E-04931-2013

1/6 Expediente Nº: E/04931/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ENDESA ENERGÍA, S.A. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de julio de 2013, tuvo entrada en esta Agencia escrito de D./Dña. A.A.A. (en lo sucesivo el denunciante) ENDESA ENERGÍA, S.A. en lo sucesivo la denunciada) en el que denuncia el tratamiento de sus datos personales para el cambio de suministro de energía eléctrica, sin consentimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. De esas actuaciones se significa lo siguiente: Con fecha 16 de septiembre de 2013 se solicita a ENDESA ENERGIA, S.A.U, documentación relativa a D. A.A.A.. Se recepciona la “entrega domiciliaria” el 25 de septiembre de 2013. 1. Con fecha 27 de septiembre de 2013 se recibe en este Ente escrito nº *****, por el que se solicita ampliación del plazo otorgado para proporcionar la información solicitada, cinco días hábiles. 2. Con fecha 9 de octubre de 2013 se recibe en esta Agencia escrito nº registro 405926, con contestación a la petición de documentación y copias adjuntas. Se aporta lo siguiente: . Copia del contrato solicitado, con fecha y firma, 21 de noviembre de 2012. Con datos del titular, A.A.A., NIF ***NIF.1 y datos punto del suministro (C/..........................1) (Burgos). Código *****, ***NEGOCIO.1 y CUPS *******************. . Grabación telefónica, por quien dice ser A.A.A., haber suscrito el contrato de suministro el 21 de noviembre de 2012 y para el tipo de negocio, ***NEGOCIO.1. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, se debe acreditar que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. IV En el presente caso se procede a analizar la denuncia presentada en fecha 24 de julio de 2013 en esta Agencia, por la que el denunciante manifiesta que ENDESA ENERGÍA, S.A.U. trató sus datos personales, sin consentimiento, para un cambio de suministro de energía eléctrica. Entre la documentación presentada por la entidad denunciada, se aporta contrato con fecha y firma del titular para el punto de suministro al caso, y grabación de la contratación en la que el cliente confirma la identidad y el tipo de negocio, ***NEGOCIO.1. Así, y en relación con el principio de culpabilidad, en virtud del cual sólo pueden ser sancionadas, por hechos constitutivos de infracción administrativa, las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia—ex art. 130 Ley 30/92, 26 de noviembre-- se puede entender que ENDESA ENERGÍA, S.A.U. empleó una razonable diligencia en la contratación ya que ha aportado contrato y grabación de la contratación con el cliente. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por ello, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. La Sala de la AN ha mantenido (sentencia de 20 septiembre de 2006 (Rec. 626/2004 )) que la concurrencia del consentimiento inequívoco del afectado que exige el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 artículo 6.1 de la LOPD para el tratamiento de datos de carácter personal por parte de un tercero, se ha de acreditar, en el caso de que dicho interesado alegue que no dio ese consentimiento, por ese sujeto que realiza el tratamiento, y ello a través de los medios previstos legalmente a tal fin; por lo que corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la ley, sólo el consentimiento justifica o legitima el tratamiento. A mayor abundamiento, el TS (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. En este caso no concurre tampoco el elemento subjetivo de la culpabilidad, al actuar en todo momento la Entidad denunciada bajo la apariencia de contratación legal realizada por un tercero (que actuaba de forma fraudulenta y cuyo conocimiento entra dentro de la esfera de competencias del orden jurisdiccional penal, en su caso).” En el mismo sentido la Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (...) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de una contratación fraudulenta, cuestión ésta que compete resolver, en su caso, a otros órdenes jurisdiccionales” y añade que el elemento central de debate “no es la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. Las circunstancias apuntadas dotan a la contratación por parte de la entidad denunciada de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. V En relación con esta cuestión, se debe recordar que el artículo 2.1 de la LOPD, dispone que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”, siendo datos de carácter personal, conforme al artículo 3
