PS-00025-2019

1/30  Procedimiento Nº: PS/00025/2019 938-051119 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en consideración a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) presenta en la Agencia Española de Protección de Datos (AEPD) en fechas 19 y 20 de septiembre de 2018 sendos escritos en los que expone que EDP COMERCIALIZADORA, S.A.U., con NIF A95000295 (en lo sucesivo, EDP o la reclamada) ha tratado sus datos personales (nombre, apellidos, NIF, domicilio y número de teléfono móvil) sin su consentimiento vinculados a un contrato de gas al que él es ajeno. Con el escrito de 20/09/2018 aporta copia de un documento que lleva por rúbrica “Notificación de impago” -al que el reclamante denomina “factura”-, emitido el 31/05/2018. El reclamante explica que tras recibir este documento contactó telefónicamente con EDP e interpuso una reclamación por “facturarme servicios en el punto de suministro situado en ***DIRECCION.1 …sin haber firmado ningún contrato ni tener relación alguna con dicha dirección”. El documento aludido - “Notificación de impago”- lleva en el apartado dedicado a los datos del destinatario, lleva el nombre, dos apellidos y el domicilio del reclamante (situado en ***LOCALIDAD.1). En el apartado “Datos del cliente”, constan, además del nombre y apellidos del reclamante, su NIF y un número fijo que el reclamante afirma que no le pertenece (***TELEFONO.1). En el apartado “Datos del contrato” -contrato que es de luz y gas con el número 700005852279- consta la dirección del punto de suministro: ***DIRECCION.1. En el lateral derecho del documento figura: “EDP ENERGÍA, S.A.U. Plaza de la Gesta 2, 33007 Oviedo (…) CIF A-33543547”. El reclamante declara que, unos días después de formular, mediante llamada telefónica, reclamación ante EDP por la factura que había recibido, la entidad reclamada le envió un contrato de servicios de gas y luz para que lo devolviera firmado. Y añade que en ese documento -del que aporta una copia a esta Agenciaconstan, además de los datos personales ya reflejados en la “Notificación de impago” antes descrita, el número de móvil desde el cual hizo la llamada telefónica de reclamación a EDP. En el documento contractual recibido, justo encima de las “Condiciones específicas del contrato”, figura esta leyenda: “El cliente contrata para el local de negocio o vivienda que se indica en el encabezamiento, el suministro de gas con EDP COMERCIALIZADORA, S.A.U. y el suministro de electricidad y/o los servicios complementarios con EDP ENERGÍA, S.A.U. (en adelante, conjunta y/o individualmente, según proceda, referidas como “EDP”) con arreglo a las Condiciones Específicas que se recogen a continuación y a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/30 las Condiciones Generales que figuran en anexo”. (El subrayado es de la AEPD) En el lateral derecho del documento consta: “EDP ENERGÍA, S.A.U. Plaza de la Gesta 2, 33007 Oviedo (…) CIF A-33543547 EDP COMERCIALIZADORA, S.A.U. C/General Concha, 20 48010 Bilbao (…)CIF A95000295” SEGUNDO: A la vista de los hechos expuestos, la AEPD, en fecha 15/10/2018, en el ámbito del expediente número E/07378/2018, al amparo del artículo 9 del Real Decreto-Ley 5/2018, de medidas urgentes para la adaptación del Derecho español a la normativa europea en materia de protección de datos -norma vigente desde el 31/07/2018 hasta su derogación por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantías de los derechos digitales (LOPDGDD)- dio traslado de la reclamación al DPD de la entidad reclamada y le solicitó que, en el plazo de un mes desde su recepción, informara a esta Agencia de las circunstancias que habían originado los hechos expuestos en la reclamación, de la decisión adoptada para poner fin a la situación irregular provocada y procediera también a comunicar su decisión al reclamante, debiendo acreditar ante esta Agencia la recepción de esa comunicación por el destinatario. El escrito en el que se daba traslado a la entidad reclamada de la reclamación se firmó por la AEPD el 15/10/2018 y se notificó a EDP electrónicamente en la misma fecha. La fecha de puesta a disposición en la sede electrónica y la fecha de aceptación de la comunicación es el 15/10/2018, como lo acredita el certificado expedido por la FNMT que obra en el expediente. A su vez, la AEPD remitió al reclamante, en esa misma fecha, un escrito en el que acusaba recibo de su reclamación y le informaba del traslado a la reclamada. La notificación se efectuó por correo postal de fecha 17/10/2018 y resultó entregada el 27/10/2018. EDP respondió a la solicitud de información a través de un