E-01897-2017

1/6 Expediente Nº: E/01897/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad GAS NATURAL SERVICIOS, SDG, S.A.U., en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, HECHOS PRIMERO: Con fecha 04/05/2017, la Directora de la Agencia Española de Protección de Datos (AEPD) dictó resolución de archivo en el marco del expediente E/01698/2016, fundada en la caducidad de las actuaciones previas de inspección -de conformidad con lo prevenido en el artículo 122.4 del Reglamento de desarrollo de la Ley Orgánica 15/1999, (RLOPD) aprobado por el Real Decreto 1720/2007- y, al tiempo, toda vez que no había prescrito la presunta infracción sobre la que versaba la denuncia, acordó la apertura de un nuevo expediente de investigación, el E/01897/2017, con objeto de determinar si la entidad denunciada, GAS NATURAL SERVICIOS, SDG, S.A.U., (en lo sucesivo, GAS NATURAL o la denunciada) había incurrido en una infracción de la normativa de protección de datos de carácter personal. El E/01698/2016, precedente del expediente que nos ocupa, E/01897/2017, tuvo su origen en la denuncia presentada en fecha 23/02/2016 por D.ª A.A.A. (en lo sucesivo la denunciante) en la que manifestó que GAS NATURAL había tratado sus datos personales sin su consentimiento al dar de alta a su nombre el suministro de energía eléctrica sin que hubiera celebrado ningún contrato con ella. La denunciante explicó que solicitó reiteradamente a GAS NATURAL que le facilitara la copia del supuesto contrato sin lograrlo, por lo que se negó al abono de la factura emitida. Indica que en la factura que GAS NATURAL emitió a su nombre aparece una cuenta bancaria de la que ella no es titular y que pertenece a una entidad financiera de la que nunca ha sido cliente. Anexa a la denuncia copia de los documentos siguientes: La única factura emitida por GAS NATURAL, de fecha 04/11/2015, por un importe de 146,76 euros; carta de GAS NATURAL de fecha 22/11/2015 informándole de que “su” entidad bancaria, ING BANK, no ha realizado el pago de la factura pendiente; carta de GAS NATURAL de 10/12/2015, en la que se hace referencia a la baja en el contrato “recientemente producida” y se le requiere el pago de la deuda pendiente; carta de la empresa gestora de cobros ABINITIO CONSULTING, S.L., sin fecha, en el que le requieren el pago de la deuda en nombre de la denunciada; copia del correo electrónico de fecha 26/01/2016 dirigido a los servicios de atención al cliente de GAS NATURAL reiterando la petición de entrega de una copia del contrato supuestamente celebrado con ella. SEGUNDO: En el marco del expediente E/01698/2016, la Inspección de Datos, a fin de esclarecer los hechos objeto de la denuncia solicitó información a GAS NATURAL en escrito de fecha 28/04/

1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 La denuncia respondió al requerimiento informativo en fecha 13/05/
2. La alegaciones efectuadas y los documentos aportados resultaron insuficientes para valorar la adecuación de su conducta a la LOPD y normas de desarrollo. TERCERO: En el curso del expediente E/01897/2017, se solicitó información a las entidades GAS NATURAL y EQUIFAX IBÉRICA, S.L., el 01/08/
3. Respondieron en sendos escritos de 21/08/2017 y 04/08/2017, respectivamente. De la documentación recabada por la Inspección de Datos tanto en las actuaciones llevadas a cabo en el expediente E/01698/2016 –que fueron debidamente incorporadas al expediente que nos ocupa mediante Diligencia del Jefe de Área de Inspección de 24/07/2017- y el actual E/ 01897/2017, se desprende lo siguiente:
4. GAS NATURAL trató los datos personales de la afectada vinculados a un contrato de suministro eléctrico y del servicio Servielectric. C/ Jorge Juan, 6 28001 – Madrid - La contratación se efectuó a través de su encargada de tratamiento, BARBER ENERGÍA, S.L., con la que suscribió un contrato de Prestación de Servicios Comerciales el 01/01/
5. Ha facilitado los datos del agente de ventas que intervino en la contratación: nombre y apellidos, copia del DNI, número de empleado y firmado por él el documento de “Aceptación de buenas prácticas en la venta presencial de Gas Natural Fenosa”. - GAS NATURAL ha remitido a la AEPD la copia del DNI de la afectada, la copia del contrato de suministro eléctrico y del servicio Servielectric que se encuentra firmada y la copia de la “Orden de domiciliación adeudo SEPA” que se encuentra igualmente firmada, en la que figura un número de cuenta perteneciente a ING de la que la denunciante ha negado ser titular. - En el contrato constan los datos de la denunciante, tales como su nombre, apellidos y NIF. También la dirección postal que en el nombre de la calle y el número con la que la denunciante hizo constar en su escrito de denuncia ante la AEPD. - GAS NATURAL ha explicado que el agente de ventas de la empresa contratista tiene las instrucciones de dirigirse presencialmente al cliente y, tras informarle adecuadamente del producto a contratar, si presta el consentimiento, la de recabar la firma del contrato y la copia del DNI. - Respecto al procedimiento, señala que la empresa contratista a través de la herramienta informática Web Sales, introduce los datos de la contratación en el sistema y envía la documentación contractual a GAS NATURAL. Que no admite ningún contrato que no lleve firma y no vaya acompañado de la copia del DNI del cliente. Y que una vez recibida la documentación activa el alta del suministro e inicia la facturación. - GAS NATURAL informa de que tras la reclamación del cliente se identificó el caso como fraude y procedió a anular todos los conceptos www.agpd.es sedeagpd.gob.es 3/6 facturados a la denunciante hasta la fecha.
