E-06185-2012

1/6 Expediente Nº: E/06185/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad GAS NATURAL SERVICIOS SDG, S.A en virtud de denuncia presentada por B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 30 de abril de 2012 tiene entrada en esta Agencia un escrito de B.B.B. en el que declara que GAS NATURAL SERVICIOS ha dado de alta un contrato de suministro de gas sin su consentimiento y de manera fraudulenta, ya que el comercial se hizo pasar por un empleado de IBERDROLA. Envió un burofax en el plazo estipulado para cancelarlo. Le informaron de que ya estaba todo solucionado pero no cancelaron sus datos y posteriormente ha estado recibiendo facturas de Gas Natural. Con fecha 3 de agosto de 2012 B.B.B. remite mediante correo electrónico recurso de reposición, indicando que sí ha ejercido su derecho de cancelación pero que GAS NATURAL no sólo no ha cancelado sus datos, sino que los ha cedido a un despacho de abogados, ante el que ha solicitado la cancelación también, pero no le han respondido. Mediante resolución del Director RR/614/2012, se decide estimar su recurso y se ordena la apertura de actuaciones previas de investigación en el marco del nuevo expediente E/6185/

1. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 30 de octubre de 2012 se solicita a GAS NATURAL SEVICIOS SDG la siguiente información relativa a B.B.B. y de su respuesta y de su respuesta se desprende: - Respecto de los productos que constan de alta a su nombre: La entidad aporta fotocopia del contrato firmado el 11/11/2011 de suministro de gas. Aporta además fotocopia del DNI. El servicio fue dado de alta el 24/11/2011 y de baja 21/01/
2. Se aporta imagen de sus sistemas donde se reflejan estas fechas. - Se aporta duplicado de las facturas emitidas. Han sido anuladas. - Aportan copia del expediente en papel que consta en la entidad y que recoge las reclamaciones efectuadas por el afectado y se observa lo siguiente: Se aporta una reclamación con sello de entrada en la entidad de 26/03/
3. En dicha reclamación el denunciante manifiesta que no tienen ningún contrato vigente con ellos, ni lo ha tenido en el periodo del que le reclaman el pago de una factura. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Solicita además la cancelación de sus datos y aporta copia de su DNI. Se adjunta copia de la carta de respuesta de Gas Natural, de 28/03/2012, en la que se le informa que con esa misma fecha se ha procedido a cancelar su autorización de cesión de datos personales a terceros y que sus datos se encuentran bloqueados hasta que finalice el plazo que establece la legislación vigente. Se aporta otro escrito de reclamación, de fecha 12/04/2012, en el que se denuncia que ha recibido un requerimiento de pago con posterioridad al bloqueo de sus datos, que también se acompaña. Se aporta copia de una carta, de 08/10/2012, en la que reclama que le envíen una copia del contrato firmada. Con fecha 19/10/2012 Gas Natural responde y remite una copia de este contrato. Finalmente se aporta una carta del denunciante en el que éste alude al burofax que remitió en un principio solicitando la cancelación del contrato en el plazo para darlo de baja. Aporta una copia de dicho burofax y de la respuesta de Gas Natural, de 10/11/2011, comunicándole que han intentado ponerse en contacto con él sin logarlo y que se ponga en contacto con ellos en el número que le facilitan. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD—LO 15/99--, determina: “
4. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
5. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso se procede a analizar la denuncia presentada en fecha 30 de abril de 2012 en esta Agencia, en dónde el denunciante declara que GAS NATURAL SERVICIOS ha dado de alta un contrato de suministro de gas sin su consentimiento y de manera fraudulenta, ya que el comercial se hizo pasar por un empleado de IBERDROLA. Envió un burofax en el plazo estipulado para cancelarlo. Le informaron de que ya estaba todo solucionado pero no cancelaron sus datos y posteriormente ha estado recibiendo facturas de Gas Natural. Sin embargo, a este respecto se debe matizar lo siguiente. Si bien es cierto que se han aportado pruebas del burofax enviado por el denunciante solicitando la baja del servicio contratado, se indica que la fecha de este burofax, es de 07/11/2011 y la fecha de la celebración del contrato (y que consta en este documento) es de 11/11/2011, y por tanto, posterior a la del burofax. Entre ambos, existe una carta de Gas Natural dirigida al denunciante, de 10/11/2011, que alude al escrito remitido por éste el 04/11/2011, y en la que se informa que se ha intentado contactar con él sin que haya sido posible y se le ruega que se ponga en contacto telefónico con ellos a la mayor brevedad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 En este caso, al Entidad denunciada a requerimiento de la AEPD aporta como medio de prueba admisible en derecho—ex art. 80 Ley 30/92—copia del contrato de suministro de gas natural firmado el 11/11/2011, en dónde queda plasmado el nombre, apellidos, DNI y firma del denunciante y una fotocopia de dicho DNI, lo que dota a la actuación de la denunciada de la diligencia debida para la contratación. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En cuanto al elemento subjetivo—culpabilidad--, hay que señalar que sólo pueden ser sancionadas, por hechos constitutivos de infracción administrativa, las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia—ex art. 130 Ley 30/92, 26 de noviembre--. La jurisprudencia ha venido exigiendo a aquellas entidades que asumen en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a la cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. Así, la Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (...) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de una contratación fraudulenta, cuestión ésta que compete resolver, en su caso, a otros órdenes jurisdiccionales” y añade que el elemento central de debate “no es la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. De acuerdo a estos criterios, se puede entender que -- GAS NATURAL SERVICIOS SDG, S.A-- empleó una razonable diligencia en la contratación ya que el agente comercial externo presentó el contrato firmado, junto con la fotocopia del DNI no pudiendo detectar la contratación fraudulenta que se estaba produciendo. Esta circunstancia dota a dicha contratación por parte de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 entidad denunciada de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. La Audiencia Nacional viene considerando que no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) cuando se actúa en la creencia de que la persona con la que se contrata es quién dice ser y se identifica como tal, con una documentación en apariencia auténtica y correspondiente a ella (Sentencias de 29/10/2009 y 29/04/2010). Por tanto, dado que tras el requerimiento de documentación realizado por esta Agencia a GAS NATURAL SERVICIOS, la denunciada ha aportado fotocopia del contrato firmado y del DNI del cliente, se considera que hay elementos suficientes para constatar la existencia de diligencia en la comprobación del consentimiento para la contratación. Respecto a la diligencia debida y a la adopción de las medidas de prevención necesarias, pueden traerse a colación la SAN 1787/2010 (Rec. 700/2009) y la SAN de 8 de junio de 2006 (Rec. 244/04) donde se afirma que “si bien ni la normativa civil o mercantil, ni la específica aplicable a los consumidores y usuarios, establece que sea condición necesaria la solicitud de una copia del DNI o pasaporte a todos aquellos consumidores o usuarios que quieran contratar un determinado servicio con un empresario o profesional, ello no puede interpretarse, en el sentido de que le excuse de exigir medidas de prevención.” En dicha sentencia se dice que "no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI...” Se trata en definitiva de que “se verifique la identidad del solicitante de los servicios mediante la exigencia de fotocopia del documento que acredite dicha identidad, a fin de contratar y facilitar el servicio a la persona que efectivamente lo reclama". En conclusión, “se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna.” Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
6. PROCEDER AL ARCHIVO de las presentes actuaciones.
7. NOTIFICAR la presente Resolución a GAS NATURAL SERVICIOS SDG, S.A y a B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es