1/7 Expediente Nº: E/01482/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad IBERDROLA CLIENTES, S.A.U., en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 07/01/2015, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que expone que IBERDROLA CLIENTES, S.A.U., (en lo sucesivo, IBERDROLA o la denunciada), sin su consentimiento, le ha pasado al cobro en la cuenta bancaria de la que es titular en CAJAMAR dos facturas que no le pertenecen pues el deudor es la Comunidad de Propietarios de la calle (C/.........1) 11. Aporta, entre otros documentos, copia de los adeudos ordenados por IBERDROLA en su cuenta corriente (cuyos últimos dígitos son ****8), de fechas 18/11/2014 y 25/11/2014, en los que figura como deudor la Comunidad de Propietarios de la calle (C/.........1) 11. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 7 de enero de 2015 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que a raíz de unos problemas de alta y baja de contrato de electricidad de la Comunidad de Propietarios de la Calle (C/.........1) 13 en ***LOCALIDAD.1 y de facturaciones en las que referencian contadores que nunca han estado en el edificio, y tras acudir 2 puntos de atención, y presentar reclamación por escrito en Iberdrola y en la D.G. Industria de la CARM, (Nº reclamación ***NÚMERO.1), IBERDROLA utiliza sin su autorización una cuenta bancaria de su titularidad para el cobro de 2 facturas correspondiente a “Comunidad de Propietarios (C/.........1) 11”. Indica que al objeto de solventar la incidencia llama 2 veces al 900****** teléfono de atención al cliente y le asignan 2 reclamaciones:
- a)Reclamación 04/12/2014 nº ***NÚMERO.2: - Se solicita la anulación de todas las facturas emitidas al contrato ***CONTRATO.1 del contador ***CONTADOR.1 - C/ Jorge Juan, 6 28001 – Madrid Dan de baja mi Cuenta Bancaria del contrato “Comunidad de Propietarios www.agpd.es sedeagpd.gob.es 2/7 (C/.........1) 11”
- b)Me informan que si no se pagan las facturas se puede cortar el suministro Reclamación 18/12/2014 nº ***NÚMERO.3: - Se limitan a hacer referencia a mis reclamaciones anteriores. Solicitadas al afectado diversas aclaraciones sobre los hechos denunciados, éste indica que actualmente es cliente de IBERDROLA para el suministro de su vivienda en la Calle (C/.........1) 13, 1º y que su cuenta bancaria de CAJAMAR CAJA RURAL había sido utilizada para el pago de facturas de su vivienda particular, pero que no estaba activa al producirse los hechos denunciados, ya que había sido cambiada a una cuenta de EVO BANCO. Indica así mismo que en ningún momento se utilizó la cuenta de CAJAMAR para el pago de las facturas de la Comunidad de Propietarios (C/.........1) 13. El denunciante infiere que a raíz de sus reclamaciones en nombre de la Comunidad de Propietarios, utilizando su NIF IBERDROLA cogió su cuenta de CAJAMAR sin autorización y la utilizó para el cobro de las facturas de la Comunidad de Propietarios (C/.........1) 11. El denunciante ha aportado copia de dos adeudos en la cuenta de CAJAMAR cuyos últimos dígitos son *******8 Los adeudos son de fechas 18/11/2014 y 25/11/2014, y ambos proceden de IBERDROLA CLIENTES SAU figurando como nombre del deudor “COMUNIDAD DE PROPIETARIOS (C/.........1) 11”. ACTUACIONES PREVIAS 1. Se ha solicitado información a CAJAS RURALES UNIDAS SSC (CAJAMAR) sobre la titularidad de la cuenta corriente en cuestión ( *******8 ) informando esa entidad que el denunciante es titular de dicha cuenta corriente con otras dos personas, cuya identificación aportan ( no coincidiendo ninguna con D. B.B.B., que aparecerá más abajo en las investigaciones realizadas ). Aportan documentación acreditativa de que los adeudos fueron emitidos directamente a dicha cuenta corriente, sin existir ninguna redirección desde otra posible cuenta. 2. Solicitada información y documentación a IBERDROLA CLIENTES SAU, los representantes de la entidad aportan copia del contrato suscrito el 30 de junio de 2014 para el suministro de electricidad a nombre de la Comunidad de Propietarios de la calle (C/.........1), n°11, en ***LOCALIDAD.1 (Murcia). Se verifica que en dicho contrato, en el apartado FACTURACIÓN Y PAGO consta la cuenta bancaria de CAJAMAR, de últimos dígitos ********8, como la facilitada para la domiciliación del pago de las facturas. Aportan además copia del DNI de la persona que firma el contrato, D. B.B.B., con domicilio en la calle (C/.........1), nº 11 y con DNI ***DNI.1, indicando los representantes de IBERDROLA CLIENTES SAU que fue recabado en el momento de la contratación. Los representantes de IBERDROLA CLIENTES SAU han manifestado además que la cuenta bancaria para la domiciliación de las facturas de electricidad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Comunidad de Propietarios de la calle (C/.........1), 11 fue aportada en el momento de la contratación por el firmante del contrato, D. B.B.B., vecino de la finca, quedando acreditado el consentimiento para el pago de las facturas con la documentación aportada. Indican además que las facturas de electricidad (de importes 2.49 euros y 10,94 euros) que aportó el afectado en su denuncia ante la AEPD, fueron devueltas impagadas por la entidad bancaria. Desde ese momento, IBERDROLA CLIENTES SAU anuló la domiciliación bancaria de ese contrato y en ningún momento se le reclamó la deuda relativa a estas facturas ni se han comunicado sus datos a terceros. Indican que la incidencia en la domiciliación es ajena a la entidad y que fue subsanada sin que haya tenido consecuencias gravosas para el afectado ni IBERDROLA CLIENTES SAU haya obtenido beneficio alguno de ello. El tratamiento de datos de Nivel Básico realizado por la entidad fue llevado a cabo con el único objeto de cumplir las obligaciones del contrato de electricidad suscrito.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
