1/8 Expediente Nº: E/02409/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ENDESA ENERGÍA, S.A.U. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de marzo de 2018, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) comunicando que su domicilio es en el ***DIRECCION.1, contra ENDESA ENERGÍA, S.A.U. (en lo sucesivo el denunciado) comunicando que: En el pasado fue cliente del denunciado, cuyas facturas adjunta relativas a los suministros en 2 domicilios ***DIRECCION.2 y ***DIRECCION.1 Desde que dejó de ser cliente del denunciado, aproximadamente cada 2 o 3 meses recibe visitas de comerciales de dicha compañía. En octubre de 2017 solicitó por correo electrónico la oposición al tratamiento de sus datos personales a esta compañía, facilitando copia de su DNI y alegando que recibe continuas visitas de comerciales obteniendo respuesta de la misma, en el sentido de que procedían a atender su solicitud. El denunciante no comunicó a la entidad denunciada que fue titular de dos contratos ni los domicilios de los suministros. A pesar de ello con fecha 5 de febrero de 2018 se ha vuelto a presentar otro comercial de la citada compañía en su domicilio, portando sus datos de carácter personal. Y, entre otra, anexa la siguiente documentación: Copia de la factura emitida por la compañía denunciada correspondiente a febrero de 2016 en la que consta el denunciante como titular del contrato, así como destinatario de la factura y dirección de envío y suministro ***DIRECCION.2. Copia de la factura emitida por la compañía denunciada correspondiente a febrero de 2016 en la que consta el denunciante como titular del contrato y un tercero como destinatario de la factura (D. B.B.B.) y dirección de suministro y envío ***DIRECCION.1. Copia del correo electrónico remitido a la entidad denunciada con fecha 9 de octubre de 2017 en el que ejerce derecho de oposición al tratamiento de datos personales adjuntando copia del DNI pero sin informar de los contratos de los que fue titular o de las direcciones de suministro; y la respuesta dada por el representante de la compañía con fecha 18 de octubre de 2017 informando de que han procedido a atender su solicitud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Copia del correo electrónico remitido a la entidad denunciada con fecha 5 de febrero de 2018 en el que manifiesta que ha vuelto recibir una visita comercial de ENDESA en su domicilio y aporta copia de una cara del DNI de la comercial que, según manifiesta, se ha personado en su domicilio. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El denunciante aporta copia de la factura de suministro de electricidad de la compañía denunciada correspondiente a febrero de 2016 en la que consta como titular del contrato el denunciante y como destinatario el mismo y dirección de envío y suministro ***DIRECCION.2. También aporta copia de la factura de suministro de electricidad de la compañía denunciada correspondiente a febrero de 2016 en la que consta como titular del contrato el denunciante y como destinatario un tercero (D. B.B.B.) y dirección de suministro y envío ***DIRECCION.1. 2. En el correo electrónico aportado, consta que está remitido desde la dirección ***EMAIL.1 a la entidad denunciada con fecha 10 de octubre de 2017 en el que ejerce derecho de oposición al tratamiento de datos personales del denunciante y la respuesta dada por el representante de la compañía con fecha 18 de octubre de 2017 informando de que han procedido a atender su solicitud. 3. Del escrito de respuesta al requerimiento de la inspección de datos efectuado a la entidad denunciada se deprende que el fichero de clientes de la compañía no consta tratamientos de datos asociados al denunciante, ya que según manifiestan, procedieron a su bloqueo tras la solicitud realizada por el mismo el 9 de febrero de 2017, marcando además los datos como “Robinson”. El área de negocio de la compañía encargada de realizar las acciones comerciales en los domicilios se encarga de facilitar a los proveedores que prestan el servicio de venta excepto aquellos que estén marcados como “Robinson”. El citado área de negocio, catalogó el código CUPS de la vivienda sita en ***DIRECCION.) como “NO VISITABLE” en sus bases de datos. Aportan impresión de pantalla en la que consta los citados extremos. Así mismo aportan impresión de pantalla de que actualmente se ha catalogado el código CUPS de la vivienda sita en ***DIRECCION.1 como “NO VISITABLE” en sus bases de datos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 6 de la LOPD establece que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable de fichero excluirá del tratamiento los datos relativos al afectado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Por su parte el artículo 30.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD), en relación a los tratamientos de datos personales, con fines de publicidad y de prospección comercial, establece que: “Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” IV Por otro lado, el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) en el artículo 45.1
- b)establece que: “Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” Así mismo al regular el RLOPD en el Capítulo IV el Derecho de oposición, establece: “…Artículo 34. Derecho de oposición. El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
- a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8
- b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.
