E-00763-2018

1/7 Expediente Nº: E/00763/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ANOTHER ENERGY OPTIONS, S.L.U., en virtud de denuncia presentada por Dª. D.D.D. y teniendo como base los siguientes, HECHOS PRIMERO: En fecha de 8 de enero de 2018 tiene entrada en el registro general de la Agencia Española de Protección de Datos un escrito de Dª. D.D.D. (la denunciante en lo sucesivo) en el que denuncia a D. C.C.C. (el Sr. C.C.C. en lo sucesivo), a ENERGIA SIETE, S.L. y a ANOTHER ENERGY OPTION SLU (ANOTHER ENERGY en lo sucesivo) por cesión inconsentida de datos en relación con los siguientes hechos: En el año 2016 contrató el servicio de energía con GAS NATURAL FENOSA a través de la empresa intermediaria ENERGIA SIETE, cuya copia del contrato aporta en el que figuran sus datos personales, la firma (firma 1 en adelante) y la fecha de 22/07/2016. En fecha de 15/12/2017 recibe una carta nominativa remitida por ANOTHER ENERGY con el siguiente contenido: Mensaje de “bienvenida como cliente” y con plazo de 14 días desde la firma de la oferta para desistimiento del contrato del que adjunta copia, indicando los medios a tal fin, incluyendo un formulario establecido al efecto. Asimismo en las condiciones particulares del contrato figuran todos los datos personales, nombre, apellidos, domicilio, numero de identidad, teléfono móvil, dirección del punto de suministro, CUPS y clasificación CNAE y número de cuenta corriente para el cargo de las facturas. La fecha del contrato es de 13/12/2017 y no está firmado. Es el Ejemplar para el Cliente. Entre las condiciones particulares señala en especial la siguiente: (…)la firma del presente contrato supone la autorización del cliente a AEO Energía para suscribir con la Empresa Distribuidora, como mandatario o sustituto del Cliente, los contratos de acceso a las instalaciones que sean precisos para el buen fin del Contrato, de manera que la posición de AEO ENERGIA en el contrato de acceso sea, a todos los efectos, la del Cliente(…) la firma supone la autorización del cliente a AEO ENERGIA para que actúe ante la Empresa distribuidora,…,y para la modificación y cancelación del contrato de suministro que con anterioridad a la fecha del presente contrato pudiera tener establecido con otras comercializadoras(…) El responsable de los hechos es el Sr. C.C.C., socio de la comercializadora ENERGIA SIETE, a través de la que concertó el contrato con GAS NATURAL FENOSA, ya que tenía acceso a todos los datos derivados de dicha contratación. El Sr. C.C.C. trasladó los datos a AEO ENERGIA para realizar esta nueva contratación. Todo ello con las consecuencias desfavorables pues puede resolver el contrato con GAS NATURAL y autorizar en la cuenta cobros indebidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Y, entre otra, anexa la siguiente documentación:  Contrato con Gas Natural Fenosa, Carta recibida, con el formulario adjunto, las condiciones particulares el contrato con AEO, Orden de domiciliación de pago. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Solicitada información a ANOTHER ENERGY, mediante escrito de fecha de entrada 23/03/2018 manifiesta lo siguiente y aporta documentación: 1.1 Oferta Comercial de AEO nº ***Nº.1 con los datos personales de la denunciante, CUPS, c.c.c., y teléfono móvil. Figura una firma (firma 2 en adelante). 1.2 Condiciones Particulares del Contrato, similares a las aportadas por la denunciante, el ejemplar para el Cliente. 1.3 Copia del NIE de la denunciante, ilegible. 1.4 Autorización de representación a nombre del Sr. C.C.C. con copia del DNI de éste, con el siguiente texto: (…) yo, D.D.D. con DNI … autorizo a C.C.C. con DNI … a realizar la verificación y firma del contrato de energía con AEQ ENERGIA ANOTHER ENERGY OPTIONS del punto de suministro ubicado en: (C/...1)., con CUPS B.B.B. ***LOC.1 a 21/11/2017 (…) El documento aparece con dos firmas la del Autorizado que es similar a la que consta en el DNI y la que consta en la oferta comercial referida anteriormente (firma 2), y la del autorizante. Ésta última no coincide con la del contrato de Gas Natural (firma 1). 2. En cuanto a reclamaciones interpuestas por la denunciante, AEO manifiesta que no figura ninguna salvo la solicitud de baja que se aporta mediante archivo de audio. En el audio figura una voz masculina –a pesar de que la denunciante es una mujer- y cuando la operadora le pregunta por su identidad para verificar la contratación, esta se corta. Es decir, no puede verificarse que ese audio es de la denunciante, tanto por el género, como por que no identifica el cliente ni el punto de suministro, ni la fecha en que se produce. 