E-00779-2017

1/7 Expediente Nº: E/00779/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad COMBRAY SOLUTIONS, S.L. en virtud de denuncia presentada por AYUNTAMIENTO ZARAGOZA, POLICIA LOCAL, SECTOR 5, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18/11/2016, tuvo entrada en esta Agencia un escrito de la Policía Local del Ayuntamiento de Zaragoza mediante el que solicita que se lleven a cabo las comprobaciones oportunas para determinar si la actuación desarrollada por la entidad COMBRAY SOLUTIONS, S.L. (en lo sucesivo COMBRAY) en nombre de Endesa Energía, S.A.U. (en lo sucesivo ENDESA), para la captación de nuevos clientes, se ajusta a la normativa de protección de datos de carácter personal. En dicho escrito, la Policía Local pone de manifiesto que, el día 08/11/2016, dos agentes identificaron en la vía pública a dos comerciales de COMBRAY, los cuales portaban tabletas electrónicas que contenían datos personales de antiguos clientes de ENDESA que habían decidido portar sus contratos de suministro a otras empresas, según manifestaron dichos comerciales, así como facturas en formato papel correspondientes al suministro de gas y electricidad de diferentes personas. Como ejemplo, detallan los datos de tres de las facturas portadas por los comerciales, con indicación del número de factura, nombre (A.A.A., B.B.B. y C.C.C.) y domicilio del titular, aunque no acompañan copia de esta documentación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. COMBRAY firmó con ENDESA un contrato de prestación de servicios con vigencia durante el período 01/04/2016 a 31/03/2017, en virtud del cual aquella entidad se obligaba a la identificación de potenciales clientes y a la formalización de los contratos de alta con los mismos. En el punto 9 del contrato, relativo al “Tratamiento de los datos de carácter personal de los clientes de Endesa Energía” la cláusula 9.1.1) establece que COMBRAY deberá de verificar que el cliente es el titular del punto de suministro y a tal efecto “…podrá solicitar la exhibición de la última factura de suministro y comprobar que el potencial cliente coincide con el titular indicado en dicha factura. Si el potencial cliente dispone de copia de dicha factura o no tiene inconveniente en facilitar el original, se recabará la misma y se acompañará a la solicitud de contratación.” 2. En su escrito de respuesta al requerimiento que le fue realizado por los Servicios de Inspección, COMBRAY manifestó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 1.1. Las tabletas electrónicas de que disponen los comerciales llevan incorporado un software de Endesa con datos precargados que, según tiene entendido, provienen de un registro público de puntos de suministro de gas y electricidad. 1.2. Por otro lado, los comerciales pueden realizar contrataciones a personas cuyos datos no figuren en el citado software. 1.3. Desconocen cuál de los dos casos es el de las personas citadas en el informe policial. 1.4. Cuando un potencial cliente contrata un producto de ENDESA se rellenan en la tableta electrónica los datos necesarios, se carga una fotografía del DNI del titular o cónyuge, se firma en la propia tableta el contrato y se hace entrega al cliente de un documento de bienvenida. 3. Tratamiento de los datos de D. A.A.A. COMBRAY aportó copia de una orden de domiciliación firmada el 04/10/2016 a favor de ENDESA por D. A.A.A. en calidad de cónyuge del titular del suministro, copia de su DNI y copia de una factura de ENDESA emitida el 09/09/2016 a nombre de Dña. D.D.D., con domicilio coincidente con el que consta en el DNI de aquél. Se intentó contrastar la información facilitada por la Policía Local del Ayuntamiento de Zaragoza sobre este afectado ante la entidad Iberdrola Clientes, S.A., a la que correspondía la factura detallada por dicha Policía. Esta entidad informó que los datos del afectado no figuran en sus registros de clientes ni en los de ninguna otra comercializadora del grupo. 4. Tratamiento de los datos de D. B.B.B. COMBRAY aportó copia de una orden de domiciliación firmada a favor de ENDESA el 13/10/2016 por Dña. E.E.E., en calidad de cónyuge del titular del suministro, copia de su DNI y copia de una factura de Gas Natural Fenosa SDG, S.A. emitida el 22/02/2016 a nombre de D. B.B.B., con domicilio coincidente con el que consta en el DNI de Dña. E.E.E.. Esta factura es una de las detalladas en el escrito de la Policía Local. Gas Natural Fenosa SDG, S.A. aportó copia de la citada factura, que coincide con la aportada por COMBRAY. 