6. EQUIFAX IBÉRICA, S.L., en respuesta al requerimiento de la Inspección de Datos manifestó que los datos personales de la denunciante no han figurado nunca ni figuran en la actualidad en el fichero ASNEF informados por GAS NATURAL. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (aprobado por el Real Decreto 1720/2007), establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “
7. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
8. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; …” . El tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco del titular del que se dispensa al responsable del fichero entre otros supuestos previstos en la LOPD- cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Esto, porque el consentimiento al tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente en la medida en que el referido tratamiento sea preciso para la ejecución del contrato y siempre que quien facilita los datos personales con ocasión de la contratación sea efectivamente su titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 La LOPD califica como infracción grave, tipificada en el artículo 44.3.b), la vulneración del principio del consentimiento y sujeta a su régimen sancionador tanto a los responsables de los ficheros como a los encargados de tratamiento (artículo 43 LOPD). III La controversia que ha dado origen al expediente de investigación que nos ocupa versa sobre la inexistencia de consentimiento de la afectada para que GAS NATURAL tratara sus datos personales, toda vez que la titular de los datos niega haber suscrito un contrato con dicha entidad. El tratamiento de los datos que se denuncia se materializó en el alta a nombre de la afectada de un contrato de suministro de electricidad y de servicio Servielectric que ella niega haber celebrado y en la emisión de una factura derivada de aquél. Además, recibió un requerimiento de pago de la empresa gestora de cobros ABINITIO CONSULTING, S.L. en nombre de GAS NATURAL. Corresponde a GAS NATURAL la carga de probar que recabó y obtuvo el consentimiento de la afectada para el tratamiento de sus datos personales. Es ese el criterio seguido por la Sala de lo Contencioso de la Audiencia Nacional en sus Sentencias (por todas SAN de 27/01/2011, Rec 349/2009, Fundamento de Derecho Tercero), en la que declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. GAS NATURAL, en respuesta al requerimiento informativo de la Inspección de Datos, explicó que la contratación de sus servicios a nombre de la afectada se realizó a través de la empresa BARBER ENERGÍA, S.L., con la que suscribió el 01/01/2015 un contrato de comercialización, y que fue un agente de esa entidad, encargada de tratamiento de GAS NATURAL, quien recabó el consentimiento de la afectada a la contratación. La denunciada ha remitido a la AEPD la copia de un contrato a nombre de la denunciante que está firmado. Los datos de la titular coinciden con los de la denunciante: nombre, dos apellidos y NIF. Además, la dirección postal y del suministro coincide con la que la denunciante hizo constar en el escrito de denuncia ante la AEPD. También ha aportado la copia del DNI de la denunciante y de una Orden de domiciliación de adeudo directo SEPA que igualmente se encuentra firmada. El hecho de que obre en poder de GAS NATURAL esa documentación constituye un indicio sólido de que la afectada había prestado el consentimiento a la contratación y es en atención a esos elementos a los que la denunciada consideró que la contratación era correcta. GAS NATURAL ha explicado el protocolo seguido en la contratación. Manifiesta que no admite ningún contrato que no lleve firma del cliente y no vaya acompañado de la copia del DNI de éste y que sólo una vez recibida la documentación procede a activar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 el alta del suministro e inicia la facturación. Indica que el agente de ventas de la empresa contratista tiene instrucciones de dirigirse presencialmente al cliente y, tras informarle adecuadamente del producto a contratar, si presta el consentimiento, la de recabar la firma del contrato y la copia del DNI. La empresa contratista, a través de la herramienta informática Web Sales, introduce los datos de la contratación en el sistema y envía la documentación contractual a GAS NATURAL. Es digno de mención que según informa GAS NATURAL, ante la reclamación de la afectada se efectuó un estudio del caso considerando la contratista (BARBER ENERGÍA) que se trataba de un supuesto de fraude, razón por la cual se procedió a anular la facturación emitida. La documentación que obra en poder de la AEPD constituye un indicio sólido de que GAS NATURAL obró diligentemente, toda vez que el alta del contrato a nombre de la afectada se produjo después de haber recabado de su encargada de tratamiento (BARBER ENERGÍA, S.L.) los documentos de los que se infería que se había contrastado la identidad de la titular de los datos que eran objeto de tratamiento (mediante la copia del DNI) y que aquella había otorgado el consentimiento a la contratación, evidenciado en la firma del documento. Llegados a este punto se ha de señalar que la exigencia de responsabilidad sancionadora por vulneración de la LOPD presupone la concurrencia de una conducta antijurídica, descrita en el tipo sancionador, y del elemento subjetivo de la infracción, pues rige en nuestro Derecho el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia de ese elemento subjetivo como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. También la Ley 40/2015 de Régimen Jurídico del Sector Público, se refiere a este presupuesto en su artículo
9. que: “
10. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” En esta línea argumental recordar que la Audiencia Nacional, en SAN de 29/04/2010, en su Fundamento Jurídico sexto y a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) A tenor de las reflexiones precedentes se estima que GAS NATURAL actuó con una diligencia razonable para garantizar la identidad del cliente y su consentimiento a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 contratación. Así pues, por más que la conducta analizada pudiera ser contraria al artículo 6.1 de la LOPD consideramos que, faltando el elemento subjetivo de la infracción, como aquí acontece, ninguna responsabilidad sancionadora puede derivarse de los hechos que se someten a la valoración de esta Agencia debiendo, en consecuencia, acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
11. PROCEDER AL ARCHIVO de las presentes actuaciones.
12. NOTIFICAR la presente Resolución a Gas Natural Servicios SDG, S.A.U., y D.ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es