3. AEO aporta impresión de pantalla donde figuran los datos de la denunciante y con fechas de alta y baja del servicio de 19/12/2017 y 02/01/2018 respectivamente. 4. En relación a las facturas emitidas, AEO aporta la siguiente relación de facturas: Factura nº ***FACT.1 de 8/01/2018; Factura nº ***FACT.2 de 25/01/2018; Factura nº ***FACT.3 de 25/01/2018, en la actualidad existe un saldo a favor de la denunciante de 6,95 €, por error en la facturación. 5. Las comunicaciones con la denunciante han sido las siguientes: 27/01/2017- llamada donde se muestra interesada en saber cuándo estará dado de alta el contrato. 28/12/2017- llamada donde solicita dar la baja del servicio. 25/01/2018- la entidad se pone en contacto con la cliente para comunicar el error en la factura y que se producirá el correspondiente abono. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 6. AEO manifiesta que la contratación fue telefónica aportando grabación en soporte pen Drive como documento nº 7. Reproducido el audio se escucha que es AEO quien realiza la llamada y pregunta por el SR. C.C.C. informando de que la razón de la misma es para verificar varios contratos dónde aparece como autorizado. Tras indicarle varias direcciones e identidades, en el minuto 4:28 cita el nombre y dirección de la denunciante, y asiente el Sr. C.C.C.. 7. AEO aporta información sobre el procedimiento de verificaciones seguido a nivel interno por el personal, y manifiesta que la grabación se realizó en fecha de 28/11/2017. 8. AEO respecto del procedimiento seguido para acreditar la identidad del contratante, manifiesta que tras recibir la oferta comercial firmada, junto con la fotocopia del DNI y última factura de la luz, se verifica telefónicamente la corrección de los datos. la llamada es grabada y se recaba el consentimiento explícito. Tras verificación telefónica se remite copia del contrato a su domicilio. AEO aporta copia de la oferta comercial con una firma, y no aporta última factura emitida por el anterior prestador del servicio. 9. AEO manifiesta que tiene un contrato de colaboración y distribución con VITA CAPITAL TRADING S.L., y que a su vez, ésta cuenta con colaboradores. Aporta datos del colaborador que se encargó de comercializar el contrato en el caso de la denunciante. Aporta copia del contrato entre AEO (La empresa) y VITA CAPITAL TRADING (colaborador) de 15 de noviembre de 2016, donde se establece la posibilidad de que el colaborador subcontrate a su vez los servicios, y determinados deberes de confidencialidad, prohibición de copiar los datos a los que accedan y utilizarlos indebidamente. Aporta copia del contrato entre VITA CAPITAL TRADING y el colaborador, de fecha 21/11/2017. 10. En fecha de 27/03/2018, por los servicios de Inspección de la Agencia, se realizó una llamada al nº G.G.G. a fin de contactar con la denunciante. Este número es el que aparece en la Oferta Comercial como número del potencial cliente de AEO, a la que se hace referencia en el punto 1.1, y que es necesaria para que se inicie el proceso de contratación según el procedimiento descrito por AEO. A la llamada responde una persona que identifica como titular de la línea al SR. C.C.C. e informa que D.D.D. es un cliente. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Precepto que debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones trascritas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular del que se dispensa al responsable del fichero - entre otros supuestos previstos en la LOPD- cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Esto, porque el consentimiento al tratamiento de los datos está implícito en el consentimiento otorgado a la contratación pero únicamente en la medida en que el referido tratamiento sea preciso para la ejecución del contrato y siempre que quien facilita los datos personales con ocasión de la contratación sea efectivamente su titular. La LOPD califica como infracción grave, tipificada en el artículo 44.3.b), la vulneración del principio del consentimiento (artículo 6) y sujeta a su régimen sancionador tanto a los responsables de los ficheros como a los encargados de tratamiento (artículo 43 LOPD). Ahora bien, la exigencia de responsabilidad sancionadora presupone la concurrencia de una conducta antijurídica descrita en el tipo sancionador y del elemento subjetivo de la infracción, pues rige en nuestro Derecho el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que afirma que las sanciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A su vez, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público proclama en el artículo 28.