E-04422-2016

1/6 Expediente Nº: E/04422/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ENDESA ENERGÍA, S.A.U., en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 29/06/2016, tuvo entrada en esta Agencia un escrito de D.ª A.A.A. (en lo sucesivo la denunciante) en el que expone que desde abril de 2016 le están llegando facturas -y sus correspondientes cargos en su cuenta bancaria- emitidas por ENDESA ENERGÍA, S.A.U., (en adelante, ENDESA o la denunciada) entidad con la que nunca ha tenido contratado el suministro de gas ya que siempre ha sido cliente de GAS NATURAL. Añade que solicitó a ENDESA la copia del contrato que supuestamente suscribió con ella y en respuesta a su petición le ha facilitado un documento en el que no consta su firma. Indica que ha interpuesto la pertinente denuncia por estos hechos ante la oficina de consumo. La denunciante remitió a la AEPD en fecha 30/08/2016, en respuesta al requerimiento informativo de la Inspección de Datos, copia de los documentos siguientes: - Carta recibida de CIR, S.L., Compañía de Investigación y Recobro, S.L., de fecha 18/07/2016, en la que en nombre de ENDESA le reclaman una deuda de 153,79 euros. - Copia de un documento con el anagrama de ENDESA que lleva por rúbrica “Condiciones Particulares del Contrato de Suministro de Gas Natural”. Tiene fecha de 21/03/2016 y en él constan el nombre, apellidos y NIF de la denunciante. La dirección postal y el teléfono móvil coinciden con los que la denunciante hizo constar en el escrito de denuncia presentado en la AEPD. Figuran también los veinte dígitos que identifican una cuenta bancaria en la entidad financiera 1465 y un número de CUPs. En el apartado destinado a la firma del cliente no hay ninguna. La denunciante manifiesta que lo recibió por email en respuesta a una solicitud efectuada a ENDESA por teléfono. - Carta de fecha 16/062016, remitida por ENDESA, referencia ***REF.1, en la que comunican a la denunciante que le envían una copia del contrato de gas donde podrá consultar las condiciones particulares y generales. La carta va acompañada de dos ejemplares de Condiciones Particulares de un contrato de suministro de gas natural: Una con número de contrato ***CONT.1, de fecha 03/11/2009, en el que no consta firma alguna en el apartado firma cliente. Otro ejemplar con número de referencia ***REF.1, de fecha 20/03/2016 que también carece de la firma de la denunciante. - Formulario de la reclamación presentada en la Oficina de Consumo de la Generalitat y copia de un email enviado a la denunciante en el que le confirman C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 - la recepción de su reclamación en fecha 17/06/

1. Copia de varias facturas de ENDESA en las que figura como destinataria el nombre y domicilio de la denunciante: • Factura número ***FACT.1, emitida el 18/04/2016, correspondiente al periodo de consumo del 21/03/2016 al 09/04/
2. • Factura número ***FACT.2, emitida el 26/05/2016, siendo el periodo de facturación del 21/03/2016 al 09/04/
3. Se hace constar que esta factura anula a la anterior. • Factura ***FACT.3, emitida el 26/05/2016, siendo el periodo de facturación del /03/2016 al 09/04/
4. Se hace constar en la factura que ésta anula a la anterior. • Factura ***FACT.4, emitida el 09/06/2016 siendo el periodo de facturación del 09/04/2016 al 09/06/
5. • Factura ***FACT.5, emitida el 23/06/2016, siendo el periodo de facturación del 09/06/2016 al 15/
6. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos: << RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En relación con la contratación de gas los representantes de la entidad manifiestan que se trata de una contratación realizada el 24 de febrero de 2016, a través de dispositivo electrónico (tablet) y formalizada por la entidad COMBRAY SOLUTIONS. S.L. con ***CIF.1 y con domicilio en la (C/...1). Barcelona Facilitan copia del contrato de gas y electricidad junto con fotografía del DNI de la Sra. A.A.A. así como de una factura emitida por su anterior suministrador, recabados por Combray en el momento de la suscripción del citado contrato. Los contratos facilitados a la interesada por correo electrónico son una impresión extraída del sistema comercial de Endesa de las Condiciones particulares del contrato de suministro de gas natural, por lo que no contiene la firma del cliente, no se trata del contrato formalizado por la interesada que fue realizado mediante dispositivo electrónico. Con motivo de una reclamación efectuada por la Sra. A.A.A. ante consumo en fecha 17/06/2016, que envió a Endesa un requerimiento de información con registro de salida 03/08/2016, se procedió al análisis de la misma por parte de esta sociedad y como el equipo encargado de su tramitación no había recibido la copia de la documentación contractual (factura, DNI, contrato), se procedió a estimar la misma, verificando que la contratación estaba de baja y anulando el cobro de la facturación generada así como el expediente de recobro generado. El suministro de gas entró en vigor el 21 de marzo de 2016, causando baja el 9 de abril de 2016 con motivo del cambio de empresa comercializadora realizado por la interesada. La baja del mantenimiento se produce a raíz de la solicitud efectuada por la interesada el 15 de junio de 2016 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Según manifiestan los representantes de la entidad exoneró a la interesada del pago de las facturas. Por último, en cuanto al expediente de recobro que dio lugar al requerimiento de pago de fecha 18/07/2016 los representantes de la entidad manifiestan que se produjo con anterioridad a la reclamación presentada ante consumo el 17/06/
