Multa a Holaluz por infracción muy grave: dio viviendas de alta sin autorización del dueño

La Agencia Española de Protección de Datos (AEPD) ha aplicado una sanción con un importe de 70.000 euros a la compañía eléctrica Holaluz por dar de alta el suministro eléctrico de cuatro viviendas sin contar con la autorización del propietario. A ojos del organismo, se trata de una infracción «muy grave», puesto que la empresa ha tratado sus datos sin su consentimiento.

De esta manera, la empresa ha vulnerado la normativa europea y nacional en materia de protección de datos, tal y como se desprende de la resolución judicial con fecha 18 de agosto recogida por El Confidencial. Cabe destacar que, dado que la compañía ha pagado de forma voluntaria la multa, la cuantía se ha recortado un 20% hasta situarse en los 56.000 euros.

Garantizar la protección de datos

Los hechos se remontan a julio de 2021, cuando la empresa eléctrica activó el suministró en cuatro viviendas, mediante la distribuidora Blaner, que hasta el momento funcionaban con la comercializadora de electricidad Energía XXI.

Unos meses más tarde, en enero del año siguiente, la comercializadora advirtió a la distribuidora que el casero de las viviendas se había quejado, puesto que, pese a no haber contratado el suministro con Holaluz, le había enviado un contrato para su validación.

En este contexto, el propietario de la vivienda interpuso una reclamación ante la Agencia Española de Protección de Datos, en la cual alegó una suplantación de la identidad para la firma de los contratos.

Holaluz optó por atribuir la culpa a la distribuidora, por lo que aseguró que «de manera fraudulenta» había hecho constar una dirección de correo electrónico que no era la de los propietarios de la vivienda.

Con todo, la Agencia Española de Protección de Datos rechazó estos argumentos y consideró que la compañía no había aplicado los controles necesarios en el proceso de contratación en el tratamiento de los datos del propietario.

Holaluz comete una infracción muy grave

La resolución judicial también hace hincapié en que no existe ninguna evidencia de que la empresa llevase a cabo de forma correcta la validación de los contratos, ya que están sin firmar. Por tanto, no hay ninguna prueba que demuestre que el proceso lo ha llevado a cabo un encargado, tal y como prevé la compañía.

Por ello, la Agencia Española de Protección de Datos valora que la compañía trató los datos personales del casero de las viviendas en cuestión «sin legitimación para ello», puesto que gestionó la baja del suministro con la anterior comercializadora, un proceso que exige la acreditación de la identidad y afecta a la privacidad del consumidor.

Tal y como remarca la resolución judicial, cuando se cambia de comercializadora, existen trámites que no se pueden formalizar sin tratar datos personales, como el alta y la baja del contrato. En cualquier caso, es la comercializadora la que ha de comprobar la identidad del nuevo cliente, pero también la voluntad de contratar el suministro, lo que implica el tratamiento de datos personales.

«Sus datos fueron incorporados a los sistemas de Holaluz, sin que esta haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales o existiese alguna otra causa que hiciese lícito el tratamiento efectuado», zanja el documento, donde también se concreta que se ha vulnerado el artículo 6.1 del Reglamento General de Protección de Datos (RGPD), que explicita que se requiere el consentimiento del interesado o alguna otra base legitimadora para tratar los datos.

El organismo ha tomado en consideración, como agravante en la sanción, que la empresa trata de forma habitual datos personales, por lo que habría de tener implementadas técnicas que respetaran este derecho. A su vez ha tenido en cuenta en el descargo de la multa que la energética impulsó medidas de forma inmediata para atenuar los daños y perjuicios, puesto que gestionó rápidamente la solicitud de baja de los propietarios de las viviendas.