2. a)de la Ley, “Cualquier información concerniente a personas físicas identificadas o identificables”. Por este motivo, el artículo 2 del Reglamento de desarrollo de la LOPD, aprobado por Real decreto 1720/2007, de 21 de diciembre (RLOPD), cita en su primer inciso, que “Este Reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas”. Por su parte, cuando el titular del local en cuestión fuera un empresario individual, el artículo 2.3 del Reglamento establece que “los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal”. En relación con este precepto, se debe tener en cuenta que la Agencia Española de Protección de Datos ha interpretado su contenido en numerosos informes, a partir del emitido en fecha 28 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 febrero de 2008, en que se concluye lo siguiente: “- Cabrá considerar que la legislación de protección de datos no es aplicable en los supuestos en los que los datos del comerciante sometidos a tratamiento hacen referencia únicamente al mismo en su condición de comerciante, industrial o naviero; es decir, a su actividad empresarial. - Al propio tiempo, el uso de los datos deberá quedar limitado a las actividades empresariales; es decir, el sujeto respecto del que pretende llevarse a cabo el tratamiento es la empresa constituida por el comerciante industrial o naviero y no el empresario mismo que la hubiese constituido. Si la utilización de dichos datos se produjera en relación con un ámbito distinto quedaría plenamente sometida a las disposiciones de la Ley Orgánica. En el presente supuesto, el tratamiento de los datos se refiere a los de “… ***NEGOCIO.1”, según consta en el HECHO SEGUNDO. 2, de esta Resolución, derivado de las actuaciones previas de investigación, constatado por el contrato firmado y la grabación que se remite a este Ente, en formato CD. De modo que los datos facilitados irían siempre referidos al concreto local comercial al que se refiere la actividad empresarial del titular quien desarrollaría la venta de pan y cierto tipo de alimentos, resultando únicamente relevante la condición de comerciante, el afectado, y encontrándose los datos a los que se refiere la denuncia, excluidos del ámbito de la LOPD. A tal efecto, se debe recordar que en el informe, redactado por esta Agencia, de fecha 27 de junio de 2001, se resumía la jurisprudencia del Tribunal Supremo, al reconocer la naturaleza dual de las oficinas de farmacia, y citar explícitamente a los locales de negocio. “Así, en primer lugar, la Sentencia de la Sala de lo Civil del Tribunal Supremo de 26 de febrero de 1979, señala en su considerando segundo que “las farmacias son locales de negocio, como así lo tiene declarado la Jurisprudencia de esta Sala en sentencias de 24 enero 1953, 31 enero 1962 y 25 marzo 1964, al afirmar que en ellas se realiza, con establecimiento abierto, una actividad comercial…función esta propia del Código de Comercio en cuanto va incluida en el concepto de actos mercantiles que define el art. 325 del mismo… considerando que la oficina de farmacia comprende “no sólo el local y elementos accesorios del mismo, sino, como la sentencia recurrida expresa al aceptar el considerando de la de primer grado que así lo dice, el negocio o empresa comprensivo de las existencias, clientela, derecho de traspaso y demás que del mismo deriven, siendo dicho local y elementos accesorios el soporte físico de esa actividad negocial” Con mayor concreción, si cabe, la Sentencia de la Sala de lo ContenciosoAdministrativo del Tribunal Supremo de 27 de noviembre de 1998 (Art.9143), señala en su Fundamento de Derecho segundo, de forma terminante que “en cuanto titular de una oficina de farmacia, el farmacéutico actúa como profesional de la sanidad, pero también asume la condición de titular de una actividad comercial”, ahondando en este criterio por el hecho de que “el Real Decreto Legislativo 1175/1990, de 28 septiembre, por el que se aprueban las tarifas del Impuesto sobre Actividades Económicas y la instrucción para su aplicación, contiene en su sección primera «Actividades empresariales: industriales, comerciales, de servicios y mineras», dentro del Grupo 652, el Epígrafe 652.1 «Farmacias: Comercio al por menor de medicamentos, productos sanitarios y de higiene personal»”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 VI Consecuencia de las pruebas aportadas al expediente, copia del contrato y grabación aportada en formado CD, se comprueba que los datos tratados se refieren a local comercial, por lo que se debe reiterar la opinión de esta Agencia, ya manifestada a lo largo de su devenir en la protección de datos personales, en el sentido de considerar que el tratamiento de los datos referidos a un establecimiento mercantil no se encuentra sometido a las disposiciones de la LOPD y su reglamento de desarrollo, RLOPD, y que no es posible incardinar los hechos valorados en algún supuesto previsto en el Titulo VII de la citada LOPD, que recoge las infracciones y sanciones aplicables al tratamiento de datos de carácter personal. Por lo tanto, de acuerdo con todo lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ENDESA ENERGIA, S.A.U. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es