- h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones trascritas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero - entre otros supuestos previstos en la LOPDcuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). La LOPD califica como infracción grave, tipificada en el artículo 44.3.b), la vulneración del principio del consentimiento (artículo 6) y sujeta a su régimen sancionador tanto a los responsables de los ficheros como a los encargados de tratamiento (artículo 43 LOPD). Ahora bien, la exigencia de responsabilidad sancionadora presupone la existencia de dos elementos, la conducta antijurídica descrita en el tipo sancionador y el elemento subjetivo de la infracción, requisito esencial por cuanto en el Derecho Administrativo sancionador está proscrita la responsabilidad objetiva y rige en todo caso el principio de culpabilidad. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A su vez, la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) proclama en el artículo 130.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Solo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la AEPD) Por tanto, a la luz de este precepto, la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. Así, la Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 El núcleo de la denuncia que nos ocupa es el tratamiento que IBERDROLA hizo de los datos personales del denunciante –los datos de su cuenta bancaria en CAJAMAR- sin su consentimiento. Tratamiento que se materializó en incorporar a sus ficheros sus datos bancarios asociados a un contrato al que era ajeno (el suscrito por la Comunidad de propietarios de la calle (C/.........1) 11) y en haber girado contra esa cuenta los recibos correspondientes a dos facturas de la citada Comunidad. El tratamiento del número de cuenta bancaria del denunciante sin su consentimiento efectuado por IBERDROLA es un hecho incontrovertido a la luz de las actuaciones de investigación practicadas. En este sentido, obra en el expediente copia de los dos recibos girados por la denunciada contra la cuenta corriente del denunciante, cuyos últimos dígitos son ****8, del 18/11/2014 y 25/11/2014, en los que consta como deudor la Comunidad de propietarios de la calle (C/.........1) 11. Por otra parte, CAJAMAR informó a la Inspección de Datos de la AEPD que el denunciante era cotitular de la citada cuenta (junto con dos personas más, ninguna de las cuales es B.B.B.) y añadió que los adeudos se emitieron directamente a dicha cuenta corriente sin existir ninguna redirección desde otra distinta. Así pues, acreditado que la denunciada trató los datos personales del denunciante sin su consentimiento corresponde examinar si concurre o no el elemento subjetivo de la culpabilidad pues la actuación de IBERDROLA será subsumible en el artículo 44.3.
- b)de la LOPD únicamente si ese elemento está presente. La información recabada de IBERDROLA por la Inspección de Datos revela que el origen del dato de la cuenta bancaria del denunciante fue un contrato de suministro eléctrico celebrado el 30/6/2014 con la Comunidad de propietarios de la calle (C/.........1) 11 y firmado por D. B.B.B. quien aportó en el acto de la firma una copia de su DNI. La denunciada ha remitido a la AEPD copia del contrato citado y del DNI del Sr. B.B.B.. Se puede comprobar que el contrato, en el apartado “Facturación y Pago”, contiene la siguiente leyenda: “Según sus indicaciones, el producto contratado de electricidad se cargará en la siguiente cuenta:…”. Los dígitos de la cuenta bancaria coinciden con los de la cuenta corriente del denunciante en CAJAMAR finalizada en ****8. El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) dispone en su artículo 8.5., a propósito de la calidad de los datos, que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste”. (El subrayado es de la AEPD) Las circunstancias descritas evidencian que la denunciada observó con ocasión de la celebración del contrato de suministro eléctrico con la Comunidad de propietarios de la calle (C/.........1) 11 la diligencia procedente, pues adoptó las medidas necesarias para comprobar la identidad del cliente –en particular, de quien actuó como representante de la Comunidad de propietarios, D. B.B.B.- y ha aportado a la AEPD copia del documento que lo identifica y del contrato suscrito por él. La diligencia desplegada priva a su conducta del elemento subjetivo de la culpabilidad. A tenor del principio de culpabilidad no puede exigirse responsabilidad por conductas antijurídicas si falta ese elemento, ya sea a título de dolo, negligencia o mera inobservancia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Muy esclarecedora es en ese sentido la SAN de 26/04/2002 (Rec. 895/2009) que expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010 que en su Fundamento Jurídico sexto, y a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) En definitiva, por más que la conducta analizada pueda coincidir, a priori, con alguno de los tipos sancionadores previstos en la LOPD –por lo que aquí interesa, el artículo 6.1 en relación con el artículo 44.3.b,- tal conducta no es merecedora de reproche o sanción administrativa ante la ausencia del elemento subjetivo de la infracción. A lo que se añade que, según informó IBERDROLA a la Inspección de la AEPD, la incidencia en la facturación fue subsanada de inmediato. A la luz de las reflexiones precedentes, y toda vez que en el presente caso IBERDROLA actuó con la diligencia que era procedente, lo que excluye la presencia del elemento subjetivo de la infracción, ninguna responsabilidad es exigible por los hechos que se someten a la valoración de este organismo debiendo acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a IBERDROLA CLIENTES, S.A.U., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es