E-06990-2020

1/6  Procedimiento Nº: E/08032/2019 - E/06990/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, la reclamante) tiene entrada con fecha 9 de julio de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra IBERDROLA (en adelante, la reclamada). Los motivos en que basa la reclamación son:  La empresa reclamada está tratando los datos personales de la reclamante sin su consentimiento, en relación con un suministro de electricidad contratado en un inmueble de su propiedad.  La empresa le ha enviado requerimientos previos de pago dirigidos a una persona con la quien no mantiene ninguna relación contractual. En dichos requerimientos se muestran los datos personales de la reclamante. Junto a la reclamación aporta:  Copia de cuatro requerimientos previos de pago, dirigidos a B.B.B. y fechados a 29 de noviembre de 2016, 16 de diciembre de 2016, 10 de noviembre de 2017 y 10 de agosto de 2018. La titular del suministro es la reclamante.  Copia del contrato de arrendamiento con fecha 1 de septiembre de 2016, firmado por la reclamante en calidad de arrendadora y una tal C.C.C.. Según consta en el pie del documento, fue resuelto con fecha 31 de mayo de 2019. La dirección del inmueble es la misma que se indica en las comunicaciones de la compañía. Con fecha de 31 de julio de 2019, la reclamante vuelve a enviar un escrito, solicitando la ampliación de la reclamación en el sentido siguiente:  La empresa reclamada ha incluido los datos personales de la reclamante en el sistema de información crediticia ASNEF desde el día 6 de marzo de 2017. En lugar de haberle requerido el pago a ella, lo ha exigido a B.B.B., con quien no guarda ninguna relación contractual. Acompaña informe de ASNEF con fecha 17/06/2019, donde consta una única inscripción (la que denuncia la reclamante), y carta de EQUIFAX fechada a 25/06/2019, donde le comunican a la reclamante que han procedido a practicar la baja cautelar de la inscripción con la entidad IBERDROLA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/08032/2019, se dio traslado de dicha reclamación a la empresa IBERDROLA DISTRIBUCIÓN (ahora denominada IDE REDES ELÉCTRICAS INTELIGENTES), para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Sin embargo, dicha empresa contestó diciendo que el responsable del tratamiento era IBERDROLA CLIENTES SAU, y que, por consiguiente, no podía facilitar ninguna información relativa a la reclamante TERCERO: Con fecha 7 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la reclamante. CUARTO: En uso de las facultades conferidas por el artículo 58.1 del RGPD y por el artículo 53 de la LOPDGDD, con fecha 7 de septiembre de 2020 se le requirió a la empresa IBERDROLA CLIENTES SAU para que, en el plazo máximo de un mes, remitiera a esta Agencia la siguiente información relativa a la presente reclamación: causas que han motivado la incidencia descrita, medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia; la decisión adoptada a propósito de esta reclamación, y acreditación de la respuesta facilitada, en su caso, a la reclamante. QUINTA: Se ha recibido respuesta al requerimiento de información por parte de IBERDROLA CLIENTES SAU, que, por lo que aquí interesa, manifiesta lo siguiente:  Manifiestan que, según la información que obra en sus sistemas, la reclamante contrató en su nombre y por vía telefónica el suministro de electricidad para su inmueble, con fecha de 18 de mayo de 2016. En relación con dicha contratación, se fueron abonando puntualmente las primeras facturas de suministro que se generaron. El domicilio indicado a efectos de notificaciones fue el del punto de suministro. Aportan copia del contrato con sus datos personales.  Más adelante, con fecha de 3 de noviembre de 2016, una persona que se identifica como la titular del contrato solicita que se modifiquen los datos de correspondencia para que, por favor, se dirijan las cartas a nombre de B.B.B., manteniendo la misma dirección postal del punto de suministro. Para realizar este tipo de gestiones, utilizan mecanismos de verificación, a través de los cuales se le solicita a la persona llamante una serie de datos en virtud de los cuales se acredita si es realmente la titular del contrato, y, ante el más mínimo comentario dubitativo, se rechaza la petición. En este caso, la persona llamante facilitó todos los datos e información requerida, pasando por tanto el filtro de verificación de identidad, no sospechándose por tanto de que se estuviera ante una posible suplantación de identidad, y dándose por válida en consecuencia.  