pesar de los avisos de Enérgya y de las demandas, Nivalco continuó en los meses posteriores aplicando, supuestamente, las malas prácticas, en lo que se revelaría como una estrategia empresarial y no acciones puntuales de individuos. Por ello, Enérgya decidió rescindir el contrato con efectos el 30 de junio de 2020.
Como consecuencia de la reclamación de Naturgy, en septiembre de 2022, la CNMC ya impuso una sanción de 150.000 euros a Enérgya por formalizar contratos de luz y gas forzando el consentimiento de los consumidores, siendo responsable de dos infracciones leves, continuadas, una de la Ley 24/2013 del Sector Eléctrico; y otra de la Ley 34/1998 del Sector de Hidrocarburos.
A aquella sanción, que está recurrida, le ha seguido ahora la de la AEPD, por una cuantía más de 33 veces superior. En concreto, la Agencia trasladó el pasado 6 de febrero la resolución del procedimiento sancionador por la que impune una multa de cinco millones de euros por dos infracciones del RGPD calificadas como “muy graves”. Lo hizo tras recibir en enero las alegaciones de la compañía. Tras recibir la decisión de la AEPD, Enérgya presentó un recurso de reposición el pasado 6 de marzo y ahora está a la espera de respuesta definitiva, si bien la hoja de ruta de la comercializadora apunta a acudir a la Audiencia Nacional.
La AEPD considera que Enérgya no tomó las medidas de control adecuadas para evitar las actuaciones de Nivalco y acusa a la compañía de “importantes omisiones” y de una “actitud fundamentalmente reactiva, que pretendía velar por el interés de la organización, primándolo con respecto a la protección de datos de carácter personal y una adecuada protección de los derechos y libertades de los interesados (clientes potenciales de Enérgya captados por Nivalco)”. La Agencia advierte, de igual modo, de “un sistema de control a posteriori con importantes carencias”. Cabe recordar que ningún cliente como persona física denunció los hechos ante el organismo.
Además de la sanción, la AEPD ordena a Enérgya VM realizar, en el plazo de nueve meses desde que la resolución sea firme, un análisis de riesgos relativo a los tratamientos de datos personales que llevan a cabo sus promotores para la captación de nuevos clientes en nombre y por cuenta de la compañía. Asimismo, exige medidas técnicas y organizativas apropiadas para garantizar y demostrar que el tratamiento de sus promotores es conforme con el RGPD y su argumentario de venta.
Atenuantes
La multa de cinco millones se coloca entre las más elevadas emitidas por la AEPD en sus más de 30 años de historia. Se sitúa por detrás de sanciones a empresas como Google (10 millones de euros), Vodafone (8,1 millones), Endesa (6,1 millones) CaixaBank (6 millones) o BBVA (5 millones). A diferencia de la filial de GVM, son, en todos los casos, grandes grupos internacionales.
Es, precisamente, la falta de proporcionalidad uno de los argumentos que Enérgya expone en su recurso. La comercializadora de los Villar Mir sumó 8.703 puntos de suministro a través de Nivalco en el año que estuvo contratada, según los cálculos de Markemos. El beneficio estimado por las actuaciones de Nivalco para la empresa se sitúa, sin contar con perjuicios a su imagen, en apenas 34.000 euros (Nivalco rotaba Nivalco rotaba constantemente los clientes de Enérgya a otras comercializadoras y ésta renunció a facturar la energía a cientos de clientes, asumiendo las pérdidas consecuentes). Sus ingresos anuales rondan los 270 millones de euros y su beneficio en 2023 se aproximó a los siete millones -perdió 22 millones en 2022-, por lo que el impacto es muy relevante. La firma, en todo caso, ha provisionado el importe de la sanción en las cuentas de 2023. Ahora bien, es difícil estimar cuántos clientes se lograron mediante engaños.
Como atenuantes, Enérgya expone que de inmediato adoptó medidas (script y doble verificación) y que en sus 21 años de vida es la primera vez que recibe una sanción por protección de datos. Asimismo, cita precedentes en los que la multa recayó en el canal e incide en que ha transmitido su disponibilidad a las auditorías de canales y ya ha solicitado varias veces a la CNMC la necesidad de supervisar la actividad de los canales de fuerza de venta externa.
La multa se debe a la falta de control de Enérgya sobre el canal de venta que contrató en 2019