E-07370-2013

1/7 Expediente Nº: E/07370/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de la denuncia presentada por la Policía Local de San Cristóbal de La Laguna, Tenerife, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 03/10/2013, ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de la “Unidad de Servicio de Paisano” de la Policía Local del Ayuntamiento de San Cristóbal de La Laguna (en lo sucesivo, la POLICÍA LOCAL o la denunciante) en el que expone que el 04/09/2013 recibió una queja de varios vecinos referente a la presencia de dos personas que “se hacen pasar por trabajadores de una multinacional” y que supuestamente solicitan “Documentos Nacionales de Identidad, así como los veinte dígitos de números de cuenta y fotocopias de documentos de interés, de los titulares del suministro eléctrico, para el relleno del formulario, para la realización de un descuento del 25% en el suministro eléctrico de la vivienda”. Con motivo de estos hechos la POLICÍA LOCAL identificó a A.A.A. (en lo sucesivo, el denunciado) a quien se le intervino una cámara de fotos que utiliza en su labor diaria de comerciante que contenía 544 archivos de imagen de documentos nacionales de identidad (DNI) con panorámicas del anverso y reverso de los documentos. La denunciante aporta un CD con las imágenes de los DNI obtenidas entre el 05/07/2012 y el 09/09/2013. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a realizar actuaciones de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos: <<ANTECEDENTES Con fecha de 3 de octubre de 2013 tiene entrada en esta Agencia un escrito de POLICIA LOCAL DE SAN CRISTOBAL DE LA LAGUNA en el que declara lo siguiente: Que siendo las 14 horas del día 4/9/2013 se recibe diversas denuncias telefónicas de vecinos del barrio de Gracia de la localidad en la que se pone de manifiesto que dos personas que se hacen pasar por trabajadores de una multinacional se encuentran recabando documentos nacionales de identidad así como los números de cuenta bancaria de titulares de suministro eléctrico para rellenar un formulario y posterior descuento en la tarifa eléctrica. Que ha consecuencia de lo anterior los agentes que suscriben la denuncia identifican a A.A.A., con DNI ***NIF.1 y comercial de la empresa AMPARA PROTECCIONES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 PASIVAS SL. La mencionada persona dispone de una cámara fotográfica en la que se aprecian 544 archivos conteniendo imágenes de documentos nacionales de identidad, procediendo a realizar una copia en soporte CD de dichas imágenes. Junto a su denuncia aporta los siguientes documentos:  Soporte CD con el siguiente contenido: o 544 fichero de extensión JPG correspondiente a imágenes de anversos y reversos de 272 documentos nacionales de identidad, siendo el más antiguo de 5/7/2013 y el más moderno de 9/9/9013. ACTUACIONES PREVIAS La denuncia recibida en fecha de 3/10/2013 es asignada al inspector actuante en fecha de 23/4/2014 realizándose las siguientes actuaciones: 1. En fecha de 21/7/2014 se solicita información a A.A.A. recibiéndose respuesta en fecha de 30/7/2014 en la que informa que la recogida de fotografías del DNI es en el marco de contratos de suministro eléctrico que su empresa, AMPARA PROTECCIONES PASIVAS SL, hace como punto de servicio de ENDESA. 2. En fecha de 21/7/2014 se solicita información a la sociedad AMPARA PROTECCIONES PASIVAS SL no recibiéndose respuesta. 3. En fecha de 17/9/2014 se reitera la solicitud de información a la sociedad AMPARA PROTECCIONES PASIVAS SL quien remite escrito recibido en fecha de 29/9/2014 del que se desprende lo siguiente: 3.1. AMPARA PROTECCIONES PASIVAS SL dispone de un contrato con ENDESA ENERGIA SA, del que adjuntan copia, por el cual la primera hace de agente comercial de la segunda para captar clientes para el suministro eléctrico. 3.2. En virtud del contrato anterior AMPARA PROTECCIONES PASIVAS SL capta junto con el contrato firmado por el cliente según el modelo establecido ENDESA ENERGIA SA (se adjunta copia) una copia del DNI del contratante como prueba exigida por ENDESA de dicha contratación. Por esta razón se realizan fotografías de los DNI´s de los contratantes que, una vez enviadas a ENDESA, son borradas de las cámaras. 3.3. Añade AMPARA PROTECCIONES PASIVAS SL que realiza los trabajos señalados en régimen de prestación de servicios, siendo el responsable de los datos recabados, incluidos la copia del DNI, la sociedad ENDESA ENERGIA SA.