1/5 Expediente Nº: E/01215/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Endesa Energía SAU en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 13 de febrero de 2014, tuvo entrada en esta Agencia escrito de D A.A.A. (en adelante el denunciante) en el que declara que Endesa Energía, SA (en adelante Endesa) ha cargado en su cuenta cuotas correspondientes a un servicio de mantenimiento de caldera y calefacción que no tenía contratado. Aporta copia de una factura de octubre de 2013 donde se incluye el concepto de mantenimiento de gas con calefacción. En fecha 23 de septiembre de 2014 el denunciante desiste de su denuncia SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 21 de agosto de 2014 se solicita información y documentación a Endesa en relación con los hechos denunciados y de la respuesta facilitada se desprende lo siguiente:
- Aportan copia de un contrato denominado “Condiciones particulares del contrato del servicio de mantenimiento y reparación Gas Plus” fechado el 21/12/2007 y firmado por el denunciante, en el que se incluyen su nombre, apellidos y número de DNI.
- Acompañan un registro con la reclamación interpuesta por el denunciante en el que cuestiona la contratación del servicio de mantenimiento y donde solicita que se refacturen las cuotas de dicho servicio de carácter anual. La reclamación es considerada improcedente tras verificar que se realizan numerosas reparaciones así como revisiones desde el 29/2/2008, fecha de alta del servicio.
- Aportan copia de la documentación que acredita las revisiones realizadas a la caldera el 5/3/2013, 27/12/2011,14/9/2010 y 29/6/
- FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, el denunciante pone de manifiesto que Endesa ha realizado un tratamiento de sus datos sin su consentimiento puesto que le ha realizado un cargo del servicio de mantenimiento y conservación de la caldera sin haber prestado su consentimiento para la contratación del mismo. No obstante, la entidad denunciada aporta contrato de servicio de mantenimiento y reparación gas plus, firmado por el denunciante en fecha 21 de diciembre de 2007, en el que se incluye su nombre, apellidos, número de DNI, número de teléfono, dirección de prestación del servicio (que coincide con la del denunciante) y código universal del punto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 de suministro de gas, así como el precio del servicio. Sobre lo expuesto anteriormente, se desprende que el tratamiento de datos por Endesa Energía SA se ubica en el marco de una relación negocial entre ésta y el denunciante, y por tanto no existe vulneración de la normativa en materia de protección de datos. En concreto, esta relación negocial surge de la contratación por el denunciante del servicio “mantenimiento y reparación gas plus”, en fecha 27 de diciembre de
- IV Por otro lado, podríamos hablar de un consentimiento presunto del denunciante a la contratación del mantenimiento y conservación de la caldera con Endesa, en la medida en que la entidad aporta justificantes de la realización del servicio de mantenimiento de instalaciones de gas, firmadas por el denunciante, de los años 2008 2009, 2010,2011 y
- En la línea del consentimiento presunto tras el pago de diversas facturas del servicio supuestamente no contratado hace mención la Audiencia Nacional, entre otras, en la Sentencia de fecha 4 de noviembre de 2011 (Rec. 424/2010), en la que señala lo siguiente: “TERCERO.- Entrando en el fondo del asunto, la cuestión suscitada consiste en dilucidar si se ha practicado prueba con entidad suficiente para ser considerada de cargo, desvirtuar la presunción de inocencia que ampara a la entidad recurrente y acreditar la comisión de la infracción apreciada por vulneración del principio del consentimiento recogido en el art. 6 de la LOPD. Constituye doctrina reiterada y consolidada de esta Sala que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito (SSAN de 1-2-2006 (Rec.250/2004) y de 20-9-2006 (Rec. 626/2004), e igualmente que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos, es decir, por actos presuntos, o por el silencio del afectado, consentimiento tácito (o impropiamente llamado silencio