Source: https://www.prodat.es/blog/podemos-considerar-los-datos-de-consumo-energetico-como-datos-de-caracter-personal.html?tmpl=component&print=1
Timestamp: 2020-07-09 01:58:04+00:00

Document:
PRODAT Protección de Datos para empresas RGPD, LOPDGDD y LSSI - ¿PODEMOS CONSIDERAR LOS DATOS DE CONSUMO ENERGÉTICO COMO DATOS DE CARÁCTER PERSONAL?
Escrito por Ana Maria Paniagua Alario Visto 1634 veces
Parece ser que SI, esta es la conclusión a la que ha llegado el Tribunal Supremo (en adelante TS), en su Sentencia núm. 1062/2019 de 12 de julio (rec. 4980/2018), desmarcándose así del criterio de la Audiencia Nacional que desestimó el recurso interpuesto por Iberdrola (actualmente i-DE, Redes Eléctricas Inteligentes) contra una resolución de la Secretaria de Estado de Energía a la hora de interpretar el alcance de la definición de datos de carácter personal.
El recurso interpuesto por Iberdrola centra el objeto de la presente controversia en dos aspectos diferenciados, pero íntimamente relacionados entre sí:
1. DETERMINACIÓN DE SI LOS DATOS REFERIDOS A LA CURVA DE CARGA HORARIA (CCH) SON DATOS DE CARÁCTER PERSONAL
Según el art. 3.a) la ya derogada Ley Orgánica 15/1999, de 13 de diciembre (en adelante LOPD) aplicables por razones temporales al supuesto que nos ocupa y el actual art. 4 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante RGPD), deﬁnen este concepto como cualquier información concerniente a personas físicas identiﬁcadas o identiﬁcables.
La información que las empresas distribuidoras están obligadas a suministrar al operador del sistema es la CCH y el Código Universal de Punto de Suministro (en adelante CUPS), código de 20 a 22 caracteres alfanumérico. Este código, único por cada punto de suministro, no identiﬁca directamente al usuario ni al titular del contrato de suministro, sino al aparato de medición. Esta información no puede considerarse referida a una "persona física identiﬁcada", pues el código alfanumérico no revela directamente la identidad del usuario.
Nos corresponde, por tanto, analizar si la información remitida puede entenderse referida a una persona “identificable”:
A tal efecto, es preciso señalar que tanto el artículo 2 de la Directiva 95/46/CE como el art. 5.1. o) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la ya derogada LOPD, deﬁnen como persona identiﬁcable a "toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, ﬁsiológica, psíquica, económica, cultural o social".
Por ello, se trata de determinar si el operador del sistema, aun de forma indirecta, dispone de medios razonables a su alcance, en los términos expuestos, para vincular el CUPS y, por ende, los consumos individuales remitidos, con la identidad de la persona física titular del contrato de suministro o con el usuario de la vivienda.
La vinculación de un punto de suministro concreto con los datos referidos a la identidad titular del contrato ﬁgura en una base de datos denominada "el sistema de información de los puntos de suministro" (SIPS) en la que junto con el CUPS se contiene la información sobre la ubicación del punto de suministro (tipo de vía, nombre de la vía, número, piso y puerta), la población, la provincia, el nombre y apellidos del titular del punto de suministro, dirección completa del titular del punto de suministro y si el titular es persona física si se trata de su "Vivienda habitual" o "No vivienda habitual". Pero esta base de datos está en posesión de las distribuidoras, sin que el operador del sistema tenga acceso a la misma.
En el supuesto que estamos analizando el hecho de "que a partir del Código de punto de suministro es posible identiﬁcar al consumidor al que se reﬁere la información" lo reconoce expresamente la propia Agencia Española de Protección de Datos ("AEPD"), en la página 9 de su Informe 2015/29, de 22 de junio de 2015, relativo al Proyecto de Real Decreto por el que se modiﬁcan distintas disposiciones en el sector eléctrico:
“no cabe duda que el Sistema de información de Puntos de Suministro incorpora datos de carácter personal, dado que a partir del Código de punto de suministro es posible identificar al consumidor al que se refiere la información, pudiéndose así vincular todo el contenido del sistema con dicho consumidor”
Por tanto en la práctica, es muy sencillo para el operador del sistema, una vez conoce los datos del CUPS, averiguar quién es su titular. En efecto, el artículo 4 del RUPM dispone:
"El operador del sistema es el responsable del sistema de medidas del sistema eléctrico nacional, debiendo velar por su buen funcionamiento y correcta gestión. En el uso de sus atribuciones, el operador del sistema podrá veriﬁcar todas las instalaciones del sistema de medidas de conformidad con el presente reglamento y sus instrucciones técnicas complementarias”
En deﬁnitiva, el operador del sistema con la información relativa a la curva de consumo horario y el código del punto de suministro no puede conocer la identidad del usuario, pero posteriormente, en su condición de responsable del sistema de medidas, puede hacer uso de las facultades de inspección y, en el curso de una investigación concreta sobre el correcto funcionamiento de los sistemas de medición, solicitar de las distribuidoras los datos de ubicación concreta de los puntos de suministro inspeccionados y éstas estarán obligadas a proporcionárselos.
