1/7 Procedimiento Nº: A/00054/2016 RESOLUCIÓN: R/01557/2016 En el procedimiento A/00054/2016, instruido por la Agencia Española de Protección de Datos a la entidad GRABENI REPRESENTACIONES, S.L., vista la denuncia presentada y en virtud de los siguientes: ANTECEDENTES PRIMERO: Con fecha 31/3/15 tiene entrada escrito de D. A.A.A.(en adelante denunciante), manifestando que ha recibo cargos en su cuenta bancaria procedentes de la mercantil Grabeni Representaciones, S.L., por servicios de mantenimiento de instalación solar, sin haber facilitado sus datos personales ni autorizado la contratación. Manifiesta, así mismo, que suscribió contrato con la empresa Itálica Lux, S.L., resuelto posteriormente, y que no les ha autorizado la cesión de sus datos. SEGUNDO: Aporta junto al escrito de denuncia la siguiente documentación: * Domiciliación de pagos cargos emitido por La Caixa, de fecha 23 de enero de 2015, de la entidad ordenante Grabeni Representaciones, S.L., a nombre del denunciante. * Dos facturas emitidas por Grabeni Representaciones, S.L. a nombre del denunciante, de fecha 16 y 27 de enero de 2015. * También se aporta varios escritos, remitidos mediante correo electrónico, entre las direcciones <..........@gmail.com> y <..........@hispanitas.com>, comunicando el denunciante con fecha de 4 de febrero de 2015 a la empresa que no ha autorizado el cargo en su cuenta y que procederá a su comunicación ante la AEPD. Por parte de Grabeni Representaciones, S.L los escritos están remitidos por B.B.B.. . TERCERO Por parte del Subdirector General de Inspección de Datos en base al contenido de la denuncia se procedió a la apertura de actuaciones previas, con referencia E/4817/2015. Concluyéndose la investigación con el informe siguiente de la Inspección de Datos de fecha 3/2/16. <<<<< En el Registro Mercantil Central consta la compañía Grabeni Representaciones, S.L., con NIF.: B******, como administrador único figura B.B.B. y como dirección (C/...1) de la localidad de ***LOCALIDAD.1 de Alicante. Dichas circunstancias constan en la Diligencia de fecha 13 de octubre de 2015. La Inspección de Datos ha requerido a la compañía Grabeni Representaciones, S.L. información y documentación acreditativa del origen de los datos personales del denunciante y del consentimiento otorgado por el mismo para su tratamiento. El primer escrito fue entregado y firmado por el administrador único de la compañía el día 22 de octubre de 2015 y el segundo fue entregado en destino el día 1 de diciembre de 2015. La Inspección de Datos se ha puesto en contacto telefónico ***TEL.1 con la compañía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Grabeni Representaciones, S.L., el día 22 de enero de 2016, manifestando el interlocutor que no se encontraba presente el administrador de la compañía y se le facilitaron los datos de la inspección para que contactara el administrador con la AEPD a la mayor brevedad. La compañía Grabeni Representaciones, S.L. ha comunicado a la Inspección de Datos, con fecha de 28 de enero de 2016, en relación con la contratación de servicios por parte del denunciante lo siguiente: Los servicios de mantenimiento de la instalación fotovoltaica del denunciante la realizaba la mercantil Itálica Lux, S.L., hasta finales del mes de noviembre de 2014, cuando la mayoría de los propietarios decidieron resolver el contrato con dicha mercantil y contratar los servicios con Grabeni Representaciones, S.L. entre los que se encontraba el denunciante. Los datos personales de los nuevos contratos asumidos por Grabeni Representaciones, S.L., tanto para la emisión de facturas como para las comunicaciones, fueron facilitados personalmente en las reuniones celebradas al efecto o telefónicamente. Añaden que no pueden precisar el procedimiento mediante el cual el denunciante facilito sus datos personales: nombre, apellidos, NIF, dirección postal, teléfono, dirección de correo electrónico y domiciliación bancaria. Por lo que no pueden acreditar el consentimiento otorgado por el denunciante para la emisión de las facturas y cargo de los recibos en la cuenta corriente. Conforme a la reclamación formulada por el denunciante se anularon las facturas y procedieron a darle de baja como cliente. >>>>> CUARTO Con fecha 24/2/16 la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/54/2016. QUINTO: Con fecha 23/3/16 se recibe en esta Agencia escrito alegaciones en el que se comunica lo siguiente: * Que existía una relación contractual entre las partes por consentimiento tácito del denunciante. * Que se han adoptado las medidas necesarias para evitar que se repita la situación. Proveyendo lo necesario para que tanto el consentimiento contractual como el consentimiento para el tratamiento conste de forma expresa antes de la prestación del servicio. SEXTO: Con fecha 21/4/16 se apertura periodo de prácticas de pruebas solicitando a la denunciada que justifique documentalmente las medidas adoptadas para que quede constancia del consentimiento. SEPTIMO: Con fecha 25/5/16 se recibe contestación a la prueba solicitada manifestando y aportando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 * Que pese a que sus clientes son mayoritariamente sociedades y en algunos casos empresas individuales dedicadas a la producción fotovoltaica ha procedido a la notificación de la creación de un fichero de clientes ante la AEPD * Que para todo cliente como persona física, ya sea cliente al que se le prestan servicios, ya sea nuevo cliente, se va a facilitar como anexo al contrato de mantenimiento un documento de consentimiento que el cliente debe firmar y del que se adjunta un modelo. HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A.