E-06258-2012

1/5 Expediente Nº: E/06258/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad --ENDESA ENERGIA XXI, S.L--. en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de septiembre de 2012, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta de manera sucinta que: <<Estoy dado de alta en la facturación online de ENDESA. En la factura del mes de agosto no aparece mi factura sino la de otra persona (B.B.B., de Málaga). Me imagino que mi factura se la habrán enviado a otra persona, por lo que estarán viendo todos mis datos al igual que yo veo la de esta persona. Le he enviado una reclamación a ENDESA vía telemática, y ante la tardanza en la contestación y resolución del error he decidido ponerme en contacto con ustedes por si la compañía ENDESA estuviera incurriendo en una ilegalidad..>> Aporta el denunciante copia de una factura de fecha 27/8/2012 a nombre de una tercera persona. En fecha 11/6/2013 el inspector actuante recibe físicamente el expediente para su investigación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Mediante correo electrónico de fecha 24/6/2013 se solicitó al denunciante informase todavía estaba disponible la factura origen de la denuncia en la oficina on-line de ENDESA y de ser así, facilitase su identificador de usuario y contraseña. 1 En fecha 4/7/2013 se realizó visita de inspección a ENDESA en la que los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: - Para poder acceder a la factura on line, el cliente debe estar dado de alta en este servicio, disponiendo de usuario y contraseña propios. - Respecto del motivo por el cual el citado cliente ha podido acceder a la factura de otro cliente, desconocen que se hubiese producido tal incidencia a nivel masivo. 2 Los inspectores de la Agencia solicitaron al representante de ENDESA que les permita el acceso al sistema de información donde se gestionan los datos personales de sus clientes, donde se realizan las siguientes consultas: a. Se realiza una consulta respecto del cliente con DNI ***DNI.1, verificándose que se corresponde con A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 b. Se accede a las facturas generadas a dicho cliente, comprobándose que la factura del mes de agosto fue generada en fecha 27/8/2012 por un importe de 69,01 €. c. Se accede al sistema Endesa On Line con perfil de administrador al objeto de verificar la facturación que tuvo a su disposición A.A.A. en el mes de agosto de 2012, verificándose que tanto la factura en formato pdf como en formato XML (formato descargable y visible a través de un visor que proporciona ENDESA) y que sería el que se habría descargado el denunciante para visualizar la factura, ambos ficheros contienen información asociada a A.A.A., y son facturas en las que aparece el domicilio de calle (C/...........................1) (Cádiz). d. Se accede al sistema de contactos realizándose una consulta respecto de los realizados por A.A.A., en donde se verifica que existe una consulta realizada por el cliente en fecha 31/8/2012 en el que manifiesta a la entidad que: <<Tanto desde el correo electrónico enviado por ustedes como desde Endesa On Line, mi última factura no es la mia sino de un tal C.C.C.…>> e. Manifiestan los representantes de la entidad que se envía un correo electrónico por el que informa a los clientes de la disponibilidad de la factura electrónica así como su importe, facilitando un enlace a la misma. 3 En fecha 5/7/2013 remite el denunciante correo electrónico por el que da respuesta al que le fue remitido en fecha 24/6/2013, informando que ha consultado la página web de ENDESA y el error de facturación ha sido subsanado, si bien la entidad denunciada no le ha comunicado nada. 4 En fecha 12/7/2013 tiene entrada un escrito de ENDESA por el que da respuesta a la información que se le dejó requerida en la inspección de fecha 4/7/2013, y en donde manifiesta: a. Respecto de la copia del correo electrónico enviado a D. A.A.A. con motivo de la facturación del mes de agosto de 2012“, manifiesta la entidad que según la información que les facilitan desde el Canal Internet, no es posible recuperar la copia del aviso de disponibilidad de la e-factura de Endesa Online que en su día fue remitida puesto que éstos se generan automáticamente en un proceso batch cuando se genera la factura digital. b. Respecto de la documentación que acredite las actuaciones realizadas a partir de la comunicación de D. A.A.A. el 31/8/2012, manifiesta la entidad que no se ha localizado registro documental de las mismas, posiblemente debido a que el denunciante formulase una “consulta” en lugar de una “reclamación”. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso se procede a examinar la reclamación del epigrafiado frente a la Entidad—Endesa Energía XXI—en la que manifiesta que: “…estoy dado de alta en la facturación On-line. En la factura del mes de agosto no aparece mi factura sino la de otra persona. Me imagino que mi factura se la habrán enviado a otra persona…” (folio nº 1). Los hechos anteriormente descritos podrían suponer una “presunta” infracción del art. 10 LOPD, relativo al Deber de secreto. En fase de instrucción—ex art. 78 Ley 30/92—del presente procedimiento el denunciante pone en conocimiento de la AEPD que “He consultado la página web de Endesa y el error en la facturación online de agosto de 2012 ya está subsanado, aunque a mí Endesa no me ha comunicado nada”. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 En el presente caso, el denunciante no aporta junto con su solicitud copia de la pantalla que acredite el descubrimiento de datos de terceros en la facturación On-line de la Entidad denunciada correspondiente al mes de agosto del año 2012. Item, la Entidad denunciada—Endesa—manifiesta en fecha 12/07/2013 que “no es posible recuperar la copia del aviso de disponibilidad de la e-factura de Endesa Online que en su día fue remitida puesto que éstos se generan automáticamente en un proceso batch cuando se genera la factura digital”. A mayor abundamiento, se realiza Inspección de los sistemas informáticos de la entidad denunciada (Acta de Inspección E/06258/2012) en dónde se constata que al acceder a la información del denunciante y, en concreto a la factura del mes de agosto del año 2012, tanto la factura en formato pdf como en formato XML y que sería la que se habría descargado el denunciante para visualizar la factura, contienen información asociada al D. A.A.A., esto es, los datos se corresponden con los del denunciante y no se constata infracción alguna en los términos anteriormente expuestos. Por tanto, en el presente caso no se han podido constatar fehacientemente los hechos descritos, motivo por el que se acuerda el Archivo del presente procedimiento, al existir una insuficiencia probatoria de los hechos descritos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la Entidad ENDESA ENERGIA XXI, S.L. y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es