E-00401-2013

1/9 Expediente Nº: E/00401/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad F.F.F.. en virtud de denuncia presentada por D. B.B.B. y basándose en los siguientes, HECHOS PRIMERO: Con fecha de 22 de noviembre de 2012 tiene entrada en esta Agencia un escrito de D. B.B.B. (en adelante el denunciante) en el que declara que, utilizando su propia clave, ha podido acceder a los datos de otro cliente a través del acceso web proporcionado por la entidad (oficina de Endesa online). Considera que la otra persona puede de forma recíproca hacer lo mismo con sus datos. Indica que se ha puesto en contacto con la entidad en varias ocasiones para solucionar el problema y que no ha tenido éxito. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 9 de mayo de 2013 se realizó una visita de inspección a F.F.F.. (en adelante ENDESA). Los inspectores realizaron las siguientes comprobaciones en el fichero de clientes de la entidad:  Se realiza una búsqueda utilizando como argumento el DNI “ H.H.H.” verificando que se aparecen datos de dos clientes con el mismo identificador (DNI): E.E.E. con dirección Calle C.C.C. con dirección D.D.D.. Se verifica que el sistema muestra el mismo email y teléfono de contacto para ambos clientes.  Se accede a la ficha de cliente correspondiente al denunciante, verificando que el sistema muestra un número de contrato, que, según manifestaciones de los representantes de la entidad, se encuentra activo. Se verifica que figura un contacto con el cliente, de fecha 19/12/2011, consistente en un email entrante, en el que el cliente indica que “APARECE CON SU DNI UN CONTRATO A NOMBRE DE B.B.B. QUE NO TIENE NADA QUE VER CON EL, LO HA COMPROBADO EN ENDESA ONLINE”. En el contacto figura “NOSOTROS COMPROBAMOS LOS DATOS EN NUESTRO SISTEMA Y VEMOS QUE ESTA A NOMBRE DEL CLIENTE, DE TODAS FORMAS LE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 INDICAMOS QUE NOS APORTE DNI COMO DATOS ADJUNTOS PARA VERIFICAR QUE TODO SEA CORRECTO”  Se accede a la ficha de cliente correspondiente a C.C.C., verificando que el sistema no muestra ningún número de contrato manifestando los representantes de la entidad que la razón de ello es que en el momento de realizar la inspección no existe ningún contrato activo. Constan dos contactos con el cliente, uno de fecha 17/12/2011, en el que figura comentario relacionado con una modificación de los datos del titular email y teléfono, constando como nombre y apellidos B.B.B. y el DNI H.H.H..  Se realiza una búsqueda del contrato de número G.G.G., que figura en la impresión de pantalla aportada por el denunciante como contrato de B.B.B., verificando que no se encuentran datos asociados a dicho número de contrato. Durante la inspección realizada los inspectores de la Agencia mostraron a los representantes de la entidad la impresión del acceso a los datos de B.B.B. a través de la oficina online de ENDESA, aportada por el denunciante, ante lo cual, los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las preguntas planteadas por los inspectores:  La pantalla mostrada se corresponde con la pantalla inicial que muestra la oficina online cuando el cliente dispone de varios contratos, para que seleccione uno de ellos y seguir accediendo a los datos disponibles del mismo.  Los datos accesibles son los básicos del cliente así como los datos de facturación y de domiciliación bancaria.  En el caso del contrato número G.G.G. que figura en la pantalla asociado a B.B.B., al seleccionarlo e intentar acceder a los datos del mismo, no se mostraría ninguna información adicional, según se ha podido comprobar en la búsqueda de datos asociados a dicho contrato realizada a través del Sistema de Información de la entidad.  