5. Tratamiento de los datos de Dña. C.C.C. COMBRAY aportó copia de una orden de domiciliación firmada el 25/08/2016 a favor de ENDESA por D. F.F.F. en calidad de cónyuge del titular del suministro, copia de su DNI y copia de una factura de Gas Natural Fenosa SDG, S.A. emitida el 12/05/2016 a nombre de Dña. C.C.C. con domicilio coincidente con el que consta en el DNI de D. F.F.F.. Gas Natural Fenosa SDG, S.A. aportó copia de una factura emitida en por el período inmediatamente anterior al de la aportada por COMBRAY. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III En la información aportada por la Policía Local del Ayuntamiento de Zaragoza, para que por esta Agencia se valore la adecuación de los hechos a la normativa de protección de datos de carácter personal, que ha dado lugar a las presentes actuaciones, se pone de manifiesto que dos empleados de la entidad COMBRAY disponían de datos personales de titulares de contratos de electricidad y gas, así como documentos correspondientes a dichos suministros (facturas), de los que se detallaron tres ejemplos. Las actuaciones de inspección han comprobado la actuación desarrollada por COMBRAY y verificado los tres casos aportados como ejemplo por la Policía Local del Ayuntamiento de Zaragoza, constatando que en todos ellos consta documentación según la cual los afectados respectivos optaron por contratar el suministro de gas o electricidad con ENDESA y a tal efecto, aportaron a los comerciales su DNI, una factura correspondiente al suministrador anterior y firmaron la orden de domiciliación bancaria. En relación con estos hechos, resulta de aplicación lo dispuesto en el artículo 6 de la LOPD, que regula el principio del consentimiento del interesado para el tratamiento de sus datos, y dispone, en sus apartados 1 y 2, lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. En el caso presente, el tratamiento de los datos realizado deriva de una relación contractual aceptada por los afectados, por lo que no puede considerarse vulnerado el principio de consentimiento. IV El artículo 11 de la LOPD establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
2. i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. No obstante lo anterior, la propia LOPD habilita, en su artículo 12, el acceso de terceros a los datos personales cuando el acceso a los datos se realice para prestar un servicio al responsable del fichero o del tratamiento, al señalar en su apartado 1: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite, por tanto, el acceso a datos de carácter personal a la persona o entidad que presta un servicio al responsable del fichero, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión o comunicación de datos. En el presente caso, de la documentación aportada se desprende que la entidad COMBRAY, de la que eran empleados los comerciales a los que se refiere la información facilitada por la Policía Local del Ayuntamiento de Zaragoza, firmó con ENDESA un contrato de prestación de servicios con vigencia durante el período 01/04/2016 a 31/03/2017, en virtud del cual aquella entidad se obligaba a la identificación de potenciales clientes y a la formalización de los contratos de alta con los mismos. En consecuencia, dicho contrato habilita a COMBRAY para acceder, en la condición de encargado del tratamiento, a los datos personales de clientes de ENDESA, por lo que de estos hechos no se infiere la existencia de infracción de la LOPD. V Por otra parte, la cesión de información por los distribuidores de energía y su utilización por parte de los comercializadores del sector energético se encuentra habilitada en la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 54/1997, de 27 de diciembre, del Sector Eléctrico y en la Ley 34/1998, de 7 de octubre, del Sector de Hidrocarburos. Las entidades del sector, deben contar con una base de datos denominada Sistema de Información de Puntos de Suministro (SIPS) que contiene una serie de datos personales de los titulares de los puntos de suministro de gas y electricidad. De hecho, el artículo 7 del Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, en su redacción vigente, dispone que las empresas distribuidoras deberán contar con los medios necesarios para que cualquier comercializador o la Comisión Nacional de los Mercados y la Competencia, pueda descargar y proceder al tratamiento de los datos referidos a la totalidad de los puntos de suministro conectados a las redes del distribuidor y a las redes de transporte de su zona, y no podrán establecer condición alguna al acceso y tratamiento de estos datos por parte de los comercializadores ni exigir en ningún