E-01955-2014

1/4 Expediente Nº: E/01955/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad IBERDROLA GENERACIÓN, S.A.U., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 23/01/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo la denunciante) en el que expone que don D.D.D., arrendatario de una vivienda de su propiedad situada en la localidad de B.B.B. ( C.C.C.) ha modificado, sin su consentimiento y mediante una llamada telefónica, determinados datos del contrato de suministro eléctrico de la vivienda celebrado con IBERDROLA GENERACIÓN, S.A.U., (en lo sucesivo, IBERDROLA o la denunciada) Explica que el arrendatario ha cambiado la domiciliación bancaria de los recibos así como el “usuario” y la “clave” para acceder a la oficina virtual de la compañía, por lo que ella no puede recibir información de otros dos contratos de suministro eléctrico suscritos con IBERDROLA que gestionaba a través de esa oficina virtual teniendo motivos para creer que el arrendatario “está manejando datos que no son suyos”. Advierte que las modificaciones efectuadas por el arrendatario no alcanzan, sin embargo, a la titularidad del contrato de suministro eléctrico de la vivienda arrendada, de forma que ella continúa siendo titular negándose el arrendatario a cambiar la titularidad del contrato de suministro. Acompaña, entre otros documentos, copia de una factura emitida por IBERDROLA referente al contrato de suministro ******** (vivienda arrendada), correspondiente al periodo de facturación 19/08/2013 -11/10/2013, en la que figura la denunciante como destinataria y titular del contrato, y un duplicado de la misma factura en la que figura como destinatario D.D.D.. y la denunciante como titular del contrato. Adjunta, asimismo, carta de IBERDROLA, fechada el 27/12/2013, en la que responde a la reclamación presentada ante el Servicio de Atención al Cliente de la compañía. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – C.C.C. www.agpd.es sedeagpd.gob.es 2/4 Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley; o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La LOPD tipifica la vulneración del principio del consentimiento (artículo 6) como infracción grave en su artículo 44.3.b). III El artículo 122 del Reglamento de desarrollo de la LOPD (RLOPD), aprobado por el Real Decreto 1720/2007, establece en sus apartados 1 y 4, respectivamente: 1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a C/ Jorge Juan, 6 28001 – C.C.C. www.agpd.es sedeagpd.gob.es 3/4 contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas” (El subrayado es de la AEPD) Respecto a la denuncia que nos ocupa, que tuvo entrada en este organismo hace más de un año, el 23/01/2014, y sobre la que el Director de la AEPD no ha llegado a acordar la apertura de un procedimiento sancionador, en tanto se ha excedido el plazo de doce meses previsto en el artículo 122.4 del RLOPD, se ha producido la caducidad de las actuaciones previas de investigación. Ahora bien, con el fin de comprobar si concurren en los hechos sobre los que versa la presente denuncia circunstancias que justifiquen la apertura de un procedimiento sancionador y concretar aquellos aspectos de la conducta denunciada de los que pueda inferirse que existió una vulneración de la normativa de protección de datos y determinar, en su caso, el sujeto responsable de la infracción, el Director de la AEPD, al amparo del artículo 122.4 del RLOPD, acuerda ordenar a la Subdirección de Inspección que lleve a cabo las actuaciones de investigación encaminadas a tal fin en el marco del expediente E/00429/2015. Es esencial recordar que como establece la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC), artículo 92.3, "La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. (El subrayado es de la AEPD) Los hechos expuestos en la presente denuncia podrían ser constitutivos de una infracción grave de la LOPD, presuntamente del artículo 6.1 de la citada Ley Orgánica, cuyo plazo de prescripción (ex artículo 47.1) es de dos años. Siendo el término inicial o dies ad quem del cómputo del plazo de prescripción la fecha en la que IBERDROLA cambió los datos de la denunciante por los del arrendatario, a raíz de la llamada que éste efectúa el 27/11/2013, la infracción presuntamente cometida prescribiría el 27/11/2015. Y ningún impedimento existe –con arreglo al artículo 92.3 de la LRJPACpara que pueda acordarse la apertura de un procedimiento sancionador dentro del plazo de prescripción indicado. Así lo ha confirmado el Tribunal Supremo en Sentencia de 12/06/2013 (Rec 18/2002) dictada en Interés de la Ley, en la que afirma taxativamente que “la caducidad declarada en un procedimiento sancionador no constituye obstáculo alguno para la posibilidad de iniciar o reiniciar otro procedimiento sobre el mismo objeto dentro del plazo de prescripción”. En el mismo sentido, por todas, STS de 24 de febrero de 2004 (Rec 3754/2001) o SAN de 15 de abril de 2010 (Rec 353/2010). En consideración a lo expuesto se acuerda el archivo de las presentes actuaciones de investigación previa por el transcurso del plazo de caducidad que fija el artículo 122.4 del RLOPD y se insta a la Subdirección General de Inspección de Datos a que inicie nuevas actuaciones de investigación en el marco del E/ 00495/2015. C/ Jorge Juan, 6 28001 – C.C.C. www.agpd.es sedeagpd.gob.es 4/4 Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a IBERDROLA GENERACIÓN, S.A.U. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – C.C.C. www.agpd.es sedeagpd.gob.es