(en adelante denunciante), manifestando que ha recibido cargos en su cuenta bancaria procedentes de la mercantil Grabeni Representaciones, S.L., por servicios de mantenimiento de instalación solar, sin haber facilitado sus datos personales ni autorizado la contratación. 2º Consta la siguiente documentación aportada en el escrito de denuncia: * Domiciliación de pagos cargos emitido por La Caixa, de fecha 23 de enero de 2015, de la entidad ordenante Grabeni Representaciones, S.L., a nombre del denunciante. * Dos facturas emitidas por Grabeni Representaciones, S.L. a nombre del denunciante, de fecha 16 y 27 de enero de 2015. 3º Constan manifestaciones de Grabeni Representaciones, S.L. en el sentido de que los servicios de mantenimiento de la instalación fotovoltaica del denunciante los realizaba la mercantil Itálica Lux, S.L., hasta finales del mes de noviembre de 2014, cuando la mayoría de los propietarios decidieron resolver el contrato con dicha mercantil y contratar los servicios con Grabeni Representaciones, S.L. entre los que se encontraba el denunciante. 4º Se manifiesta así mismo que los datos personales de los nuevos contratos asumidos por Grabeni Representaciones, S.L., tanto para la emisión de facturas como para las comunicaciones, fueron facilitados personalmente en las reuniones celebradas al efecto o telefónicamente. 5º Que con objeto de acreditar el consentimiento de sus clientes han modificado sus procedimientos, facilitando como anexo al contrato de mantenimiento un documento de consentimiento que el cliente debe firmar y del que se ha aportado un modelo. 6º Constan manifestaciones de Grabeni Representaciones que procedió a anular la factura emitida al denunciante, dando de baja sus datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, en las alegaciones de la entidad denunciada en el trámite de actuaciones previas, se manifestó que no podían acreditar el consentimiento otorgado por el denunciante para la emisión de las facturas y cargo de los recibos en su cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 corriente. Por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD por parte de la entidad denunciada que es responsable de dicha infracción. III El artículo 44.3.
- b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumple el supuesto de hecho que tipifica este precepto, es decir, resulta acreditado un tratamiento de datos personales por parte de Grabeni Representaciones S.L. y la exigibilidad del consentimiento viene dada en la norma aplicable. Pues al ser el consentimiento del interesado el título habilitante que legitima el tratamiento de sus datos, y no acreditarse el mismo, dicha entidad ha cometido la infracción tipificada en dicho artículo. Alega el representante de la entidad que, aunque sus clientes son mayoritariamente sociedades y en algunos casos empresas individuales dedicadas a la producción foltovoltaica, ha procedido a la notificación de la creación de un fichero de clientes ante la AEPD. Y, para todo cliente como persona física, ya sea cliente al que se le prestan servicios ya sea nuevo cliente, se va a facilitar como anexo al contrato de mantenimiento un documento de consentimiento que el interesado debe firmar. Así mismo ha informado, en relación a los hechos denunciados que ha procedió a anular la factura emitida al denunciante, dando de baja sus datos personales. IV El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “grave”; que el denunciado no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el asunto que examinamos, se han cancelado los datos del denunciante y se ha puesto a disposición de los clientes de la entidad un documento de consentimiento que deben firmar y que legitima el tratamiento de sus datos paras las finalidades específicas del objeto de la contratación. En consecuencia, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que la denunciada ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las presentes actuaciones, al haberse efectuado las medidas correctoras pertinentes que garanticen la prestación de dicho consentimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00054/2016 seguido contra GRABENI REPRESENTACIONES, S.L con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 6 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a GRABENI REPRESENTACIONES, S.L.. 3. NOTIFICAR el presente Acuerdo a A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es