E-07319-2013

1/4 Expediente Nº: E/07319/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ENDESA ENERGÍA, S.A.U., en virtud de denuncia presentada por A.A.A. y tomando en consideración los siguientes HECHOS PRIMERO: Con fecha 22/07/2013, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de A.A.A. (en lo sucesivo la denunciante) en el que manifiesta haber recibido de ENDESA ENERGÍA, S.A.U., (en lo sucesivo la denunciada) un sobre con documentación en cuya ventanilla se exhibe su número de teléfono móvil. Aporta con su denuncia fotocopia del sobre en la que se aprecia que entre la información que puede visualizarse a través de la ventanilla consta su número de teléfono. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se efectuaron actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha 22 de julio de 2013 ha tenido entrada en esta Agencia escrito de A.A.A. y con fecha 24 de abril de 2014 se recibe escrito de subsanación y mejora de solicitud. En ambos escritos se pone de manifiesto los siguientes hechos: ENDESA ENERGIA SAU ha remitido a la denunciante una documentación en un sobre de ventanilla, en el cual se exhibía el nombre apellidos y domicilio postal del denunciante y el número de teléfono móvil. La denunciante ha aportado original del sobre mencionado donde consta el dato del teléfono que es visible a través de la ventanilla del sobre. ACTUACIONES PREVIAS DE INSPECCIÓN Con fecha 19 de mayo de 2014 se remite solicitud de información a ENDESA ENERGIA SAU (en adelante ENDESA) y de la respuesta recibida en fecha 30 de mayo de 2014, se desprende: 1. ENDESA manifiesta que el envío realizado a A.A.A. no es un envío postal sino un envío realizado por un servicio de mensajería (encima del sello de “Franqueo Pagado” se estampó un sello conteniendo la palabra “NULO”) con el objeto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 hacerle entrega de la confirmación documental de la contratación de suministro que había realizado de manera telefónica, todo ello en cumplimiento de lo establecido por el Real Decreto 1906/1999, de 17 de diciembre, por el que se regula la contratación telefónica o electrónica. ENDESA manifiesta que al tratarse de un servicio de mensajería, éste requiere de un teléfono de contacto de la destinataria a efectos de asegurar la entrega y, de esta forma, poder cumplir con sus obligaciones contractuales según la normativa vigente, todo ello al amparo de lo estipulado en el artículo 6, apartado segundo, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). A este respecto, ENDESA ha aportado albarán de entrega remitido por el servicio de mensajería SEUR, entregado y firmado, así como copia del contrato que la interesada procedió a devolver firmado. 2. ENDESA ha aportado impresión de pantalla donde consta registrada una reclamación efectuada por la denunciante, en junio de 2013, en el que expresa su disconformidad con la entrega del contrato y aparece su número de teléfono en el sobre. Consta registrada un nuevo envío del contrato a través de un mensajero.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. La obligación que la LOPD impone al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de guardar secreto tiene como finalidad evitar que quienes estén en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. Respecto a esta obligación, la Audiencia Nacional de manera uniforme viene considerando que la infracción del artículo 10 LOPD es una infracción de resultado por lo que su comisión requiere que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (por todas STAN de 11 de junio de 2009) Paralelamente, el artículo 9 de la LOPD recoge bajo el epígrafe “seguridad de los datos” la obligación del responsable del fichero, y, en su caso, del encargado del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 tratamiento de “adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, perdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural” (El subrayado es de la Agencia) Por lo que aquí interesa, resulta también necesario citar el artículo 92.3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que indica que en el traslado de la documentación que contenga datos de carácter personal “se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte” Sobre este particular resultan relevantes las Sentencias de la Audiencia Nacional de 7/05/2009, 28/05/2009, 11/06/2009 y 11/02/2010, en las que se señala lo siguiente: “La infracción tipificada en el art. 44.3.
2. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional -como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividadpero no ante la infracción que se le imputa que exige la puesta en conocimiento de un tercero de los datos personales”. Así las cosas como señala la citada Sentencia de 11/02/2010 es necesario que se produzca una efectiva revelación de datos para que se cometa la infracción del deber de guardar secreto. De esta manera aunque la conducta desplegada pudiera llegar a provocar una revelación de datos de carácter personal a un tercero, si esta revelación de secreto no se produce efectivamente no es posible calificar la conducta como infracción del artículo 10 de la LOPD. Siguiendo la línea argumental expuesta, en el asunto que nos ocupa, en el que está acreditado que el sobre dirigido a la denunciante, en cuya ventanilla se podía ver el número del teléfono móvil, no se remitió por correo postal sino a través de mensajero, se concluye que la única persona que pudo tener conocimiento de este dato personal, además de la entidad denunciada y responsable del fichero –ENDESA-, fue el personal de la empresa de mensajería. No estamos, por tanto, ante un acceso no autorizado al dato del número de móvil de la denunciante –que entrañaría de ser así una infracción del artículo 9 de la LOPD-, ni tampoco ante una revelación de datos que vulnere el artículo 10 de la Ley Orgánica 15/1999. Ello, porque el envío de los documentos a través del servicio de mensajería exige poner a disposición de la empresa –al objeto de que el mensajero pueda contactar con el destinatario si surge alguna incidencia que dificulta la entrega- un teléfono de contacto con éste. En el presente caso la empresa de mensajería presta un servicio a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 ENDESA en beneficio de la denunciante y el tratamiento del dato del teléfono móvil es necesario para su cumplimiento. Por tanto, de las consideraciones precedentes se concluye que no se aprecia en la conducta que somete a la consideración de esta Agencia infracción de los artículos 9 y/o 10 de la LOPD, debiendo acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ENDESA ENERGÍA, S.A.U. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es