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Por tanto, a la luz de este precepto la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa. Así, en la Sentencia de 17 de octubre de 2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
3. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la Agencia ) III La denuncia que nos ocupa versa sobre el tratamiento inconsentido de los datos personales de la denunciante que ANOTHER ENERGY ha realizado. Tratamiento materializado en el alta a su nombre de un contrato de suministro de energía eléctrica. A tenor de la documentación recabada durante las actuaciones de investigación previa debe acordarse el archivo de la presente denuncia por no concurrir en la actuación de ANOTHER ENERGY el elemento subjetivo de la infracción necesario para que nazca la responsabilidad sancionadora. ANOTHER ENERGY ha aportado la oferta Comercial con los datos personales de la denunciante, CUPS, c.c.c., y teléfono móvil. Figura una firma (firma 2 en adelante). Las condiciones Particulares del Contrato, y Copia del NIE de la denunciante, ilegible. También aporta la autorización de la representación. AEO manifiesta que la contratación fue telefónica aportando grabación en soporte pen Drive. Reproducido el audio se escucha que es AEO quien realiza la llamada y pregunta por el representante, informando de que la razón de la misma es para verificar varios contratos donde aparece como autorizado. Tras indicarle varias direcciones e identidades, en el minuto 4:28 cita el nombre y dirección de la denunciante, y asiente el representante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 AEO aporta información sobre el procedimiento de verificaciones seguido a nivel interno por el personal, y manifiesta que la grabación se realizó en fecha de 28/11/2017. AEO respecto del procedimiento seguido para acreditar la identidad del contratante, manifiesta que tras recibir la oferta comercial firmada, junto con la fotocopia del DNI y última factura de la luz, se verifica telefónicamente la corrección de los datos. La llamada es grabada y se recaba el consentimiento explícito. Tras verificación telefónica se remite copia del contrato a su domicilio. La grabación remitida por ANOTHER ENERGY demuestra que siguió un protocolo correcto dirigido a acreditar la identidad de la persona que otorgó el consentimiento a la contratación. Esta circunstancia dota a dicha contratación de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad cuya concurrencia es necesaria para exigir responsabilidad sancionadora. No cabe por ello apreciar culpabilidad alguna en la actuación de la denunciada, que trató los datos personales de la denunciante con la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. En este sentido puede traerse a colación la SAN de 26 de abril de 2002 (Rec 895/20009 en la que la Audiencia expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la Agencia) Este criterio ha sido confirmado por la Audiencia Nacional en Sentencia de 27 de enero de 2011 (Rec. 782/2009), que en un supuesto análogo al que nos ocupa estimó el recurso contencioso administrativo interpuesto por ENDESA anulando la resolución sancionadora dictada por la Agencia por infracción del principio del consentimiento. A tenor de las reflexiones precedentes, y toda vez que en el presente caso está acreditado que ANOTHER ENERGY actuó con la diligencia que era procedente -la diligencia que las circunstancias del caso y el desarrollo de su actividad profesional aconsejan- que excluye la presencia del elemento subjetivo de la infracción, se concluye que la actuación examinada no es subsumible en el tipo sancionador del artículo 44.3.
4. b)de la LOPD y que ninguna responsabilidad sancionadora es exigible, debiendo proceder al archivo de las presentes actuaciones. III El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ANOTHER ENERGY OPTIONS, S.L.U. y Dª. D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es