E-07801-2013

1/7 Expediente Nº: E/07801/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad IBERDROLA GENERACIÓN SAU en virtud de denuncia presentada por Dª A.A.A. y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 18 de noviembre de 2013, tuvo entrada en esta Agencia escrito de Dª A.A.A. (en lo sucesivo la denunciante) en el que declara que al recibir una carta de IBERDROLA GENERACIÓN SAU (en adelante IBERGEN), con quién no mantenía ninguna relación contractual, se dirigió a las oficinas de esta entidad y le facilitaron copia de un contrato de suministro eléctrico y de gas junto a su fotocopia del DNI. Según indica la reclamante, la firma del contrato es suya y desconoce cómo se puede haber obtenido la copia del DNI ya que no lo ha perdido. Ha presentado denuncia ante la policía por estos hechos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1º) Según consta en los ficheros de IBERGEN, con fecha 13 de agosto de 2013 Dª. A.A.A. contrató los suministros de gas natural y electricidad y para ello suscribió un contrato a su nombre. El contrato se formalizó de forma presencial mediante visita al domicilio del cliente de un agente comercial externo de IBERGEN y se contrataron los suministros eléctrico y de gas natural para el domicilio sito en la calle (C/...................1) de Burgos. En el momento de la contratación el cliente aportó al agente comercial una copia de la última factura de electricidad y gas natural de la anterior empresa comercializadora (GASNATURAL FENOSA) con la que tenía contratados los dos servicios. En esta factura de la anterior empresa comercializadora aparecía la misma dirección de suministro y de correspondencia: (C/...................1) de Burgos. Asimismo, el cliente aportó al agente comercial, en el momento de la contratación, copia de su P.N.I., acreditando así su identidad. Del mismo modo, el cliente aportó al comercial la cuenta bancaria completa para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 la domiciliación de las facturas de electricidad y gas ya que en la factura de la anterior comercializadora este dato no aparece completo. Los representantes de la entidad aportan copia del contrato de electricidad y gas firmado por Dª. A.A.A. , copia del DNI de la denunciante y factura de Gas Natural Fenosa. 2º) Con fecha 11 de septiembre de 2013 la empresa distribuidora de gas natural (GAS NATURAL CASTILLA Y LEÓN), activó el contrato de gas natural con IBERGEN. Se procedió entonces a la entrega de energía por parte de IBERGEN y a la facturación de los consumos realizados en el domicilio del cliente. El contrato de electricidad con IBERGEN nunca fue activado por lo que IBERGEN no facturó ningún consumo de electricidad de ese punto de suministro que siguió siendo suministrado por la anterior empresa comercializadora (GAS NATURAL FENOSA). 3º) Con fecha 11 de octubre de 2013 la empresa distribuidora de gas natural, (GAS NATURAL CASTILLA Y LEÓN), comunicó a IBERGEN que este punto de suministro había cambiado de empresa comercializadora para el contrato de gas natural, por lo que cursó baja en IBERGEN. Por tanto, el contrato de suministro de gas natural con IBERGEN sólo estuvo un mes activado. El Establecimiento Colaborador responsable de la contratación es B.B.B. con quien IBERGEN ha suscrito un ACUERDO DE COLABORACIÓN COMERCIAL. Según indican los representantes de la entidad no consta que Dª. A.A.A. haya presentado reclamación alguna ni contactado con IBERGEN. Como consecuencia del suministro de gas se han emitido las siguientes facturas:

1. a)11 de octubre de 2013, importe: 17,69 €, pagada
2. b)11 de octubre de 2013, importe 53,93 €, pagada
3. c)11 de noviembre de 2013, importe 10,30€, pagada
4. d)18 de noviembre de 2013, importe 60 €, pendiente. 4º) IBERGEN no ha emitido facturas de electricidad ya que el contrato de electricidad de este punto de suministro no se llegó a activar. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
5. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 II El artículo 6 de la LOPD, al respecto del consentimiento para el tratamiento de datos por parte de un tercero, determina lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” (el subrayado es de la Agencia Española de Protección de Datos. El tratamiento de datos de carácter personal por parte de un tercero distinto del titular de un dato, requiere el previo consentimiento del titular del mismo, salvo en determinados casos, como son aquellos en los que el tratamiento se enmarca en una relación comercial o contractual previa, circunstancia que necesita del consentimiento previo del titular del dato, en la contratación. Hemos de tener en cuenta que el tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso nos encontramos ante un tratamiento de datos realizado por IBERGEN, en el seno de una relación contractual de suministro, que la denunciante afirma no haber llevado a cabo. Realizadas las oportunas actuaciones de Inspección por parte de esta AEPD, IBERGEN ha presentado copia de un contrato de suministro firmado supuestamente por la denunciante y documentación acreditativa de la identidad de ésta, junto a información en torno a facturas ligadas a dicho contrato, cuyo pago fue atendido. Dado que existe una controversia en torno al origen del tratamiento de datos, ligado a un contrato que la denunciante no reconoce haber celebrado, hemos de analizar si, sobre dicho tratamiento de datos realizado por IBERGEN, existe un incumplimiento de la LOPD. El contrato alegado por IBERGEN como celebrado por la denunciante, cuenta con los datos personales, domiciliares y de pago de la denunciante, así como una firma que es