E-05992-2013

1/9 Expediente Nº: E/05992/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U., en virtud de denuncia presentada por C.C.C. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 04/09/2013 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de C.C.C. (en lo sucesivo la denunciante) en el que manifiesta que el 26/08/2013, al acceder a la oficina virtual de IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U.,(en lo sucesivo IBERCUR o la denunciada), entidad de la que es cliente y a cuya Oficina Virtual viene accediendo desde el año 2010, se percató de varias irregularidades: podía visualizar los datos personales de un tercero (nombre, apellidos, DNI, teléfono, fecha de alta del contrato, dirección del punto de suministro y número de CUPs) y su contrato con IBERCUR estaba asociado al nombre de esa tercera persona, asociación que también aparece en la factura de 09/08/2013 en la que consta el nombre del tercero. Aporta con su denuncia impresiones de pantalla obtenidas el 03/09/2013 de la Oficina Virtual de la entidad denunciada correspondientes a los epígrafes “datos personales”, “suscripciones activas” y “facturas”. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se practicaron actuaciones de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se reflejan en el Informe de de Actuaciones Previas de Investigación que se reproduce: <<ANTECEDENTES Con fecha de 4 de septiembre de 2013 tiene entrada en esta Agencia un escrito de C.C.C. en el que declara el 26 de agosto de 2013 comprueba que al entrar al área de cliente en www.iberdrola.es, observa varias irregularidades:  junto a su punto de suministro aparece un segundo punto correspondiente a una dirección de I.I.I., Madrid.  Al descargar la última factura (de los meses de julio y agosto) desde el enlace de su contrato ( H.H.H.), ésta viene a nombre de una tercera persona ( B.B.B.), que debe ser la titular del punto de suministro en I.I.I., pero el domicilio que figura y la cuenta corriente a la que ha sido pasada la factura son suyas.  Pinchando sobre su contrato ( H.H.H.) figuran como titular del mismo ( B.B.B.). Manifiesta haberse puesto en contacto con Atención al Usuario y haber enviado un correo electrónico al que le contestan por la misma vía que se había producido un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 cambio de titularidad erróneo y que ha quedado solucionado, remitiéndole una solicitud de oferta de electricidad cumplimentada con sus datos, solicitud que no ha realizado. Indica que después de tres correos más y nuevas llamadas telefónicas la situación es la siguiente en su área de cliente:  En el enlace Datos personales: todos los datos son correctos: nombre, NIF, dirección, teléfono, correo electrónico son los suyos.  En el enlace Suscripciones activas, sólo aparece como punto de suministro el domicilio situado en I.I.I.. Su domicilio y por consiguiente su contrato ha desaparecido.  El enlace del número de referencia del contrato permite gestionar todo lo referente al contrato que cada titular tiene. En este caso al pinchar sobre G.G.G., tiene acceso a toda la información de la persona, que supone es la titular del mismo, pudiendo consultar e incluso modificar datos personales y bancarios de esta persona ( B.B.B.).  No sabe dónde ni quién puede tener acceso a los datos de su contrato ( H.H.H.) Aporta impresiones de fecha 03/09/2013 del área de clientes que visualiza donde se aprecia en “Datos personales” sus datos personales, pero en “suscripciones activas” figura un punto de suministro G.G.G. de I.I.I. y en “datos del contrato” de “suscripciones” visualiza los datos de B.B.B. junto con los del contrato. Aporta también copia de factura de fecha de emisión 9/08/2013 donde se muestra el nombre de B.B.B. como destinataria de la factura con la dirección de la denunciante, y su contrato H.H.H. E.E.E. Realizada una inspección a IBERDROLA COMERCIALIZACION ULTIMO RECURSO, SAU (en adelante IBERCUR), se ponen de manifiesto los siguientes hechos:

1. Los inspectores de la Agencia solicitan el acceso a los Sistemas de Información de Clientes de la entidad realizando las siguientes comprobaciones : 1.
2. Se realiza una búsqueda del cliente con DNI información respecto al cliente B.B.B.. A.A.A., encontrándose Se verifica que su dirección de correspondencia es de I.I.I.. Se verifica que en el campo “FE” no consta ningún literal que según manifestaciones de los representantes de la entidad significa que este cliente recibe las facturas por correo postal en su domicilio y no recibe facturas electrónicas. Se comprueba que la cuenta bancaria de domiciliación de los recibos es de la entidad número “2100” (LA CAIXA), anonimizándose el resto de los dígitos de la cuenta corriente en la impresión. Se verifica que no constan registradas reclamaciones por parte de esta cliente. Se realiza una búsqueda del cliente con DNI J.J.J., encontrándose información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 respecto al cliente C.C.C.. Se verifica que su dirección de correspondencia es en el municipio de Madrid. Se verifica que recibió facturas electrónicas, aunque ya no las recibe, al aparecer el campo “FE” con el literal OVC. Según manifestaciones de los representantes de la entidad se dio de baja en la facturación electrónica el 11/09/
