E-02323-2017

1/5 Expediente Nº: E/02323/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas [de oficio] por la Agencia Española de Protección de Datos ante la(

1. s)entidad(
2. es)IBERDROLA CLIENTES, SAU en virtud de denuncia presentada por B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21/03/2017, tuvo entrada en esta Agencia escrito de D. B.B.B. (en lo sucesivo el denunciante), en el que denuncia a IBERDROLA CLIENTES, SAU (en lo sucesivo IBERDROLA CLIENTES) por los siguientes hechos:  La entidad denunciada publicó, con fecha 14/3/2017, la dirección del denunciante en el perfil público de la entidad denunciada en el marco de la resolución de una incidencia. La información estuvo publicada durante 44 minutos, momento en el cual el “tweet” fue eliminado por la entidad denunciada. El denunciante aporta, entre otra, copia de la siguiente documentación:  Impresión de pantalla extraída, según manifestaciones del denunciante, del perfil de la entidad denunciada (@TuIberdrola) en la red social “Twitter” en la que figura la siguiente conversación mantenida entre el afectado y la entidad denunciada con fecha 14/3/2017: o Afectado: “@TuIberdrola mi área de cliente no me deja entrar ni me deja recuperar datos? Cómo lo solucionó?” o Entidad denunciada: “Hola, B.B.B., soy D.D.D.. Es para contratos de A.A.A., ¿verdad?” o Afectado: “por Dios no le deis mi dirección a todo el universo!!! Por privado” o Entidad denunciada: “Perdona, favor? o Afectado: “perfecto pero eliminad el tuit con mi dirección!!” B.B.B., ¿hablamos por privado, por SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La empresa IBERDROLA CLIENTES en su escrito de fecha de registro 03/07/2017 ha remitido la siguiente información pertinente a los efectos de la investigación:  En su escrito de respuesta a la solicitud de información, IBERDROLA CLIENTES expone que se trató “simplemente de un error humano puntual originado en un momento de la atención online a la consulta” que realizó el denunciante a través de la red social Twitter “Clientes Iberdrola@TuIberdrola” con fecha 14/03/2017. Añade que el denunciante “no inició la conversación en modo ‘privado’ sino que realizó su consulta en una mención ‘pública’ pero ‘mención directa’, es decir, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 únicamente su mensaje pudo visualizarlo él mismo en su ‘timeline’ y los usuarios que le siguiesen en Twitter si éstos hubieran accedido explícitamente en su perfil y posteriormente hubieran accedido explícitamente en ‘Tweets y Respuestas’. En este sentido cabe destacar que no consta que el tweet denunciando haya tenido acciones de ‘Retweet’ ni acciones de ‘Me gusta’ por parte de ninguno de sus seguidores. Aunque se trataba de una consulta sobre cómo acceder a sus datos como cliente en el área personal de la web de IBERCLI y tratándose de un experto en redes sociales, como él mismo manifestó en alguno de los tweets que envió a IBERCLI con posterioridad al incidente, el denunciante no realizó su consulta en modo ‘privado’”. Continúa diciendo que el agente comercial que atendió el “tweet” solicitó la confirmación de la dirección en la creencia de que la conversación estaba teniendo lugar en un foro privado. Adjunta (documento número 2) impresión de pantalla con copia de los mensajes publicados en relación con los hechos denunciados. Entre los mismos, con fecha 14/3/2017, constan: o A las 12:57 se produce la publicación del “tweet” que incluye la dirección del afectado. o A las 12:58 el afectado denuncia que se haya hecho pública su dirección. o A las 12:58 la entidad le pide disculpas y le solicita hablar “por privado”. o A las 13:41 la entidad publica un “tweet” disculpándose e indicando que ha borrado los datos. o A las 13:43 el afectado manifiesta que se dedica profesionalmente a las redes sociales y que considera que media hora no es un tiempo de respuesta aceptable. La entidad señala que la hora exacta de borrado del tweet con los datos personales fue las 13:16 horas.  En su escrito de respuesta a la solicitud de información, IBERDROLA CLIENTES expone que, el agente trasladó de urgencia la petición de eliminación del mensaje contenedor de la dirección del denunciante (ya que el propio agente no dispone de un perfil con competencia para su supresión), cuestión que se realizó “a los 19 minutos de producirse el error”. Adjunta (documento número 4) copia del mensaje enviado el 14/3/2017 a las 13:04 horas por el agente comercial que había publicado el “tweet” con la dirección del afectado solicitando su eliminación. Añade que, tras estos hechos, con fecha 16/3/2017, la entidad ha modificado su procedimiento de atención a usuarios a través de la red social para permitir que los “agentes de primera línea” puedan realizar estas gestiones “de forma inmediata”. Adjunta (documento número 1) el “Procedimiento de Gestión de Twitter de IBERCLI”. Según consta en el propio documento sería la tercera versión del mismo cuya fecha de publicación es 16/3/2017, e incorpora respecto a la versión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 anterior la “adaptación para casos críticos de borrado de mensajes”. Además, en el apartado 2d del documento especifica que los envíos de información personal deben de realizarse mediante mensajes privados.  