discutida por la afectada. También cuentan con fotocopia del DNI de la afectada y una serie de facturas que fueron pagadas. Del análisis de dicha documentación y de lo afirmado por la denunciante, nos encontramos ante una relación contractual en la que un tercero celebrara el contrato en nombre de la denunciante, pudiendo llevar a cabo un ejercicio de suplantación de identidad de ésta. Para determinar si IBERGEN cuenta con una responsabilidad infractora en materia de protección de datos por los hechos denunciados, al tratar datos de la afectada en el seno de una contratación supuestamente fraudulenta, hemos de partir de lo dispuesto jurisprudencialmente por la Audiencia Nacional en sentencias como la dictada el 29 de abril de 2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. El principio de presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3 de diciembre de 1981). Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el artículo 6.1 LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (SAN de 8 noviembre 2012, Rec 789/2010). Hemos de tener en cuenta lo dispuesto por de la Audiencia Nacional—SAN 07/03714. Rec. nº 120/2013—en dónde se dictamina lo siguiente en torno a situaciones en las que existe una contratación litigiosa y la parte suministradora cuenta con la documentación necesaria para llevar a cabo la contratación: “Según la resolución sancionadora en el contrato firmado por el cliente aparece el reverso de su documento de identidad que coincide con el número del denunciante, a lo que hay que añadir que el nombre y el primer apellido son los mismos, siendo diferentes los restantes datos. Según lo expuesto, la parte actora, ha tratado en sus ficheros los datos personales de don xxxx con DNI NUM000 para darle de alta en la líneas telefónica contratada y al objeto de asegurarse de la identidad de la persona con la que contrataba y de quien recababa sus datos personales, le exigió copia de su DNI, que es el que registró en sus ficheros, trató en las facturas y comunicó al fichero Experian. Número de DNI que, como ya se ha dicho, coincide con el del denunciante, así como el nombre y el primer apellido, que nada tenía que ver con la citada línea telefónica. Pues bien, como dijimos en la reciente Sentencia de 24 de enero de 2014 -recurso nº. 540/2012 -, en un supuesto similar al que nos ocupa, y en que igualmente la parte recurrente era la misma: << ... ningún reproche puede hacerse a la actuación de France Telecom en este ámbito sancionador al haber adoptado las cautelas precisas para asegurarse de la identidad de la persona de quien recababa los datos personales en relación con la contratación de las citadas líneas telefónicas, sin que existan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 elementos suficientes en el presente procedimiento para poder determinar si se trata de un supuesto en que un mismo número de DNI ha podido ser asignado erróneamente a dos personas distintas, o de un posible supuesto de fraude. En cualquiera de los casos, bien por falta de tipicidad o de culpabilidad, no puede tenerse por acreditada o imputarse a France Telecom la vulneración del principio del consentimiento ni tampoco, y en correlación, la del principio de calidad de datos>>. En el presente caso, IBERGEN cuenta con un contrato en el que figuran los datos personales y domiciliares de la denunciante, un documento firmado con una firma similar a la denunciante y fotocopia del DNI de ésta, y las primeras facturas giradas fueron pagadas, de ahí que ante dichas circunstancias se proyecte una apariencia de legalidad en la contratación y de diligencia debida en el tratamiento de datos realizado por IBERGEN, sin que pueda determinarse que conocieran que un tercero contrato de forma fraudulenta, en nombre de la denunciante. En sentencia de la Audiencia Nacional de 3 de octubre de 2013, se concluye de igual forma, la falta de responsabilidad de la suministradora, ante una situación de contratación fraudulenta, siendo del tenor siguiente: “Consideramos, en definitiva, que Santa Lucia obró con una diligencia normalmente exigible en una operación de suscripción de una póliza de un seguro, y fue víctima de un fraude por parte de un tercero, por lo que no es que no pueda exigírsele responsabilidad plena en los hechos (como argumenta la Agencia, que le rebaja la cuantía de la sanción a tenor de la facultad prevista en el articulo 45.5 LOPD) sino ninguna responsabilidad en los mismos, a tenor de las circunstancias que se acaban de relatar. Así dicha entidad actora, dada la falsificación documental que se produjo, obró con la creencia de que existía consentimiento, y por ende con diligencia bastante y suficiente, y la imputación de la infracción del artículo 6.1 LOPD no puede ser apreciada.” Por tanto, examinada la documentación aportada a esta AEPD nos encontramos con un contrato debidamente cumplimentado, así como, la fotocopia del DNI de la afectada en legal forma, que acreditan que la Entidad denunciada adoptó la diligencia mínima exigible en estos casos en orden a darle de alta en los servicios de su compañía, con independencia de las actuaciones que deban practicarse en otros órdenes como el jurisdiccional, por la supuesta suplantación de la identidad de la denunciante en la celebración de un contrato fraudulento en su nombre, circunstancia que no le corresponde analizar a esta AEPD al escaparse de sus competencias. De acuerdo a lo expuesto no se considera que se haya producido vulneración alguna en materia de LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a IBERDROLA GENERACIÓN SAU y a Dª C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es