3. Se comprueba que la cuenta bancaria de domiciliación de los recibos es de la entidad número “ M.M.M.” (BANKIA). 1.
4. Se solicita a los representantes de la entidad que aporten impresión de las reclamaciones interpuestas por la afectada, facilitando éstos un documento que refleja una reclamación presencial de fecha 03/09/2013 en la que la cliente expone que cuando accede con su clave a través de Internet le salen los datos de otro cliente y otra reclamación por correo electrónico de fecha 05/09/2013 en el que vuelve a informarles de las incidencias en el acceso a sus datos por medio de Internet. Con fecha 16/09/2013 acusan recibo de sus reclamaciones informando que están analizándolas. Con fecha 02/10/2013 remiten una carta a la afectada informando de la resolución de la incidencia, así como que ya puede acceder a sus datos utilizando su código de usuario y contraseña. 1.
5. Se solicita a los representantes de la entidad acceso al sistema de facturación, obteniendo impresión de las facturas correspondientes a las fechas de emisión 14/06/2013, 09/08/2013 y 10/10/
7. A la vista de las comprobaciones realizadas los representantes de la entidad realizan las siguientes manifestaciones: 2.
8. En julio de 2013, D.D.D. solicitó una oferta de descuento por Internet, facilitando su número de teléfono y solicitando contacto. Contactada la cliente por un agente comercial, la oferta fue realizada y la aceptó, por lo que se procedió a realizar la grabación de la contratación. Dicha grabación muestra como la interesada facilita sus datos personales a solicitud del agente, facilitando el número “ A.A.A.”. Durante la conversación grabada, el agente solicita la confirmación de los datos y el DNI facilitado es confirmado. Sin embargo, este DNI no correspondía con el suyo, siendo el correcto “ J.J.J.”. 2.
9. Al grabar el contrato en el sistema de información surgió un incidente ya que al introducir el número de DNI facilitado por la cliente la letra de control que salía era “R”. El operador grabador de los datos interpretó que, ya que la cliente había facilitado y confirmado el número “ A.A.A.”, éste era el correcto, asociándole el digito de control “R”. En el sistema de información figuraba asociado al DNI “ A.A.A.” el cliente B.B.B., por lo que los contratos de ambos clientes quedaron unificados con este DNI. No obstante, al ir a dar de alta el contrato fue dado de baja por inconsistencia del DNI, pero no se desunificaron los clientes. 2.
10. De este modo, a pesar de no haberse dado de alta el nuevo servicio, el servicio anterior contratado por la afectada quedo asociado al DNI “ A.A.A.”, y por este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 motivo al entrar en la oficina virtual pudo ver los datos de la otra clienta. No obstante, este hecho se produjo en el periodo de tiempo reducido comprendido entre la grabación de los datos del nuevo contrato y la resolución de la incidencia, el 2/10/
11. B.B.B. no tuvo acceso a las facturas ni datos de la denunciante, ya que sólo recibía por correo postal las facturas del contrato que tenía activo. En cuanto a las facturas visualizadas por la denunciante, sólo pudo ver de forma incorrecta la de fecha de emisión 09/08/2013, si bien esta factura correspondía con su contrato y suministro, estando únicamente cambiados los nombre del titular del contrato “ A.A.A.”. El resto de los datos que se visualizaban, incluida la cuenta bancaria de cargo, eran sus propios datos. Al corregirse la unificación de los clientes el 02/10/2013, las facturas o duplicados de facturas que se pueden extraer del Sistema de Información ya se encuentran corregidos. 2.