Aclaran que los datos de correspondencia únicamente varían en el nombre de la persona a la que van dirigidas las comunicaciones y no en el domicilio, que sigue siendo el del punto de suministro, ni en la titularidad del mismo, que también viene detallada, tanto en las facturas como en las comunicaciones que se realizan reclamando el pago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6  A pesar de haber comunicado a las señas de contacto que hasta ese momento nos facilitó la titular del contrato tanto los impagos como su posibilidad de inclusión en ficheros de solvencia, la deuda por un total de 1.672,04 EUR no ha sido abonada por la reclamante, motivo por el cual, siendo ésta líquida, vencida y exigible, se procedió a su comunicación a ASNEF-EQUIFAX. Sin embargo, se dio orden de excluir los datos de la reclamante del mencionado fichero de solvencia con fecha 30 de junio de 2019. Tanto de la deuda como de la exclusión de los datos informaron directamente a la reclamante, mediante sendas comunicaciones fechadas en 19 de julio y 20 de agosto de 2020 y dirigidas al domicilio del punto de suministro. Aportan al procedimiento copia de las mismas.  En cualquier caso, en el contrato firmado con la reclamante ya se informaba al cliente de la posible comunicación de sus datos personales en caso de impago, aviso que se realizó en cada uno de los requerimientos de pago cursados a la usuaria del servicio. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de 2018, reconoce a cada autoridad de control, es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados

1. i)y
2. j)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (en adelante, RD 428/1993) y la Disposición transitoria primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Esta facultad se describe con más amplitud en el art. 53 de la LOPDGDD, que establece lo siguiente: “Art. 53. Alcance de la actividad de investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 1. Quienes desarrollen la actividad de investigación podrán recabar las informaciones precisas para el cumplimiento de sus funciones, realizar inspecciones, requerir la exhibición o el envío de los documentos y datos necesarios, examinarlos en el lugar en que se encuentren depositados o en donde se lleven a cabo los tratamientos, obtener copia de ellos, inspeccionar los equipos físicos y lógicos y requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del tratamiento sujetos a investigación. 2. Cuando fuese necesario el acceso por el personal que desarrolla la actividad de investigación al domicilio constitucionalmente protegido del inspeccionado, será preciso contar con su consentimiento o haber obtenido la correspondiente autorización judicial. 3. Cuando se trate de órganos judiciales u oficinas judiciales el ejercicio de las facultades de inspección se efectuará a través y por mediación del Consejo General del Poder Judicial.” Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. III Tras revisar el contenido de la respuesta obtenida, esta Agencia señala que la empresa reclamada está habilitada para tratar los datos de la reclamante al ser el tratamiento necesario para la ejecución del contrato. Además, la inscripción de sus datos en el sistema de información crediticia se presume lícito, al cumplirse los requisitos que establece el art. 20 de la LOPDGDD. Por último, recuerda que es la titular del contrato quien debe comunicar al responsable del tratamiento las modificaciones de sus datos personales (en este caso, la sustitución de los datos de la inquilina por los suyos). A este respecto, no consta en el expediente prueba acreditativa de dicha comunicación o solicitud de rectificación de datos, lo cual explica que los datos de correspondencia siguieran estando en los sistemas de la empresa a nombre de dicha persona. Una vez analizadas las razones expuestas por IBERDROLA CLIENTES SAU, que obran en el expediente, se ha constatado la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Protección de Datos, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Este principio se encuentra expresamente recogido para los procedimientos administrativos sancionadores en el artículo 53.2.
3. b)de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, que reconoce al interesado el derecho “A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En este caso, de las actuaciones realizadas y de la documentación obrante en el procedimiento no se infiere la existencia de una actuación infractora de IBERDROLA CLIENTES SAU en el ámbito competencial de la Agencia Española de Protección de Datos, por lo que procede el archivo de la reclamación presentada contra dicha entidad. Todo ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la reclamante y a la reclamada. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
4. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es