Existe, por tanto, una vía legal para que el operador del sistema pueda solicitar y obtener de la compañía distribuidora los datos adicionales que permitan determinar la ubicación concreta del punto de consumo (su dirección) y con esta información, y sin mucha dificultad, poder conocer la identidad del titular de la vivienda o el usuario de la misma.
Por este motivo, debemos concluir que los datos de CCH, asociados a un CUPS constituyen datos de carácter personal, porque se trata de información que concierne a personas identiﬁcables sin necesidad de utilizar recursos desproporcionados.
A fin de interpretar dicha definición, el considerando 26 del RGPD, establece que "Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identiﬁcada o identiﬁcable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identiﬁcable”.
De este modo, el concepto de dato personal, conforme al RGPD, incluiría los denominados "datos seudonimizados" (art. 4.5 RGPD)
En conclusión, no cabría duda de que los datos de CCH, cuando menos, participan de la naturaleza de los datos seudonimizados, por cuanto identiﬁcarían unívoca, individual y singularizadamente a los usuarios del sistema, mediante el uso de información adicional, siendo así que el RGPD señala que sus disposiciones serían de plena aplicación a los citados datos, lo que conduce a la conclusión de que los datos de la CCH son datos personales.
2. SOBRE LA EXIGENCIA DE CONSENTIMIENTO PREVIO DEL USUARIO
La segunda de las cuestiones que se plantean consiste en determinar si la comunicación al operador del sistema de los datos de consumo horario de cada punto de suministro, en los términos ya expuestos, implica una cesión de datos a terceros que exija el consentimiento del usuario.
El artículo 11 de la ya derogada LOPD, aplicable por razones temporales al supuesto que nos ocupa, dispone que:
"1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de ﬁnes directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado".
Pero esta necesidad de obtener el previo consentimiento del interesado, puede ser excepcionada en determinados supuestos del artículo 11.2 de la derogada LOPD (ahora del artículo 6.1 apartados b) a f) del RGPD):
Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ﬁcheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la ﬁnalidad que la justiﬁque".
La respuesta a este motivo exige partir de que el tratamiento de los datos personales del usuario en relación con el suministro de energía eléctrica, se basa en una doble relación contractual del usuario:
1. Con la compañía comercializadora (contrato de suministro)
2. Con el titular de la red (contrato de acceso a la red de distribución y transporte).
Pero, al margen del consentimiento prestado por los usuarios para que sus datos personales sean tratados por las compañías distribuidoras y comercializadoras, el cumplimiento de la normativa vigente obliga a las compañías distribuidoras a remitir determinados datos a terceros, en concreto a la Administración y al operador del sistema eléctrico (OS), con el ﬁn de garantizar y controlar el correcto funcionamiento de la red.
Y es en este contexto contractual y legal en el que se enmarca:
1. por un lado, la obligación de la empresa distribuidora, encargada de la lectura de los aparatos de medición del consumo del usuario, de remitir al operador del sistema la información los datos de consumo de los usuarios que con ellas contratan para su tratamiento conjunto (art. 5 RUPM)
2. y por otro, la posibilidad de que el operador del sistema, en cuando responsable del sistema de medidas que debe velar por su buen funcionamiento y correcta gestión, pueda instaurar un procedimiento de comprobación de los procesos de lectura con el objeto de determinar el correcto funcionamiento del sistema de medidas (art. 4 RUPM).
Así cuando lo solicite la Administración, el operador del sistema puede, previa petición de los datos de ubicación de tales puntos de suministro a las distribuidoras, realizar una inspección "in situ" de dichos puestos, o una muestra de los mismos.
Para finalizar, la remisión por las distribuidoras de los datos relativos a la ubicación concreta de uno o varios puestos de suministro, que es la que permite entender que nos encontramos ante un usuario identificable, solo se produce en relación con investigaciones concretas que persigue un fin de interés general y por tanto no requiere consentimiento previo del afectado.
STS 1062/2019 de 12 de julio
resolución de la secretaría de estado de energía
datos de consumo energético,
equipos tipo 5
curva de carga horaria
transmisión de los datos de lectura de los puntos de suministro
sistema de puntos de suministro de gas y electricidad
reglamento unificado de puntos de medidas del sistema eléctrico
consentimiento previo del afectado
datos seudonimizados
fin de interés general
mediciones de consumo individualizado de energía
Modificado por última vez en Lunes, 02 Diciembre 2019 14:05

References: resolución 
 artículo 2
 Real Decreto 
 Real Decreto 
 artículo 4
 artículo 11
 artículo 11
 artículo 6

resolución