En su escrito de respuesta a la solicitud de información, IBERDROLA CLIENTES señala que en los casos en los que es necesario incluir algún dato de carácter personal en los mensajes porque sea necesario para gestionar alguna consulta de! usuario, la propia entidad indica al usuario que utilice el "modo privado" para facilitar el dato e, incluso cuando el usuario ha publicado un dato personal o confidencial en ”modo público” se le ha indicado que elimine el mensaje correspondiente y continuara su consulta en ”modo privado”. Adjunta (documento número 3) copia de mensajes de Twitter en los que la entidad ha solicitado al cliente que la comunicación correspondiente se mantuviera en privado. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). II El artículo 10 de la LOPD se ocupa del “Deber de secreto” y establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. La obligación impuesta por el artículo 10 LOPD conlleva que el responsable de los datos almacenados o tratados y quienes intervengan en cualquier fase del tratamiento no pueden revelar ni dar a conocer su contenido teniendo el “deber de guardarlos”. A través de él se trata de salvaguardar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y, en definitiva, el poder de control o disposición sobre ellos. Este deber comporta que los datos personales no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley. III En el presente caso, se hace necesario tener en cuenta a la hora de valorar la conducta de la entidad denunciada, el carácter restrictivo y nunca expansivo del derecho administrativo sancionador, como recoge la propia Audiencia Nacional, en Sentencias de 16 de marzo de 2004 y 2 de marzo de 2005, que ha manifestado lo siguiente: “…lo acontecido es resultado de un simple error cuya imputación de carga infractora de algún tipo implicaría una interpretación forzada de la legislación de protección de datos de carácter personal, teniendo en cuenta el carácter restrictivo y nunca expansivo que debe presidir toda acción administrativa sancionadora incluida claro está, le regulada en la Ley Orgánica 15/1999, de 13 de Diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 De mantenerse la interpretación que subyace en la resolución recurrida resultaría que cualquier equivocación en el envío de correspondencia a la dirección de una persona, aún tratándose de un domicilio que figura como tal en el fichero de clientes de cualquier empresa, o entidad, constituiría una infracción grave de la Ley de Protección de Datos, conclusión que consideramos no guarda la necesaria proporción con los hechos enjuiciados”. Sobre este particular, procede añadir que cuando el ordenamiento jurídico admite varias soluciones, resulta más adecuado, antes de iniciar actuaciones sancionadoras, el agotamiento de otras fórmulas procedimentales alternativas. Tal conclusión resulta de la aplicación de los principios de intervención mínima y proporcionalidad: el primero, porque impone que el mecanismo sancionador entre en juego cuando ésta sea la única solución posible, cuando ya no exista otra actuación alternativa que no sea menos restrictiva a los derechos individuales; y el de proporcionalidad porque impone que la sanción sea ponderada, razonable y adecuada a la defensa del bien jurídico que se pretende proteger. De la documentación aportada al expediente, podría desprenderse una actuación poco diligente por parte de la entidad denunciada al estar expuesta en su red pública de twitter un twit conteniendo los datos del denunciante, consecuencia de un error puntual del agente comercial que pensaba estaba en modo privado en el momento de comunicarse con el denunciante. Consta la petición del agente a su superior advirtiéndole de la equivocación cometida y la solicitud del borrado del twit, el cual estuvo publicado escasos minutos y no constando que hubieran existido retwits. Además, la entidad denunciada adjunta el procedimiento de gestión de twitter en el que se indica que este tipo de comunicaciones ha de tenerse en modo privado y que dicho procedimiento fue actualizado para permitir, en caso de que se dieran este tipo de sucesos, que los propios agentes comerciales pudieran borrar los twits inmediatamente. Hay que tener en cuenta que, como pone de manifiesto la Audiencia Nacional, que en la medida en que no concurre voluntariedad, que todos se ha debido a un error humano puntual, que no se ha producido un resultado especialmente lesivo en lo acontecido y que no consta una falta de cuidado generalizada en la actuación de la empresa denunciada, sería contrario a la naturaleza del ámbito sancionador administrativo, sujeto a los principios de intervención mínima y proporcionalidad, imponer una sanción al respecto del acto producido, que puede resumirse en un mero error no merecedor de actuación sancionadora. En este mismo sentido, la Sentencia de la Audiencia Nacional de 14 de diciembre de 2006, señala en sus Fundamentos Jurídicos lo siguiente: “La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre , que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SsTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998 , "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho". Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a IBERDROLA CLIENTES, SAU y B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es