escrito remitido a la AEPD por correo certificado de fecha 15/11/2018, que tuvo entrada en el registro de este organismo el 20/11/2018. El escrito lo firma el “Delegado de Protección de Datos” “en representación de la mercantil EDP COMERCIALIZADORA, S.A., (…) y con CIF A33543547” (dato erróneo pues ese NIF no pertenece a la entidad reclamada, sino que pertenece a otra entidad del grupo) En el escrito se hacen las siguientes manifestaciones con relevancia a los efectos de la investigación: Que los datos personales del denunciante fueron facilitados a EDP, por vía telefónica, en fecha 17/05/2018, por Dª B.B.B. quien efectuó el cambio en la titularidad del contrato de gas y manifestó actuar en representación del afectado. Se aporta una grabación de la conversación telefónica mantenida. Las entidades reclamadas afirman que “Como se puede comprobar a partir del minuto 7:56 del archivo de audio denominado 803818026680675 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/30 grabación telefónica, de conformidad con la normativa en materia de protección de datos vigente en la fecha de la conversación telefónica, EDP informó correctamente sobre el tratamiento que se va a llevar a cabo de los datos personales tanto de la Representante como de su representado (el ahora Denunciante), en virtud de la tramitación del cambio de titularidad”. (El subrayado es de la AEPD) Que durante la tramitación del cambio de titularidad -como se puede comprobar en las grabaciones aportadas- EDP informó a D ª B.B.B. de que el número de DNI del afectado se detectaba por el sistema como erróneo y era precisa su verificación por el titular. Añade que, al día siguiente, 18/05/2017, la persona que decía actuar en nombre del afectado se puso de nuevo en contacto telefónico con EDP para completar los trámites del cambio de titularidad y en el curso de esa conversación -cuya grabación también se ha facilitado a esta Agencia- afirmó de nuevo que actuaba en representación del reclamante. EDP dice que “ha guardado todas las cautelas exigibles tanto en lo relativo a la contratación como en lo relativo a la obligación de información establecida en materia de protección de datos”. Añade que entiende que el motivo del requerimiento efectuado por la Inspección de la AEPD puede deberse a que “…la Representante no haya trasladado adecuadamente al Denunciante la información relativa tanto a los términos de la contratación como de tratamiento de datos”. Manifiesta que, una vez recibido el requerimiento informativo de la Inspección de Datos, se puso en contacto con el reclamante mediante carta dirigida a su domicilio de fecha 15/11/2018 de la que nos facilita copia. En la carta remitida al reclamante se hace constar que “…la contratación del suministro eléctrico con EDP Comercializadora, S.A. (en adelante EDP) se llevó a cabo por vía telefónica por Doña B.B.B. …” (el subrayado es de la AEPD) Explicación que estimamos errónea por cuanto el documento contractual que envió al reclamante y que éste ha facilitado a la Agencia dice claramente que el cliente contrata el “suministro de gas” con EDP Comercializadora, S.A.U., y el de electricidad con otra empresa del grupo, EDP Energía, S.A.U. Indica que “Doña B.B.B., ..manifestó actuar con su conocimiento y en su representación, procediéndose al cambio de titularidad del suministro correspondiente al domicilio sito en ***DIRECCION.1”. Añade que la contratación se llevó a cabo “siguiendo todas las cautelas exigibles, y dando cumplimiento al deber de información (…), siendo necesario que las mismas pasen a formar parte de la base de datos de clientes para la correcta gestión del contrato suscrito”. En fecha 30/11/2018, de conformidad con lo dispuesto en el artículo 9.5 del Real Decreto-Ley 5/2018, se firma el acuerdo de admisión a trámite de la presente reclamación. Al amparo del artículo 11 del Real Decreto-Ley 5/2018, una vez admitida a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/30 trámite la reclamación y antes de la adopción del acuerdo de inicio, en el marco de la investigación previa, por el servicio de Inspección de esta Agencia se levanta Diligencia de fecha 14/02/2019 en virtud de la cual se incorpora al expediente E/7378/2018 la información general de la entidad, extraída del Registro Mercantil en esa misma fecha: El capital social suscrito y desembolsado asciende a 1.487.898 euros. La sociedad dio comienzo a sus operaciones el 19/11/1.998. TERCERO: Los hechos objeto de la presente reclamación quedan sometidos a las disposiciones del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos, que entró en vigor el 25/05/2018. La