AEPD confirma sanción de 5.000 euros a EDP por enviar publicidad sin consentimiento y acceder ilegalmente a datos personales

Resolución REPOSICION-PS-00327-2018
Firmado 2019-06-04T00:00:00Z
Enlace 📋

El recurso de reposición interpuesto por EDP España, S.A.U. contra una resolución sancionadora fue desestimado. La sanción original, de 5.000 euros, se impuso debido a la vulneración del artículo 6.1 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), considerada una infracción grave según el artículo 44.3.b) de la misma ley.

El caso se originó cuando un afectado denunció a EDP por recibir una carta comercial en su domicilio sin haber otorgado su consentimiento. Además, el denunciante había inscrito tanto su línea telefónica como su dirección postal en la lista Robinson, lo que implica su negativa a recibir comunicaciones comerciales.

EDP argumentó que los datos del denunciante se obtuvieron de la base de datos de puntos de suministro de gas (SIPS), y que la campaña publicitaria cumplía con ciertos criterios, como la exclusión de registros en la lista Robinson. Sin embargo, no pudo acreditar el consentimiento inequívoco del denunciante para el tratamiento de sus datos.

La resolución sancionadora se basó en que EDP accedió a información que identificaba directamente al titular del punto de suministro, lo cual estaba prohibido por el Real Decreto 1074/2015. Este decreto modificó el artículo 7 del Real Decreto 1435/2002, estableciendo que las empresas comercializadoras no podían acceder a datos que identificaran al titular del punto de suministro.

EDP intentó justificar el tratamiento de los datos alegando que el SIPS era una fuente accesible al público, pero esta argumentación fue rechazada. La normativa vigente y la jurisprudencia establecen que solo ciertas fuentes específicas son consideradas accesibles al público, y el SIPS no se encuentra entre ellas.

En consecuencia, la sanción se mantuvo, ya que EDP llevó a cabo acciones comerciales utilizando datos personales sin el consentimiento del afectado, vulnerando así la normativa de protección de datos. La entidad fue notificada de la resolución y se le advirtió que debía hacer efectiva la sanción una vez fuera ejecutiva.