Desconocen el motivo por el cual aparecen asociados los datos de los dos clientes al mismo identificador. Los inspectores de la Agencia solicitan a los representantes de la entidad copia de los contratos suscritos por E.E.E. y C.C.C., incluyendo toda la documentación asociada a la contratación que en su caso se recabara ( copia del DNI, copia de factura anterior, copia de grabaciones de llamadas de comprobación de datos, etc ), copia de la última factura emitida en el marco de ambos contratos , y cualquier otra información y documentación que pueda aclarar el motivo por el cual ambos clientes tienen el mismo identificador. Ante ello, los representantes de la entidad han manifestado lo siguiente: “Primero.-En cuanto a la copia de los contratos suscritos por Don B.B.B., mi mandante no dispone de copia física de los mismos puesto que Endesa Energía XXI pasó a prestar el suministro de energía eléctrica a los mismos ante la desaparición del suministro a tarifa, de conformidad con lo preceptuado en la normativa eléctrica vigente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 En efecto, Endesa Energía XXI es la empresa comercializadora de último recurso del Grupo Endesa, que suministra de manera obligatoria el gas y la energía eléctrica a los consumidores que anteriormente eran suministrados por una empresa distribuidora o que carecen de un contrato en vigor con una comercializadora de mercado libre. Como ya conoce esa Agencia, a partir del 1 de julio de 2009 entró en vigor una importante modificación en el sector de la energía eléctrica consistente en que, a partir de dicha fecha, el suministro ya no podía ser prestado por las empresas distribuidoras sino que debía de ser prestado por una empresa comercializadora (esta modificación ya se había producido un año antes en el sector gasista). Es decir, que las empresas distribuidoras no podían seguir vendiendo la energía eléctrica a los clientes sino que esta actividad queda reservada a las empresas comercializadoras, todo ello en aras a fomentar la competencia en el mercado energético y reducir el riesgo de posiciones dominantes. No obstante, a efectos de evitar que aquellos consumidores que venían siendo suministrados por la empresa distribuidora y no hubiesen optado por contratar el suministro con una empresa comercializadora de mercado libre se quedaran sin suministro eléctrico, se creó la figura del comercializador de último recurso que, por imperativo legal, debe prestar el suministro a dichos consumidores a un precio establecido por el Gobierno (tarifa de último recurso o TUR). Lo anterior, no es más que el resultado de la transposición de la Directiva 2003/54/CE, del Parlamento Europeo y del Consejo, de 26 de junio de 2003, sobre normas comunes para el mercado interior de la electricidad, a nuestro ordenamiento jurídico. A efectos de incorporar los cambios introducidos por dicha Directiva, se dictó la Ley 17/2007, de 4 de julio, que modifica la Ley 54/1997, de 27 de noviembre, del Sector Eléctrico, para adaptarla a lo dispuesto en la Directiva 2003/54/CE, del Parlamento Europeo y del Consejo, de 26 de junio de 2003, sobre normas comunes para el mercado interior de la electricidad. Con dicha Ley se crea el concepto de suministrador de último recurso que se desarrolla posteriormente en el Real Decreto 485/2009, de 3 de abril, por el que se regula la puesta en marcha del suministro de último recurso en el sector de la energía eléctrica (Real Decreto 485/2009). En el artículo segundo de dicho Real Decreto 485/2009, se procedía a la designación de los comercializadores de último recurso entre los que se incluye a mi mandante: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 "Artículo

1. Designación de los comercializadores de último recurso.
2. Asumirán la obligación de suministro de último recurso de energia eléctrica, en todo el territorio nacional, las siguientes empresas comercializadoras de energía: a. ENDESA ENERGÍA XXI, S. L. " Por su parte, el artículo cuarto del Real Decreto 485/2009 preceptúa lo siguiente: "Artículo