reclamada afirma que obtuvo los datos personales del reclamante y dio de alta a su nombre un contrato de gas en fecha 17/05/2018, a través de una llamada telefónica de una persona que dijo ostentar su representación. Así pues, el tratamiento de los datos personales del afectado se inició antes de que entrara en vigor el Reglamento (UE) 2016/679 -lo que acontece el 25/05/2018- y cuando estaba aún vigente la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, LOPD. No obstante, la conducta de EDP en la que se concreta la infracción, el tratamiento de los datos del reclamante vinculados a un contrato de gas sin legitimación para ello, se ha mantenido en el tiempo hasta la actualidad o, al menos, hasta el 15/11/2018 pues así está acreditado documentalmente. La infracción de la que se responsabiliza a EDP participa de la naturaleza propia de las denominadas infracciones permanentes, en las que la consumación se proyecta en el tiempo más allá del hecho inicial y se extiende, vulnerando la normativa de protección de datos, durante todo el periodo de tiempo en el que el dato es objeto de tratamiento. En el presente caso, pese a que en la fecha en la que se inicia la conducta infractora la norma aplicable era la LOPD, la normativa que resulta de aplicación es la que está vigente cuando la infracción se consuma, porque es en ese instante cuando se entiende cometida. El Tribunal Supremo se ha pronunciado sobre la norma que ha de aplicarse en aquellos supuestos en los que las infracciones se prolongan en el tiempo y ha habido un cambio normativo mientras se cometía la infracción. La STS de 17/04/2002 (Rec. 466/2000) aplicó una disposición que no estaba vigente en el momento inicial de comisión de la infracción, pero sí en los posteriores, en los que continuaba la conducta infractora. La Sentencia examinó un supuesto que versaba sobre la sanción impuesta a una Jueza por incumplimiento de su deber de abstención en unas Diligencias Previas. La sancionada alegaba la no vigencia del artículo 417.8 de la LOPJ cuando ocurrieron los hechos. La STS consideró que la infracción se había venido cometiendo desde la fecha de la incoación de las Diligencias Previas hasta el momento en que la Jueza fue suspendida en el ejercicio de sus funciones por lo que esa norma sí era de aplicación. En idéntico sentido se pronuncia la SAN de 16/09/2008 (Rec.488/2006) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/30 CUARTO: Con fecha 21/03/2019 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del RGPD. QUINTO: Con fecha 09/04/2019 se reciben en el Registro de la AEPD las alegaciones de la reclamada al acuerdo de inicio del expediente sancionador en las que solicita que se proceda al archivo de las actuaciones “por haber actuado …conforme a Derecho” y, subsidiariamente, que la sanción se imponga en su cuantía mínima. Aporta como prueba documental un CD con una grabación, de la que no consta fecha, en la que una persona que se identifica con el nombre, apellidos y NIF del reclamante, hace una llamada a EDP y manifiesta que le han cortado el suministro, al tiempo que pregunta cuál es el importe adeudado añadiendo que le suena que son 140,77 euros. La entidad, después de preguntarle por el punto de suministro le informa de que adeuda 170,80 euros y que puede pagar con tarjeta. La reclamada, en apoyo de sus pretensiones, esgrimió en el escrito de alegaciones al acuerdo de inicio los argumentos siguientes: - Que “ha guardado todas las cautelas exigibles” y que la “contratación ha sido en todo momento de buena fe por parte de EDP, cumpliendo en todo momento con lo estipulado en la normativa vigente en materia de protección de datos”. Añade que por las razones que alega -que detallamos más adelante- “la relación contractual con el Denunciante es perfectamente válida, la recogida de datos se realizó conforme a Derecho y el tratamiento de los datos del denunciante es perfectamente válido”. - Para el caso de que la AEPD no acuerde el archivo de las actuaciones, alega que la sanción fijada en el acuerdo de inicio del expediente sancionador vulnera el principio de proporcionalidad. Sostiene que no existió culpabilidad ni antijuridicidad en su actuación y que “la sanción a imponer tendría que corresponderse con una infracción leve, en su cuantía mínima”, pues, dice, “no sólo no se aplicarían las supuestas agravantes, sino que serían de aplicación la práctica totalidad de las atenuantes recogidas en el régimen sancionador”. - Manifiesta que, como acreditó en el procedimiento E/7378/2018, “existe una relación contractual válida” entre EDP y el reclamante. Afirma que la