12. En conclusión, el error procede de la confusión creada por la afectada al facilitar erróneamente su DNI, como puede verificarse en los minutos 12:30 y 17:20 de la grabación de la contratación de la oferta. Además, los datos de la denunciante nunca han sido accedidos por terceros, dado el modo en que se enviaban las facturas al otro cliente. Consta copia de la grabación de la contratación especificada en las presentes actuaciones adjunta al acta de inspección, y escuchada la misma se verifica que la denunciante facilita el número “ A.A.A.” en vez del correcto “ J.J.J.” y que el agente solicita la confirmación de los datos siendo estos confirmados.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El Título II de la LOPD, bajo la rúbrica “Principios de la protección de datos”, hace mención a los principios de exactitud o veracidad y al deber de secreto. El artículo 4.3 de la LOPD, bajo la rúbrica “calidad de los datos”, establece: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. El artículo 10 de la LOPD, del “Deber de secreto”, dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 titular del fichero, o en su caso, con el responsable del mismo”. La Audiencia Nacional, en diversas sentencias, ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la SAN de 25/07/2006 expone que “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios (..) de la LOPD definidos en la propia Ley”. Entre tales principios el artículo 4.3 de la Ley Orgánica 15/1999 se refiere al de exactitud o veracidad, corolario del principio de calidad del dato, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. La obligación que el artículo 10 de la LOPD impone al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de guardar secreto tiene como finalidad evitar que quienes estén en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. Respecto a esta obligación la Audiencia Nacional viene considerando que la infracción del artículo 10 LOPD es una infracción de resultado, por lo que su comisión requiere que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (por todas SAN de 11 de junio de 2009) III La denuncia que examinamos versa sobre la revelación a la denunciante por IBERCUR de los datos personales de uno de sus clientes. Datos de los que la denunciante tuvo un conocimiento efectivo el 26/08/2013, cuando entró en la Oficina Virtual de la entidad - a la que viene accediendo sin incidencias desde el año 2010, pues tiene factura electrónica- y visualizó los datos de L.L.L..: su DNI, teléfono, fecha de alta del contrato con IBERCUR, dirección del punto de suministro, número de CUPs y número de contrato. Las irregularidades que la denunciante constató al acceder a la Oficina Virtual fueron las siguientes, de las que aporta como prueba diversas impresiones de pantalla: En el apartado “datos personales” pudo visualizar los datos del tercero, L.L.L.., entre ellos su DNI, teléfono, dirección y correo electrónico. En el apartado “suscripciones activas” aparecía una referencia al contrato número G.G.G. al que la denunciante es ajena, y al que están asociados los datos personales de L.L.L.., y un punto de suministro y un número de CUPs que tampoco pertenece a la denunciante. En el apartado “facturación”, la factura de la denunciante de agosto de 2013 que aunque efectivamente correspondía a su contrato, número H.H.H., incorporaba el nombre y apellidos del tercero, L.L.L.., y su dirección postal si bien el número de CUPs y la cuenta bancaria de domiciliación eran los de la denunciante. Por tanto, la documentación facilitada a la AEPD con la denuncia permite constatar inicialmente que los datos de la denunciante que obraban en el fichero de IBERCUR no respondían al principio de calidad de los datos. Eran datos inexactos al haberse cruzado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 con datos de una tercera persona, también cliente de la denunciada, L.L.L.. Según las explicaciones ofrecidas por los responsables de la empresa denunciada durante la inspección practicada en su sede por el Servicio de Inspección de Datos de la AEPD, y como pudieron verificar los Inspectores, la inexactitud de los datos registrados en los ficheros de IBERCUR asociados a la denunciante tuvo su origen en la conducta de la propia denunciante, que facilitó a la denunciada en julio de 2013, como suyo, un DNI que no le pertenecía, un DNI erróneo, al contratar telefónicamente con ella un cambio de modalidad en el suministro de electricidad, abandonando la tarifa de último recurso que tenía hasta entonces y pasando a una tarifa de libre mercado. La consecuencia que deriva de que la denunciante hubiera facilitado como suyo un número erróneo (no así la letra) del DNI, número que pertenecía a L.L.L.., también cliente de la compañía, provocó que los contratos de ambos clientes quedaran unificados y asociados al citado número de DNI. Una vez volcados los nuevos datos en el sistema, el nuevo contrato al que la denunciante prestó el consentimiento telefónicamente se daría de baja por inconsistencia del DNI, pero los dos clientes (la denunciante y L.L.L..) continuaron estando asociados entre sí en los registros informáticos de la compañía y también los contratos de ambos; por lo que atañe a la denunciante el contrato que tenía desde