caso que éstos les proporcionen dato alguno como condición previa de acceso a su base de datos. Si bien, el mismo artículo dispone que las empresas comercializadoras no podrán acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a su nombre, apellidos y dirección completa. El Tribunal Supremo en Sentencia de 9 de Diciembre de 2010, recaída en el Recurso nº 94/2009, relativa a la impugnación realizada contra las Disposiciones Finales Segunda y Tercera del Real Decreto 1011/2009, de 19 de junio, por el que se regula la Oficina de Cambios de Suministrador, señala en sus fundamentos de derecho lo siguiente: “FD 3º: Consideramos que la cesión de datos deriva del artículo 83 bis de la Ley 34/1998, de 7 de octubre, del Sector de Hidrocarburos , adicionado por la Ley 12/2007, de 2 de julio (RCL 2007, 1291), que regula la Oficina de Cambios de Suministrador, previendo el acceso a las bases de datos de consumidores y puntos de suministro de gas y electricidad, que cumple las exigencias previstas en el artículo 11.2
3. a)de la mencionada Ley Orgánica de Protección de Datos de Carácter Personal , teniendo en cuenta que la información suministrada es acorde con los fines legítimos de interés público de promover el desarrollo y funcionamiento del mercado de suministro de gas en condiciones de competencia efectiva y garantizar el derecho de los consumidores a la libre elección del suministrador que debe prestar el servicio, que la justifican, y preserva la confidencialidad de la información y garantiza la facultad del interesado consumidor a prohibir su difusión. En efecto, como se sostiene en el Informe emitido por la Agencia Española de Protección de Datos de 17 de enero de 2008, que consta en el expediente de elaboración de la norma reglamentaria enjuiciada, el acceso por parte de las empresas comercializadoras de energía eléctrica y, por ende, a las comercializadoras de gas natural, a los datos contenidos en el sistema de información de puntos de suministro sin contar con el consentimiento del afectado, no resulta contrario a lo dispuesto en la Ley Orgánica 15/1999, siempre que los comercializadores utilicen los datos para las finalidades que justificaron la cesión y en la medida en que se excluya la cesión de datos de aquellos consumidores que hubieran manifestado por escrito a los distribuidores su voluntad de que sus datos no sean accesibles a los comercializadores, lo que, expresamente, se garantiza, siguiendo las observaciones del Dictamen emitido por la Comisión Permanente del Consejo de Estado de 9 de junio de 2009, en el apartado 5 del artículo 43 del Real Decreto 1434/2002, de 27 de diciembre , en la redacción modificada por el Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 1011/2009, de 19 de junio impugnado. (…) Por tanto y, sobre la base de lo expuesto, resulta que los datos de los titulares de los puntos de suministro de electricidad, figuran en las bases de datos de las entidades del sector, denominadas Sistema de Información de Puntos de Suministro (SIPS) accesibles al resto de empresas del sector, con la excepción de la información relativa al nombre, apellidos y dirección completa del titular, y siempre salvo que el interesado manifieste por escrito a los distribuidores su voluntad de que sus datos no sean accesibles a los comercializadores, lo que en el caso que nos ocupa no ha quedado acreditado. En relación con los datos disponibles en los dispositivos electrónicos de los comerciales de COMBRAY a los que se refiere la denuncia, esta entidad manifestó que son datos de potenciales clientes que provienen del registro público de puntos de suministros de gas y electricidad, pero no queda claro si esa información incluía los datos identificativos de los titulares de puntos de suministro. Lo cierto es que son muchas las referencias contenidas en el documento contractual referidas a la obligación de los comerciales de recabar documentación que acredite la titularidad del punto de suministro y la identidad del titular. Y tampoco la Policía Local del Ayuntamiento de Zaragoza aportó evidencias sobre el contenido de los datos disponibles en los dispositivos electrónicos que portaban los comerciales, los cuales, además, manifestaron que se trataba de datos provenientes de ficheros de clientes de Endesa. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a COMBRAY SOLUTIONS, AYUNTAMIENTO DE ZARAGOZA, POLICIA LOCAL, SECTOR 5. S.L. y al De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Sin embargo, las Administraciones Públicas, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es