Se basa la reclamación en que un tercero ha contactado con la entidad reclamada con la que tiene contratado el suministro de electricidad, solicitando un aumento en la potencia contratada, en base a una supuesta autorización que el titular no otorgó.

En sus alegaciones aduce la comercializadora reclamada que recibió la llamada de una mujer que aseguró vivir en la dirección del suministro, pero que el contrato estaba a nombre de su hermano, por lo que la entidad reclamada tras requerirle el DNI, nombre y apellidos del titular, respondió a las preguntas planteada por esa mujer, relativas a la potencia contratada. La entidad reclamada le informa que a través de la página web el titular cambió la potencia contratada de 1,8 KW a 1,4 KW, pero que puede hacer nuevamente el cambio de potencia el cual se realiza a requerimiento suyo.

Entiende la entidad reclamada que el departamento de atención al cliente se ajustó al Protocolo, al solicitar el DNI del titular, nombre y apellidos, número de teléfono y dirección de suministro, por lo que no consideró necesario solicitar información adicional prevista en el Protocolo, como la dirección de correo electrónico ni los números de la cuenta o del contrato.

Además, considera que las modificaciones de la potencia contratada de suministro eléctrico en la dirección de suministro se constituyen como “elemento de presión” utilizado por el reclamante para tratar de resolver un conflicto de índole familiar relacionado con la falta de pago del alquiler de la vivienda, por la vía de hecho, y así queda constatado, por la entidad reclamada al aportar laudo arbitral por tales hechos.

Señala AEPD que el protocolo de la entidad reclamada no alcanza los niveles de seguridad exigidos para garantizar que el tratamiento de los datos personales sea acorde a la normativa de protección de datos, ya que los datos requeridos por la entidad reclamada en su protocolo de seguridad son datos (DNI, nombre y apellidos, teléfono y dirección) que podrían estar al alcance de terceros.

Conocer el DNI del titular, el nombre y apellidos, el número de teléfono y dirección de suministro, para la hermana del reclamante a la que este le ha arrendado la vivienda objeto del suministro, no puede conllevar a la presunción de representación, ya que su relación familiar y contractual le permite conocer tales datos, sin necesidad de que implique un consentimiento del titular del contrato de suministro para llevar a cabo su modificación.

Por tanto, la entidad reclamada ha vulnerado el art. 32 RGPD, por no disponer de un protocolo de seguridad adecuado que permita constatar que se está actuando en representación del reclamante.

Además, al no tener un protocolo de seguridad adecuado, ha modificado la potencia contratada sin contar con el consentimiento de su titular, lo cual supone una infracción del art. 6 del RGPD.

Resolución AEPD de 11 de abril 2022. Expediente Nº: PS/00476/2021