legitimación del tratamiento de los datos del reclamante y la confirmación de una relación contractual válida entre el reclamante y EDP se justifica por dos extremos que la propia Agencia ha considerado probados en el acuerdo de inicio si bien, respecto a ellos, afirmó también que eran irrelevantes desde el punto de vista de la valoración que le compete hacer. A saber, “que los datos del reclamante los obtuvo a través de la señora B.B.B. y que esta señora afirmó en varias ocasiones, en el curso de las conversaciones telefónicas, que actuaba en representación del reclamante”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/30 - Declara que estamos ante un ejemplo de mandato representativo regulado en el Código Civil (artículos 1709-1739) lo que le lleva a afirmar con énfasis que “…por ello no se ha infringido norma alguna por parte de EDP en la contratación …”. Añade que el mandato puede ser verbal, “siempre que de las circunstancias se pueda deducir la veracidad y concesión del mismo” y que puede ser expreso o tácito, deducido de los actos propios del mandante. Esta exposición doctrinal sobre el contrato de mandato la pone en conexión con hechos tales como la grabación que adjunta a su escrito de alegaciones; lo que para EDP constituye una ratificación de la contratación y del mandato. A tal efecto invoca la STS, Sala Primera, de 09/01/1964, según la cual el mandante que se aprovecha de los actos del mandatario ratifica el mandato tácitamente; la prohibición de abuso de derecho (ex artículo 7.2 C.C.) -toda vez que, afirma, el “Denunciante” habría disfrutado de los suministros prestados- y sería también contrario a la buena fe que debe presidir el ejercicio de los derechos (ex artículo 7.1 C.C.) - Incide en que “las consecuencias de una posible actuación negligente por parte de la señora B.B.B., …, no puede en ningún caso afectar a la validez contractual, ..La relación contractual entre las partes queda perfeccionada y es plenamente legítima”. - Invoca el artículo 83 del Real Decreto 1955/2000, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de energía eléctrica, en el que, dice, se otorga al consumidor que esté al corriente del pago la facultad de traspasar su contrato a otro consumidor que vaya a hacer uso del mismo en idénticas condiciones. Insiste en que “el cambio de titularidad se produce bajo las mismas condiciones contractuales, es decir, sin que el cambio pueda ser considerado un alta nueva y por tanto una nueva contratación”. - Ante la exposición hecha por la Agencia en el acuerdo de inicio relativa a que no se habían aportado pruebas de que el reclamante hubiera otorgado su representación a la persona que afirmó actuar en su nombre (la señora B.B.B.) ni de que la entidad desplegó la diligencia mínima exigible para verificar que efectivamente su interlocutora tenía la representación que afirmaba ostentar EDP contraargumenta que “no existe tal obligación” y que “el C.C. admite la libertad de forma en la figura del mandato, pudiendo ser este verbal…” SEXTO: Con fecha 18/11/2019 se abre un período de práctica de prueba en el que se acuerdan, cómo únicas diligencias probatorias, la incorporación al PS/25/2019 de los documentos que integran el expediente E/07378/2018 -cuya incorporación a tal fin ya se anunció en el Acuerdo de Inicio del procedimiento-: Los escritos de reclamación; la documentación generada por la AEPD; la respuesta de la reclamada a la solicitud de información y la Diligencia de fecha 18/11/2019, levantada durante las actuaciones de investigación previa, con la información obtenida en esa fecha a través de AXESOR relativa al resultado de la actividad de la reclamada durante el ejercicio 2018-. Asimismo, se dan por incorporadas al expediente sancionador las alegaciones de la reclamada al acuerdo de inicio y sus documentos adjuntos. SÉPTIMO: El 27/11/2019 se formula propuesta de resolución en los siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/30 términos: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a EDP COMERCIALIZADORA S.A., con NIF A95000295, por una infracción del aartículo 6.1 del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD, con una multa de 75.000,00 euros (setenta y cinco mil euros). (…) SEGUNDO: Que, de conformidad con el artículo 58.2 del RGPD, se imponga a EDP COMERCIALIZADORA, S.A.U., la ADOPOCIÓN DE LAS MEDIDAS que resulten INDISPENSABLES para adecuar sus protocolos de contratación telemática a las disposiciones que sobre la licitud del tratamiento de datos personales establece el RGPD; en particular en las contrataciones a través de representante en las que debe estar en condiciones de acreditar tanto la realidad de la representación otorgada por el titular de los datos como la identidad de quien ostente en la contratación la condición de representado. Asimismo, en caso de no tenerlas implementadas, deberá adoptarlas en el protocolo de contratación presencial. Medidas que, en su caso, habrán de adoptarse en el plazo de un mes computado desde la fecha en la que la resolución sancionadora sea ejecutiva.