13. A este respecto, obra en poder de la AEPD la grabación de la conversación telefónica que la denunciante mantuvo con IBERCUR y en la que se puede apreciar que incurre en un error cuando facilita su número de DNI habiendo proporcionando como suyo el A.A.A. en lugar del correcto, el J.J.J.. Es cierto que la denunciante sí comunica la letra correcta, la “ E”, pero, según explicaciones de la entidad denunciada, el operador que grabó los datos, habida cuenta de que la denunciante le había facilitado y confirmado el número A.A.A., consideró que el error se había cometido en la letra y le asoció la que correspondía a ese número, la “R”. Por tanto, es la denunciante quien comete el error de facilitar a IBERCUR un dato inexacto, un número de DNI que no es el suyo. Esta inexactitud se trasladó a los ficheros de la compañía y provocó que el contrato que la denunciante tenía con la empresa denunciada se vinculara al nombre y apellidos de un tercero, L.L.L., y explica porqué cuando la denunciante accede a la Oficina Virtual puede visualizar en el apartado relativo a “suscripciones activas” una referencia al contrato número G.G.G., que es el número del contrato del tercero, y que al desplegar la información de este contrato pueda conocer todos los datos que sobre su titular estaban registrados en los ficheros de la entidad denunciada. Y explica también que en la factura de agosto de 2013 de la denunciante apareciera el nombre, apellidos y domicilio de L.L.L., porque esos eran los datos del titular del número del DNI que la denunciante facilito como suyo a la compañía. Llegados a este punto parece oportuno destacar que en virtud del principio de culpabilidad no es posible exigir responsabilidad sancionadora si no concurre en el sujeto infractor el elemento de la culpabilidad, entendida ésta en sentido amplio, es decir, culpabilidad en cualquiera de sus manifestaciones, ya sea culpa strictu sensu o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 negligencia, incluso culpa levísima, o ya sea dolo, pues en nuestro Derecho no tiene cabida la imposición de sanciones basadas en la responsabilidad objetiva. En este sentido el Tribunal Constitucional ( por todas, Sentencia 76/1999) ha manifestado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado, y que como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. El artículo 130.1 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, LRJPAC, incorpora el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. En el presente caso, la diligencia desplegada por IBERCUR priva a su conducta del elemento subjetivo de culpabilidad. A este respecto existen pruebas bastantes de que la denunciada ajustó su comportamiento a un protocolo de actuación que es plenamente respetuoso con la normativa de protección de datos, como lo evidencia que hubiera grabado la conversación telefónica que mantuvo con la denunciante y en la que ésta facilitaba sus datos personales y otorgaba su consentimiento a la contratación con IBERCUR de una nueva tarifa eléctrica (pasando a la modalidad de libre mercado desde la tarifa de último recurso que tenía inicialmente contratada) y que hubiera conservado esta grabación al efecto de realizar las oportunas comprobaciones. También es relevante la circunstancia de que el teleoperador que atendió a la denunciante hubiera reconfirmado con ella el número de DNI que le facilitó. Y finalmente, incide también en la valoración de la actuación de IBERCUR, en la que no se aprecia falta de diligencia, la rápida reacción desplegada por la entidad al objeto de poner fin a la situación irregular provocada por el error cometido por la denunciante de facilitar un número de DNI erróneo. En este sentido, durante la inspección practicada en la sede de la compañía se constató que en sus ficheros hay referencia a dos reclamaciones escritas de la denunciante, de fechas 03/09/2013 y 05/09/2013, y que en fecha 16/09/2013 IBERCUR le respondió informándole que estaba analizando su reclamación e investigando los hechos y que en fecha 02/10/2013 la incidencia había quedado totalmente resuelta. Debe precisarse, asimismo, que de haber intervenido culpa de la entidad denunciada que permitiera subsumir las conductas examinadas en los tipos sancionadores de los artículos 44.3.c) y 44.3.d) de la LOPD, por infracción, respectivamente, del principio de calidad de los datos y de deber de secreto, entre ambas infracciones habría un concurso medial previsto en el artículo 4.4 del Real Decreto 1398/1993, Por ello, las mismas razones que conducen a no apreciar responsabilidad sancionadora de IBERCUR por una infracción del artículo 4.3 LOPD conducen a idéntica consideración respecto a una eventual infracción del artículo 10 de la citada norma pues C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 la primera de éstas sería medio indispensable para la comisión de la segunda. Si bien es cierto que los ficheros de la entidad denunciada incorporaron datos inexactos asociados a la denunciante y que ésta tuvo conocimiento de datos personales de otro cliente de la compañía, ninguna responsabilidad sancionadora cabe exigir a IBERCUR por vulneración del artículo 4.3 de la LOPD (infracción tipificada en el artículo 44.3.c,) ni tampoco por una vulneración del deber de guardar secreto del artículo 10 de la citada Ley Orgánica, (infracción tipificada en su artículo 44.3.d,), porque de proceder así esta Agencia iría en contra del principio de culpabilidad, al hacer derivar la responsabilidad únicamente de la producción de un resultado dañoso o antijurídico. En definitiva, de acuerdo con la documentación que obra en el expediente, tanto la aportada por la denunciante como la recabada en las Actuaciones Previas de Inspección, procede el archivo de las presentes actuaciones seguidas contra IBERCUR ante la ausencia del elemento subjetivo de la culpabilidad en los hechos analizados. Por más que las conductas examinadas puedan coincidir, a priori, con alguno de los tipos sancionadores previstos en la LOPD, tales conductas no son merecedoras de reproche o sanción administrativa con arreglo a la LOPD, toda vez que, como ha declarado el Tribunal Constitucional (por todas STC 76/1999) es esencial la presencia del elemento subjetivo de la infracción para exigir responsabilidad en el marco del Derecho Administrativo sancionador. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
14. PROCEDER AL ARCHIVO de las presentes actuaciones.
15. NOTIFICAR la presente Resolución a IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U., y a C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es