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 II La LOPD consagra en su artículo 6 el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones citadas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular del que se dispensa al responsable del fichero - entre otros supuestos previstos en la LOPDcuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Esto, porque el consentimiento al tratamiento de los datos está implícito en el consentimiento otorgado a la contratación pero únicamente en la medida en que el referido tratamiento sea preciso para la ejecución del contrato y siempre que quien facilita los datos personales con ocasión de la contratación sea efectivamente su titular. La LOPD califica como infracción grave, tipificada en el artículo 44.3.b), la vulneración del principio del consentimiento (artículo 6) y sujeta a su régimen sancionador tanto a los responsables de los ficheros como a los encargados de tratamiento (artículo 43 LOPD). La LOPD en su artículo 12, bajo la rúbrica “Acceso a los datos por cuenta de un tercero” dispone: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 acreditar su celebración y contenido, estableciéndose expresamente que el encargado de tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado de tratamiento está obligado a implementar. 3.Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. (…)” III La presente denuncia versa sobre la conducta del denunciado, A.A.A., que según la declaración de la POLICÍA LOCAL se hizo pasar por trabajador de una multinacional ante los usuarios del suministro eléctrico al objeto de que cumplimentaran un formulario, con la promesa de aplicarles un descuento en el precio, recabándoles el DNI (del que obtuvo una fotografía) y los veinte dígitos de su cuenta bancaria. Hay que destacar, no obstante, que la documentación adjunta no acredita que el denunciado hubiera obtenido los datos bancarios de los clientes pues esa documentación consiste sólo en un CD con las fotografías incluidas en la cámara que le fue requisada: fotografías de 272 DNI (anverso y reverso) obtenidas entre el 05/07/2013 y el 09/09/2013, lo que no es óbice para que tal información se hubiera hecho constar en el formulario de contratación al que luego nos referiremos. Las investigaciones llevadas a cabo por la Inspección de la AEPD ponen de manifiesto que el denunciado prestaba sus servicios en la empresa AMPAMA PROTECCIONES PASIVAS, S.L., (en lo sucesivo, AMPAMA) “punto de servicio de Endesa”. AMPAMA suscribió el 01/12/2012 con ENDESA ENERGÍA, S.A., (en lo sucesivo, ENDESA) un contrato de Agencia Comercial y Prestación de Servicios cuyo objeto era “la captación de nuevos clientes del servicio de suministro energético, el mantenimiento de los existentes y la formalización, en nombre y representación de ENDESA ENERGÍA, de los preceptivos contratos. A tal efecto, el PUNTO DE SERVICIO (por lo que aquí interesa, AMPAMA) realizará la atención comercial a clientes, elaboración y gestión de facturas y de cobros de conceptos derivados del suministro de energía (…)”. Cláusula primera. (El subrayado es de la AEPD) En su cláusula octava el contrato de Agencia se ocupa del “Tratamiento de los datos de carácter personal de los clientes de Endesa Energía” y precisa que el Punto de Encuentro (esto es, AMPAMA) tiene la condición de encargado de tratamiento de ENDESA, responsable del fichero. La citada cláusula dice literalmente: “La prestación de los servicios objeto de este Contrato requiere necesariamente que el PUNTO DE SERVICIO acceda, en calidad de Encargado de Tratamiento, a diferentes ficheros de carácter personal de los que es responsable ENDESA ENERGÍA. Los mencionados ficheros que sean procesados y gestionados por el PUNTO DE SERVICIO y los datos de información contenidos en los mismos serán y permanecerán bajo la responsabilidad de ENDESA ENERGÍA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 EL PUNTO DE SERVICIO se constituye, a los efectos del presente Contrato, en Encargado del Tratamiento de acuerdo con el contenido del art. 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y se compromete a cumplir sus obligaciones como tal, no siendo considerado este suministro de datos por parte de ENDESA ENERGÍA una comunicación de datos personales a los efectos de la LOPD. >> La cláusula novena del contrato se ocupa de la “confidencialidad” y establece que “Con el fin de poder realizar el objeto del presente Contrato, el PUNTO DE SERVICIO, podrá recibir de ENDESA ENERGÍA información, datos, notas, (…) datos personales relativos a clientes actuales o prospectivos, e instalaciones (en adelante, “Información Confidencial”)”. Seguidamente añade que “EL PUNTO DE SERVICIO, en su propio nombre y en nombre de sus empleados, conviene en que recibirá y mantendrá toda la Información Confidencial en la más estricta confidencialidad y sólo revelará la Información Confidencial a sus empleados que tengan necesidades de conocerla para los fines de ejecución de los servicios objeto de este Contrato. Así mismo, el PUNTO DE SERVICIO conviene en informar oportunamente