positivo), como se dice, entre otras muchas, en las SSAN 27-2-2008 (Rec. 290/2006), 21-1-2009 (Rec. 109/2008) y 17 de noviembre de 2010 (Rec. 729/09). La infracción que se justifica por la resolución impugnada en base, entre otras, a los siguientes hechos: - La denunciante devolvió las facturas de fechas 08/07/08 y 07/08/08, cada una por importe de 23,20 euros, del servicio de ADSL 1 Mb+ llamadas. - En el sistema de información de la parte actora constan casos de reclamaciones de la denunciante en las siguientes fechas y con comentarios: 23/07/08 consta una incidencia referida a que el cliente no ha solicitado el alta reflejando en el apartado observaciones “procede reclamación, alta no solicitada, ps ok, xnet no hay solicitud”…; 23/07/08 en el apartado observaciones se especifica “no procede reclamación, dice su DNI incorrecto pero hay grabación de alta, ira a consumidor, pide envío grabación, tenemos su número de cuenta y todos los datos personales”; 18/08/08 y 27/10/08, recibidas reclamaciones de asociación de consumidores. - Con fechas 18/08/08 y 27/10/08, la parte actora recibió escritos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Asociación de Consumidores Irache, en nombre y representación de la denunciante, en lo que se reclama por la facturación indebida de servicios no contratados: 17 recibos del “SERV. TELECOM ORANGE FIJO/INTERNET” por importe total de 246,22 euros el 19/06/08 por France Telecome en la cuenta bancaria de la denunciante. - La denunciante niega la contratación en su denuncia, y la parte demandante aportó como prueba de la misma una grabación de voz en la que una persona confirma únicamente el nombre y apellidos de la denunciante, pero no su dirección y cuenta bancaria, además de que un DNI que no es el de ésta. La denunciante negó que la voz que se escucha en dicha grabación fuera la suya. Esta Sala, a pesar de lo expuesto, y una vez valoradas las pruebas practicadas en las actuaciones, entiende que en el presente caso concurren una serie de circunstancias que conllevan que no pueda considerarse lesionado el principio del art. 6.1 LOPD. Y ello por considerar que sí ha existido en el presente supuesto un consentimiento tácito de la afectada, o más exactamente, un consentimiento presunto, en cuanto el mismo se deduce de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación, teniendo en cuenta que la parte actora tenía el nombre y apellidos de la denunciante, sí como el número de la cuenta bancaria, pero especialmente diversas facturas todas las cuales fueron cargadas y abonadas en la cuenta bancaria titularidad de la denunciante, a excepción de las correspondientes a julio y agosto de 2008, que fueron devueltas. En concreto, fueron abonadas desde el mes de febrero de 2007 hasta el mes de junio de 2008, ambos inclusive, por importes que varían entre 7,11 euros y 23,20 euros. Es cierto que constituye doctrina reiterada y consolidada de esta Sala que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. En el presente caso, sin embargo concurren una serie de circunstancias especificas, esencialmente la existencia de consumo telefónico y la recepción y pago puntual de las facturas durante 16 meses, que llevan a esta Sala al convencimiento de que tal denunciante sí había prestado su consentimiento para la contratación de la línea en cuestión con dicha entidad telefónica recurrente, y en consecuencia, que la imputación de la infracción del art. 6.1 LOPD no puede ser apreciada. Véanse, en este sentido, las Sentencias de esta Sala de 1-2-2006 (Rec. 250/2004), 21-1-2009 (Rec. 109/2008), 24-6-2010 (Rec. 619/2009), 11-2-2010 (Rec. 418/09) y 17 de noviembre de 2010 (Rec. 729/09). “ V Por último, cabe indicar que, ante la reclamación del denunciante ante la OMIC de León, la entidad denunciada procedió a tramitar la refacturación solicitada por el denunciante y a la devolución de las cantidades correspondientes a la misma. VI Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 se han acreditado elementos probatorios que permitan atribuir a Endesa Energía SA una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a Endesa Energía SAU y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es