3. Inicio del suministro de último recurso.
4. A partir del día I de julio de 2009, los consumidores suministrados por un distribuidor que no hayan optado por elegir empresa comercializadora pasarán a ser suministrados por un comercializador de último recurso. Dicho comercializador sucederá a la empresa distribuidora con los derechos y obligaciones establecidos en el articulo 45 de la Ley 54/1997, de 27 de noviembre, del Sector Eléctrico. " La Agencia ya ha analizado esta cuestión y ha considerado que la legitimación del tratamiento de los datos de carácter personal por parte de la comercializadora de último recurso se fundamenta en el art. 6, apartado segundo, de la LOPD. Por todas, podemos citar la resolución de archivo dictada en el expediente E/00805/2009 en cuyo Fundamento de Derecho Tercero, la Agencia considera lo siguiente: "El consentimiento de la persona denunciante para el tratamiento de los datos personales en el caso que nos ocupa no es necesario pues, el apartado 2 del artículo 6 trascrito así lo establece, cuando ese tratamiento es necesario para la ejecución y desarrollo del contrato suscrito entre las partes. El contrato de gas que regulaba la relación entre la denunciante y la distribuidora de gas hasta 30/06/08, pasa a regular la relación entre la denunciante y la denunciada a partir de 01/07/
5. Dentro de esa relación pude dirigirse a la cliente que ahora denuncia para comunicarle lo que sea preciso, tal como emitir facturas a ella dirigidas y carear los importes en ¡a cuenta bancaria designada para ese fin. Esa situación contractual se produce por imperativo legal. La ley reguladora del sector energético -Ley 34/1998 de 7 de octubre, modificada por Ley 12/2007 de 2 de julio-, al incorporar las directivas de la Unión Europea, establece la separación de actividades de las empresa del sector. Cada actividad debe ser desempeñada de forma exclusiva por una sociedad y cada actividad por una sociedad distinta. La ejecución de los cambios que esas normas establecen, está sujeta a un calendario fijado de forma precisa y con antelación suficiente para que las sociedades puedan constituirse y los clientes afectados conocerlo y adoptar la decisión que más le conviene. Como consecuencia de ese cambio legislativo y el Real Decreto 1068/2007 de 27 de julio, las empresas comercializadoras del último recurso designadas en él, como la denunciada, se subrogan -se ponen en lugar de- tanto de derechos como de obligaciones de las anteriores distribuidoras, si llegada la fecha fijada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 -01/07/08- no se ha optado por contratar con una de las empresas comercializadoras de gas que pueden operar en el mercado libre del gas. ". Por lo tanto, a partir del 1 de julio de 2009, aquellas personas que estaban siendo suministradas por una empresa distribuidora y no habían optado por contratar la energía eléctrica con una empresa comercializadora de mercado libre, pasaban a ser suministradas, por imperativo legal, por la comercializadora de último recurso. En el presente caso, desde el 1 de julio de 2009, Endesa Energía XXI pasó a prestar el suministro de energía eléctrica tanto al punto de suministro de titularidad del Sr. B.B.B. como al de titularidad de la Sra. B.B.B.. En el caso de la Sra. B.B.B., se trata de un contrato relativo a un local de negocios, conforme se observa en la dirección del punto de suministro sito en la Calle A.A.A.) que figura en el Documento n° 3, pág. 1/5, que se adjuntaba al Acta de Inspección obrante en el presente expediente. Se acompaña al presente escrito como documento n° 1 la última factura emitida, en la que se puede observar que el CNAE corresponde a un negocio. En concreto, se trata CNAE 4719, que se corresponde con "Otro comercio al por menor en establecimientos no especializados", conforme el documento que se acompaña como n° 2 y la impresión de pantalla que se acompaña como documento n° 3, pudiendo tratarse de la "Mercería Susi" según los archivos de "Google maps" (documento n° 4). Según se desprende de dicha factura, parece tratarse de un local sin actividad puesto que no tiene consumo ("Constan total 0 Kw") lo que explicaría que, al no disponer de lectura real, al consultar el sistema no mostrase información relativa al contrato. Así mismo, se acompaña como documento n° 5 impresión de pantalla en el que se observa que la Sra. B.B.B. no es usuaria de Endesa Online puesto que no tiene activada la facturación electrónica (no tiene marcado el "check" de "FacturaE"). Conforme se ha acreditado, al tratarse de datos referidos a una empresaria individual en el ejercicio de su actividad comercial, no se encontrarían sometidos a la protección conferida por la Lev Orgánica 15/1999 v su normativa de desarrollo como así lo ha venido entendiendo la Agencia en varias resoluciones. Por todas, podemos citar su Resolución de 27 de febrero de