>> La propuesta de resolución se notificó electrónicamente a la reclamada siendo la fecha de puesta a disposición el 26/11/2019 y la fecha de aceptación ese mismo día. A tenor del artículo 73 de la LPACAP, el plazo para formular alegaciones es de diez días computados desde el siguiente a la notificación. OCTAVO: El 12/12/2019 tienen entrada en la sede electrónica de esta Agencia las alegaciones de la reclamada a la propuesta de resolución en las que solicita que se proceda al archivo del procedimiento por haber actuado, dice, conforme a Derecho. En defensa de su pretensión la reclamada reitera las alegaciones hasta ahora formuladas -al acuerdo de inicio del expediente sancionador y en el trámite informativo previo- y, en síntesis, aduce los argumentos siguientes: - Manifiesta en la alegación primera que “las evidencias presentadas por esta representación marcan la actuación proactiva del representante en contratar en nombre de su representado, ratificando éste la existencia del punto de suministro y por lo tanto la existencia del contrato”. Considera que el tratamiento que EDP ha hecho de los datos personales del denunciante es legítimo pues a su juicio existe entre ambos una relación contractual válida. - En su alegación segunda la reclamada sostiene que es víctima de una situación de “indefensión jurídica” fruto de la actuación de la AEPD toda vez que esta Agencia ha admitido “acreditado el origen de los datos, aportados en la llamada en el momento de la contratación realizada por la Sra. B.B.B., resultándole sin embargo irrelevantes de cara a acreditar el debido tratamiento de los mismos cuando -argumenta la reclamada- es precisamente ese punto lo que justifica la legitimación del tratamiento de los datos del denunciante, puesto que la existencia de una relación contractual válida entre las partes queda confirmada” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/30 A propósito del documento sonoro que EDP aportó a esta Agencia anexo a sus alegaciones al acuerdo de inicio, después de reproducir la valoración que de esa prueba hizo la instructora del expediente en la propuesta de resolución, añade las siguientes afirmaciones, pese a que ni en el documento sonoro facilita una fecha y ni en él ni en ningún otro se justifica lo que ahora alega: “Que esta representación no sólo indica que la grabación recoge el consentimiento de la persona física que llama para proceder al abono de las facturas, siendo recogida la fecha del a llamada el 10 de agosto de 2018, sino que dicho pagador , es el hijo del Denunciante conociéndole a este último como titular del contrato”. (El subrayado es de la AEPD) La reclamada dice que, a su juicio, la “contratación por representación,.., se ha realizado conforme a Derecho, no solo solicitando la documentación requerida y obtenida la prueba de la contratación realizada, sino que la misma es ratificada en un momento posterior”. - En su alegación tercera trata de rebatir la total ausencia de diligencia en su actuación que le atribuyó la propuesta de resolución y a ese respecto dice: “… sin embargo, mi mandante actuó cumpliendo con los requisitos exigidos por la normativa civil y mercantil, asegurando la identificación del anterior y nuevo titular, así como de plasmar en soporte duradero la operación realizada” y destaca -aparece escrito en negrilla- que la AEPD “no solo dificulta e inhibe el tráfico jurídico, sino que anula completamente la figura del representante y del mandato, no considerando este órgano administrativo estas operaciones realizadas por terceros como actos legítimos” - En la alegación cuarta -como respuesta a la afirmación que hace la propuesta de resolución de que la entidad carece por completo de una protocolo de actuación para las contrataciones telemáticas cuando la persona que facilita los datos no es el titular, sino un tercero que afirma actuar en su nombre- dice: “no estamos ante una contratación; que cuenta con un proceso de doble verificación implementado para nuevas contrataciones” y que el supuesto analizado supone “una mera modificación del titular del contrato ya suscrito con anterioridad” lo que le lleva a afirmar que no resulta de aplicación “ni el procedimiento de contratación” “ni la doble verificación supone una garantía legal de obligada implementación por mi mandante”. Y concluye diciendo: “…la AEPD exige la acreditación del otorgamiento de la representación a través de un elemento probatorio a mi representada, como un deber de diligencia mínimo necesario, exigencia que la normativa no recoge. Por ello, en este caso y que la AEPD sancione por no cumplir con dicho requisito supondría una resolución no conforme a Derecho”. - En su alegación quinta declara: “Se están analizando las distintas posibilidades viables, tanto técnica como operativamente hablando, para reforzar los procedimientos de contratación cuando dichas gestiones son tramitadas por un tercero en representación del titular”. De las actuaciones practicadas han quedado acreditados los siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/30 HECHOS 1.- D. A.A.A., con NIF ***NIF.1 y domicilio en ***LOCALIDAD.1 (***CCAA.1) ***DIRECCION.2, declara haber recibido en su domicilio el documento “Notificación de impago” (al que él se refiere como “factura”) que lleva el anagrama de EDP y está firmado el 31/05/2018. En el citado documento EDP le requiere el pago de una deuda derivada de un contrato que él niega haber suscrito. Contrato al que afirma ser totalmente ajeno y que corresponde a una dirección de suministro con la que no tiene ninguna relación. 2.- En el documento mencionado en el Hecho 1, “Notificación de impago”, del que el reclamante aportó una copia a la AEPD con su reclamación, le requieren el pago de una deuda por importe de 79,81 euros derivada de un contrato de gas y luz. En el documento se facilitan los siguientes “Datos del contrato”: Como “Tipo de contrato”, “Plan fórmula gas + luz”; como “Nº Cta./Contrato” el 70000852279; como “Dirección de Suministro” “***DIRECCION.1”. En el documento figuran como “Datos del cliente”, además del nombre y dos apellidos del reclamante, su domicilio, ubicado en localidad distinta del punto de suministro; su NIF y un número de teléfono fijo del cual el reclamante niega ser titular, ***TELEFONO.1. 3.-Obra en el expediente, aportada por el reclamante, la copia del “Contrato de energía y/o servicios”, que EDP le envió a su domicilio. Al pie del documento, en el apartado destinado a la firma de la entidad, consta “EDP ENERGÍA, S.A.U. y/o EDP COMERCIALIZADORA, S.A.U.” Encima de la rúbrica “Condiciones específicas del contrato” figura esta leyenda: “El cliente contrata para el local de negocio o vivienda que se indica en el encabezamiento, el suministro de gas con EDP COMERCIALIZADORA, S.A.U. y el suministro de electricidad y/o los servicios complementarios con EDP ENERGÍA, S.A.U. (en adelante, conjunta y/o individualmente, según proceda, referidas como “EDP”) con arreglo a las Condiciones Específicas que se recogen a continuación y a las Condiciones Generales que figuran en anexo”. (El subrayado es de la AEPD) 4.- El “Contrato de energía y/o servicios” aportado por el reclamante, descrito en el Hecho probado 3, ofrece la siguiente información: - En el apartado “Cliente”: como “Titular del contrato”, “D. A.A.A.”; como “Dirección” “***DIRECCION.2 ***LOCALIDAD.1 ***CCAA.1”. En el apartado “NIF” el ***NIF.1. Y en el apartado “Teléfono 1” el número de móvil ***TELEFONO.2. La casilla “Teléfono 2” y “Fax” no contiene ningún dato. Tampoco consta el teléfono fijo que figuraba en el documento de notificación de impago (ver Hecho probado 2) - En el apartado “Datos del suministro”, la “Dirección del suministro (***DIRECCION.1” y los números de CUPS de electricidad y de gas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/30 - En el apartado “Nº Cta. Contrato” “70000852279 Fórmula Gas+Luz” - En el apartado “Duración y facturación” “Fecha de emisión: 18.05.2018” 5.- El reclamante ha declarado que, después de recibir en su domicilio la “factura” -el documento “Notificación de impago”- hizo la correspondiente reclamación ante EDP mediante llamada telefónica desde su teléfono móvil. Explicó que unos días más tarde recibió en su domicilio el ejemplar del contrato para el punto de suministro sobre el que versó la notificación de impago y su reclamación, a fin de que lo firmara. Subraya que, sin su consentimiento, el documento contractual recibido incorpora su número de teléfono móvil, número desde el cual hizo la reclamación telefónica a EDP. 6.- EDP, en el marco del E/7378/2018, en su respuesta a la solicitud informativa de la Agencia, afirmó que los datos personales del reclamante le fueron facilitados en fecha 17/05/2018, por vía telefónica, por D ª B.B.B. “quien manifiesta actuar en condición de representante del Denunciante (en adelante la “Representante”) durante la tramitación del cambio de titularidad del suministro correspondiente al domicilio sito en ***DIRECCION.1” (el subrayado es de la AEPD) 7.- EDP, en el marco del E/7378/2018, remitió a esta Agencia un CD que contenía dos documentos (1 y 2) El documento 1 está integrado por dos archivos de audio (