- c)Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento. Artículo 35. Ejercicio del derecho de oposición. 1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra
- a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo…” V La LOPD califica como infracción grave, tipificada en el artículo 44.3.b), la vulneración del principio del consentimiento (artículo 6) y sujeta a su régimen sancionador tanto a los responsables de los ficheros como a los encargados de tratamiento (artículo 43 LOPD). Ahora bien, la exigencia de responsabilidad sancionadora presupone la concurrencia de una conducta antijurídica descrita en el tipo sancionador y del elemento subjetivo de la infracción, pues rige en nuestro Derecho el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. A su vez, la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) proclama en el artículo 28.1 el principio de responsabilidad en el marco del procedimiento administrativo sancionador y dispone: “…Sólo podrán ser sancionadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa…” La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. Por tanto, a la luz de este precepto la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. Así, en la Sentencia de 17 de octubre de 2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “...el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva …” (El subrayado es de la Agencia ) VI La denuncia que nos ocupa versa sobre el tratamiento inconsentido de los datos personales del denunciante que la entidad denunciada ha realizado. Tratamiento materializado en la visita de un comercial al domicilio del mismo. A tenor de la documentación recabada durante las actuaciones de investigación previa debe acordarse el archivo de la presente denuncia por no concurrir en la actuación de la entidad denunciada el elemento subjetivo de la infracción necesario para que nazca la responsabilidad sancionadora. Teniendo en cuenta los documentos aportados a la Agencia por el denunciante: Copia de la factura emitida por la compañía denunciada correspondiente a febrero de 2016 en la que consta el denunciante como titular del contrato, así como destinatario de la factura y dirección de envío y suministro ***DIRECCION.2. Copia de la factura emitida por la compañía denunciada correspondiente a febrero de 2016 en la que consta el denunciante como titular del contrato y un tercero como destinatario de la factura (D. B.B.B.) y dirección de suministro y envío ***DIRECCION.1. Copia del correo electrónico remitido a la entidad denunciada con fecha 9 de octubre de 2017 en el que ejerce derecho de oposición al tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 personales adjuntando copia del DNI pero sin informar de los contratos de los que fue titular o de las direcciones de suministro; y la respuesta dada por el representante de la compañía con fecha 18 de octubre de 2017 informando de que han procedido a atender su solicitud. Así como las alegaciones y los documentos remitidos por la entidad denunciada: El área de negocio de la compañía encargada de realizar las acciones comerciales en los domicilios se encarga de facilitar a los proveedores que prestan el servicio de venta excepto aquellos que estén marcados como “Robinson”. El citado área de negocio catalogó el código CUPS de la vivienda sita en ***DIRECCION.2 como “NO VISITABLE” en sus bases de datos. Aportan impresión de pantalla en la que consta los citados extremos. Así mismo aportan impresión de pantalla de que actualmente se ha catalogado el código CUPS de la vivienda sita en ***DIRECCION.1 como “NO VISITABLE” en sus bases de datos. Por otro lado, hay que señalar que el Real Decreto-ley 15/2018, de 5 de octubre, de medidas urgentes para la transición energética y la protección de los consumidores, establece en su art. 12: <<…Modificación de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico. Se modifica la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico en los siguientes aspectos: Uno. Se añaden los siguientes apartados al artículo 46 con la siguiente redacción: «
- r)Las comercializadoras eléctricas no podrán realizar publicidad no solicitada en visitas domiciliarias sobre sus productos, excepto en el caso de que el destinatario haya solicitado por iniciativa propia recibir información sobre el servicio por dicho medio. La entidad anunciante será considerada la responsable del cumplimiento del presente apartado.
- s)Las comercializadoras eléctricas no podrán realizar prácticas de contratación en los domicilios de los clientes de forma directa, salvo que exista una petición expresa por parte del cliente y a propia iniciativa para establecer la cita.»…>> No cabe por ello apreciar culpabilidad alguna en la actuación de la entidad denunciada, que trató los datos personales del denunciante sin detectar que había sido titular de dos contratos con dicha entidad, al no reflejar dicho dato en la solicitud de oposición y no indicar tampoco los domicilios de los mismos. Toda vez que en el presente caso está acreditado que la entidad denunciada actuó con la diligencia que era procedente, así como que actualmente ha marcado ambos contratos como no visitables en sus bases de datos, por todo ello se debe proceder al archivo de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a ENDESA ENERGÍA, S.A.U. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es