6. Segunda.- En el Acta de Inspección se nos requería que aportásemos copia de la última factura emitida en el marco de ambos contratos, por lo que se acompaña como documento n° 6 la última factura emitida al Sr. B.B.B.. La factura correspondiente al suministro de titularidad de la Sra. B.B.B. se ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 aportado como documento n° 1 en contestación al punto anterior. Tercera.- Si bien se han hecho las oportunas actuaciones tendentes a aclarar el motivo por el cual ambos clientes tienen el mismo identificador, a día de hoy, y a pesar de los esfuerzos realizados por mi mandante, no ha sido posible clarificar esta cuestión. No obstante, en el caso de que se obtenga información adicional, procederemos a su inmediata remisión a dicha Agencia. Por parte de esta Inspección de Datos se ha solicitado información a la Comisaría General de Extranjería y Documentación de la Dirección General de la Policía sobre la titularidad del número de DNI en cuestión, informando dicho servicio que el DNI corresponde al denunciante, no existiendo duplicidades, y no constando incidencias asociadas a dicho número. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD, bajo la rúbrica “Deber de secreto” establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo la obligación “de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Esta obligación es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 precisamente el secreto. Este principio de protección de datos es esencial en las sociedades actuales, cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales como la intimidad o el derecho a la protección de los datos que proclama el artículo 18.4 de la Constitución Española. La LOPD tipifica como infracción grave en el artículo 44.3.d) la infracción del deber de secreto. III En el caso que nos ocupa el denunciante manifiesta que, utilizando su clave, ha tenido acceso a datos de un tercero a través del acceso web proporcionado por Endesa Online, en concreto, al nombre, apellidos, dirección y número de contrato de Dª B.B.B.. En relación con hechos similares se ha pronunciado la Audiencia Nacional en reiteradas ocasiones, entre otras, en sus Sentencias de 7 y 28 de mayo de 2009 y 11 de junio de 2009, señalando lo siguiente: “La infracción tipificada en el art. 44.3.g) es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el numero de la cuenta corriente- se hayan puesto de manifiesto a tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad –que es una infracción de actividadpero no ante la infracción que se imputa que exige la puesta en conocimiento de un tercero de los datos personales”. Asimismo, en un supuesto análogo al que nos ocupa, relativo a la supuesta vulneración del deber de secreto, la Audiencia Nacional, mediante Sentencia de 14/12/2006, Rca. 1363/2005, afirma que: “La presente resolución…razona, en esencia, que la expedientada, al remitir al domicilio de un cliente suyo un recibo de otro cliente en el que consta los nombres y apellidos y NIF, en cuanto titular del suministro, así como la dirección del suministro en la calle…ha vulnerado su deber de secreto impuesto por el art.10 de la LOPD (…). “…no se puede entender como una infracción del deber de secreto, sino simplemente de la remisión equivocada a una dirección de un contrato de suministro de energía eléctrica en el que existe un único datos personal del Sr.***NOMBRE.2, su NIF, pero ello no tiene relevancia en el ámbito administrativo sancionador. Incluso ese error en el envío de los datos no puede incluirse en el término “revelación” del art. 3.i) de la LO 15/1999, más cuando son datos que pueden conocerse por cualquiera en fuentes de acceso al público (listado telefónico), y ello por el carácter restrictivo del derecho administrativo sancionador.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 “En primer lugar, se ha de recordar que, entre los hechos que se hacían constar en el acuerdo de iniciación del procedimiento aparecían los siguientes como num. 4 . "Electra de Riesgo Distribución SL remitió al domicilio de la DIRECCION000 NUM000 , NUM002 , NUM001 de Santander y a nombre de D. ***NOMBRE.1 el contrato de suministro de energía eléctrica expedido a nombre de D. ***NOMBRE.2 en el que constan, entre otros, los datos personales de nombre, apellido y nif de D. ***NOMBRE.2 como titular del suministro y dirección del suministro. Dicho contrato fue aportado por D. ***NOMBRE.1". “Pues bien, la aplicación de la citada Doctrina (de la necesaria culpabilidad para el ejercicio de la potestad sancionadora) al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992,en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo”. En el presente caso, a través del acceso web de Endesa Online el denunciante pudo ver los datos de un tercero, en concreto el nombre, apellidos, dirección y número de contrato, pero no tuvo acceso a su número de cuenta ni a sus datos de facturación. Por lo tanto, tal y como se expuso anteriormente, no nos encontramos ante un incumplimiento del deber de secreto, sino como expone la Audiencia Nacional, a un error que no tiene relevancia sancionadora. Dicho lo anterior, cabe mencionar que de las actuaciones de inspección practicadas por la Agencia se pudo comprobar que el otro cliente no está dado de alta en la oficina online de Endesa, por lo que, por un lado, si el denunciante hubiera querido acceder a los datos de este cliente no hubiera podido, y, por otro, dicho cliente no puede acceder a los datos del denunciante al no estar dado de alta en este servicio. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
7. PROCEDER AL ARCHIVO de las presentes actuaciones.
8. NOTIFICAR la presente Resolución a F.F.F.. y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es