3. i)803818026680675 y (
4. ii)803818026680926. 7.1. En el audio (
5. i)del documento 1, la persona que efectúa la llamada solicita hacer un cambio de titular y se identifica como “antiguo titular”. La teleoperadora dice: “Dígame primero, si es tan amable, DNI del titular vigente ahora mismo, el suyo”. La llamante dice: “Vale, es un CIF, es una empresa, ¿vale? B24292534”. El nombre de la empresa que facilita es “Obras y pavimentaciones hidráulicas”. Como dirección de suministro que se desea cambiar de titular se facilita la ***DIRECCION.1. La señora B.B.B. se identifica como “representante” del antiguo titular del contrato y afirma ser la responsable de Administración de la empresa. En el minuto 2:38 la teleoperadora dice: “Dígame ahora el nombre del nuevo titular”. El diálogo es el siguiente: - “A.A.A. (…)” - “¿DNI de don A.A.A.?” - “***NIF.1” - “***LETRA.1 de ***LOCALIDAD.2, ¿verdad?” - “Espere un momentito, porque me ha escrito una ***LETRA.1 pero parece una ***LETRA.2. Y como me lo ha escrito él. A ver, que te lo confirmo ahora mismo…***LETRA.1.” - “Dígame el teléfono de don A.A.A.…” - “***TELEFONO.2” En el minuto 5:21 de la grabación se escucha: “Siendo las 16 y 51 horas del día 17 de mayo de 2018 doña B.B.B. ha llamado y quiere contratar con EDP para lo cual procedemos a realizar la siguiente grabación de conformidad. ¿Está usted de acuerdo? - Sí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/30 -Doña B.B.B., con DNI ***NIF.2 como administradora y en representación del titular A.A.A., con DNI ***NIF.1, teléfono ***TELEFONO.2, acepta la oferta de EDP para la dirección ***DIRECCION.1, que consiste en un plan fórmula gas+ luz …para el CUPS de luz (…) con un CUPS de gas (…) En su nombre y de su representando, tras superar los análisis de riesgo de la operación, haremos las gestiones necesarias para activar los contratos de acceso, momento a partir del cual entrará en vigor el nuevo contrato quedando resuelto el anterior (…) ¿Está conforme con la anterior información Y condiciones de los contratos? - Sí - (…) Sus datos personales y los de su representado serán tratados para la gestión de estos contratos por EDP Energía, S.A.U., con CIF A 33543547 y EDP Comercializadora, S.A.U., con CIF A 95000295 (…) En el minuto 8:35 de la grabación la llamante dice: -“Sí, te quiero preguntarte una cosa. Respecto a lo de la validez del cambio, bueno, realmente no me preocupa, porque él lleva ya de alquiler bastantes meses y no va a pasar nada…, pero, realmente, la siguiente factura ¿ya le va a llegar a nombre de él.” 7.2. En el audio (
6. ii)del documento 1, la teleoperadora comunica a doña B.B.B. “…, verá, es que como hemos tenido problemas con el documento nacional de identidad, ¿podría confirmarme que exactamente fue una M?, porque me ha dado erróneo el sistema. A lo que responde doña B.B.B.: pues no, porque está escrito de la mano. - Claro es que podemos probar que sea una H. Pero claro, sin confirmar…no deja de ser un documento nacional de identidad y podemos cometer un error grave…Queda en volver a llamar. 8.- El CD aportado por EDP a la Agencia en el marco del E/7378/2018, contienee dos documentos. El documento 2 está, a su vez, integrado por dos archivos audio: (
7. i)803818026691798 y (
8. ii)803818026691972. 8.1. Audio (
9. i)documento 2: La llamante dice: -Hola buenos días. Ayer llamé para hacer un cambio de titularidad. Hicimos yo creo que todo el proceso porque se hizo la grabación y tal. Pero al final no, bueno no cuadraba porque el DNI del nuevo titular, …bueno la letra. No la teníamos clara al 100% y no continuamos (…) En el minuto 6:15 se escucha: - “La dirección de envío de facturación. Domicilio. ¿Dónde quiere que se la remitamos? ¿Al suministro?” -“Sí” -“Perfecto. Dirección punto de suministro”. 8.2. Audio (