a sus empleados de la naturaleza y el tratamiento confidencial que requiere la Información Confidencial, y dará instrucciones a los mismos de que cumplan con sus términos y condiciones” IV Los hechos que se denuncian deben situarse en el contexto en el que se produjeron: el denunciado, en su condición de empleado de AMPAMA, actuó en nombre de esta empresa que a su vez, y en virtud del contrato de Agencia que le vinculaba a ENDESA, había asumido la condición de encargada de tratamiento y la obligación de formalizar en su nombre y representación los correspondientes contratos de suministro energético. Es precisamente el principio del consentimiento en el tratamiento de los datos de carácter personal recogido en el artículo 6 de la LOPD el que obliga a ENDESA a estar en condiciones de acreditar que los clientes que contratan con ella - en este caso a través de su representante, AMPAMA- son efectivamente quien dicen ser, los titulares de los datos facilitados al formalizar los contratos de suministro. La razón es que los datos de quienes contratan con ENDESA se incorporan a un fichero del que ella es responsable y el cumplimiento de la normativa de protección de datos -en particular del artículo 6 de la LOPD- exige que recabe de éstos y conserve la documentación adecuada para acreditar que obtuvo el consentimiento del titular de los datos, documentación que debe consistir en una copia del documento nacional de identidad u otro con idéntico valor probatorio. Además, como se ha indicado, AMPAMA, en su condición de encargada de tratamiento de ENDESA, estaba habilitada para tratar los datos personales con la finalidad que se detalla en el encargo de tratamiento: la formalización de los contratos con los usuarios del suministro energético. Así, el denunciado, en su respuesta al requerimiento informativo de la AEPD, declara que recogía las fotografías de los DNI en el marco de los contratos de suministro eléctrico que su empresa, AMPAMA, hacía como punto de servicio de ENDESA. En la misma línea se encuentra la explicación que AMPAMA ha ofrecido a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Inspección de Datos. En ella declara que “La finalidad de la solicitud del DNI es motivada a que al ser comercializadores autorizados de ENDESA, al contratar los clientes el consumo de electricidad Tarifa Último Recurso a Tarifa Mercado Libre y a la firma del Contrato, ENDESA nos exige copia del DNI, adjunto al contrato firmado por el cliente-consumidor y titular del mismo, por lo cual hacemos una foto con el teléfono móvil del mismo para su impresión y envío a ENDESA. Una vez realizado esta última operación se borra del teléfono móvil para seguir trabajando”. E insiste en que “La recogida de información es mediante un Contrato tipo de ENDESA, donde se reflejan los datos facilitados por el cliente y firma prestando su conformidad con los servicios contratados (…) , así como la mencionada foto de su DNI, como titular del contrato”. Termina aclarando que “el responsable último de la recogida de tal información es únicamente ENDESA, empresa a la cual se le envía los contratos firmados por los clientes adjuntándole el DNI/NIF del titular”. A mayor abundamiento no se tiene noticia de que ninguno de los titulares de los DNI que habían sido fotografiados por el denunciado hubiera declarado que tal fotografía no se obtuvo en el curso de la formalización con ENDESA de un contrato de suministro eléctrico. Es también digno de destacar que en la cláusula novena del contrato de Agencia el punto de servicio (en este caso AMPAMA) se compromete a informar a sus empleados de la naturaleza y tratamiento confidencial que requiere la información suministrada. Las consideraciones expuestas permiten concluir que los hechos que se someten a la valoración de esta Agencia responden a un encargo de tratamiento que AMPAMA tenía con ENDESA y a las obligaciones asumidas por la primera en virtud del contrato de Agencia suscrito al objeto de formalizar en nombre de la segunda los correspondientes contratos con los particulares. Por tal razón, de conformidad con el resultado de la investigación practicada, se estima que la actuación del denunciado, el empleado de AMPAMA a quien se le requisó una cámara fotográfica que utilizaba en su labor profesional con fotos de los DNI de más de doscientos usuarios, es respetuosa con la normativa de protección de datos de carácter personal sin que existan elementos probatorios o indicios razonables de una posible infracción de la LOPD y normas reglamentarias de desarrollo por lo que debemos acordar el archivo de la presente denuncia. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a A.A.A. y a POLICIA LOCAL DE SAN CRISTOBAL DE LA LAGUNA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es