7. La carta remitida por la entidad CIR, S.L. reclamando el pago de las facturas emitidas y pendientes por importe de 153,79 es de fecha 18 de julio de 2016 mientras que la fecha de registro de salida de la reclamación enviada a Endesa es de 3 de agosto de 2016>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) establece: "Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso." II El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado”, dispone: “
8. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
9. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6.1 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos conforme al cual el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 III La denuncia que examinamos versa sobre el tratamiento de los datos personales de la denunciante efectuado por ENDESA, presuntamente sin su consentimiento, materializado en el alta a su nombre de dos contratos -de suministro de gas y de mantenimiento- así como en la emisión a su nombre de las correspondientes facturas giradas contra su cuenta bancaria y en el requerimiento por empresas gestoras de cobro, que actuaron como encargadas de tratamiento de la denunciada, de la deuda que resultó impagada. Es preciso indicar en primer término que la competencia atribuida a la Agencia Española de Protección de Datos por la LOPD se ciñe a velar por el cumplimiento de la normativa reguladora de este derecho fundamental, sin que la Agencia tenga habilitación para entrar en cuestiones de otra naturaleza. Así pues, por lo que atañe al asunto que nos ocupa, la AEPD ha de verificar únicamente si ENDESA, responsable del fichero al que se incorporaron los datos personales de la afectada, contaba con el consentimiento inequívoco de su titular para efectuar dicho tratamiento. La denunciante niega haber celebrado contrato alguno con ENDESA. El criterio que de manera uniforme viene manteniendo la Audiencia Nacional respecto a la carga de la prueba del consentimiento es que negado aquél por el titular de los datos recae sobre el responsable del tratamiento la obligación de acreditar que lo recabó y obtuvo del titular. Pueden citarse a estos efectos dos Sentencias especialmente significativas: SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de Derecho Cuarto dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Más antigua es la SAN de 11/05/2001 en la que el Tribunal señaló que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (el subrayado es de la Agencia Española de Protección de Datos) ENDESA, en respuesta al requerimiento informativo de la Inspección de Datos, ha aportado los documentos que evidencian que recabó y obtuvo de la afectada (titular de los datos personales que han sido objeto de tratamiento por dicha entidad) la documentación que demuestra que obró con la diligencia que las circunstancias del caso exigían para dar cumplimiento a las obligaciones impuestas por la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 ENDESA ha declarado que la contratación a nombre de la denunciante se efectuó el 24/02/2016 por medio de la empresa COMBRAY SOLUTIONS, S.L., a través de un dispositivo electrónico “Tablet”. Aporta a tal fin una impresión de pantalla de un formulario que lleva el anagrama de ENDESA relativo a la contratación del suministro energético de gas y del servicio de mantenimiento de gas y asistencia, que se encuentra firmado por la denunciante. El documento tiene fecha de 24/02/2016 y el código ***CODIGO.
10. Asimismo se aporta una copia del DNI de la denunciante –que coincide con el que ella ha facilitado a la AEPD con su denuncia-. La entidad denunciada ha aportado también copia de una factura emitida por la empresa GAS NATURAL –que es la entidad con la que la denunciante afirma tener contratado el suministro- con fecha de emisión 15/01/2016 (número B.B.B.). En ella se observa que en el apartado datos bancarios, cuyos cuatro últimos dígitos están anonimizados, constan éstos de forma manuscrita. Declara ENDESA que estos documentos fueron obtenidos por el empleado de la empresa COMBRAY SOLUTIONS, S.L., Añade que recibida la reclamación que la denunciante presentó en la entidad se procedió a su análisis y al comprobar que no se había recibido la copia de tales documentos por parte de la COMBRAY SOLUTIONS, S.L., se optó por estimar la reclamación y se anuló la facturación y el expediente de recobro generado. La denunciada ha invocado en que solicitó a ENDESA una copia del contrato y que la entidad le remitió un documento con sus datos personales en el que no constaba su firma. Sobre ese particular ENDESA ha explicado que el documento que se envió a la denunciada es “una impresión extraída del sistema comercial de Endesa de las Condiciones particulares del contrato de suministro de gas natural, conforme se indica en el encabezamiento del mismo, de ahí, que no contenga la firma del cliente”. Finalmente, a propósito de la carta que la denunciante recibió de la empresa “CIR”, Cía de Investigación y Recobro, S.L., de fecha 18/07/2016, en la que le requerían el pago de una deuda en nombre de ENDESA, subrayar que desde el punto de vista de la normativa de protección de datos de carácter personal el tratamiento efectuado es plenamente legítimo ya que se infiere de la documentación aportada que esa entidad actuó como encargada de tratamiento de ENDESA. En tal sentido, señalar que el artículo 12 de la LOPD “Acceso a los datos por cuenta de terceros” dispone en su apartado 1: “No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento”. De la exposición precedente se concluye que ENDESA ha aportado los documentos que prueban la existencia de un contrato celebrado con ella por la afectada, de manera que el tratamiento de sus datos personales estaría amparado en el artículo 6.2 LOPD, conforme al cual no es necesario recabar el consentimiento cuando los datos de carácter personal se refieran a las partes de un contrato y sean necesarios para su mantenimiento o cumplimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ENDESA ENERGÍA, S.A.U. y D.ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es