10. ii)documento 2: En el minuto 2:44 de la grabación, se indica: -“Son en este momento los 1 y 46 minutos de la tarde del día 18 de mayo de 2018. Nos llama la señora B.B.B. … con DNI… y quiere contratar con EDP para lo cual procedemos a realizar la siguiente grabación de conformidad, ¿de acuerdo?” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/30 - “Sí” - “Muy bien, la señora B.B.B. …con DNI … como representante y en representación del titular, señor don A.A.A.…con DNI teléfono …. acepta la oferta de EDP para el punto de suministro… “. Doña B.B.B. asiente a la pregunta. En el minuto 6:32 se escucha: - “El motivo por el que tenemos que realizar de nuevo la grabación es que si el DNI no es válido la grabación no es válida” 9.- Obra en el expediente, aportada por EDP, copia de la carta que con fecha 15/11/2018, y en cumplimiento de la petición que hizo la AEPD en el escrito de solicitud informativa (E/7378/2018), dirigió al reclamante. En ella afirma lo siguiente: Que la contratación del suministro eléctrico con EDP Comercializadora, S.A.U., “se llevó a cabo por vía telefónica por Doña B.B.B., quien manifestó actuar con su conocimiento y en su representación,..” - “Que dicha contratación se llevó a cabo siguiendo todas las cautelas exigibles…”. 10.- Obra en el expediente, aportado por EDP - alegaciones al acuerdo de inicio- la grabación de una conversación telefónica, de la cual no se facilita fecha, mantenida entre la entidad y una persona que se identificó con los datos del reclamante -nombre, dos apellidos y NIF-. La persona que efectúa la llamada dice llamar para pagar una factura pendiente, pues le han cortado el suministro. El empleado de EDP le pregunta por el importe pendiente y responde: “me suena que es 140,77 euros”. Después de preguntarle por el punto de suministro le informan de que adeuda 170,80 euros y de que puede pagar con tarjeta. Se interroga a quien efectúa la llamada por un número de teléfono y facilita el ***TELEFONO.2. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El RGPD dedica el artículo 5 a los principios que deben regir el tratamiento y, entre ellos, menciona los de “licitud, lealtad y transparencia”. El precepto dispone: “1. Los datos personales serán: Tratados de manera lícita, leal y transparente con el interesado;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/30 (El subrayado es de la AEPD) El artículo 6 del RGPD -bajo la rúbrica “Licitud del tratamiento”- detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
11. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
12. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
13. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
14. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
15. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
16. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
17. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. (…)” Procede recordar que el artículo 5 del RGPD, después de aludir en su apartado 1 a los principios relativos al tratamiento de los datos personales -entre ellos, como se expone en párrafos anteriores, al de “licitud”-, añade en el apartado 2: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” (El subrayado es de la AEPD) La infracción del artículo 6.1 del RGPD se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
18. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” Hay que indicar, además, que la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), a efectos de prescripción, califica en su artículo 72.1.
19. b)como infracción muy grave “El tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/30 de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679” III Se atribuye a la reclamada en el presente procedimiento sancionador una infracción del artículo 6.1 RGPD. La reclamada trató los datos personales del reclamante sin legitimación. No ha podido acreditar que el tratamiento de datos efectuado tuviera su base jurídica en alguna de las circunstancias que detalla el artículo 6.1 del RGPD. A.- Ha quedado acreditado a través de la documentación que obra en el expediente administrativo –descrita en lo esencial en los Hechos Probados- que EDP trató los datos personales del reclamante (nombre, apellidos, NIF, domicilio y número de teléfono móvil) vinculados a un contrato de gas del que el afectado niega haber sido parte y sin que la reclamada haya aportado documentación de ningún tipo de la que se evidencie que el tratamiento de los datos estaba amparado en alguna de las condiciones de licitud que el artículo 6.1 RGPD relaciona. A tenor del artículo 6.1 del RGPD el tratamiento de los datos personales de terceros debe de ser “lícito”, para lo cual debe, en principio, cumplir alguna de las condiciones descritas en los apartados
20. a)a
21. f)del precepto. B.- En el supuesto analizado, EDP atribuye al reclamante la condición de parte en el contrato de gas para el punto de suministro ubicado en la ***DIRECCION.1. El reclamante niega haber suscrito el citado contrato y niega conocer ese punto de suministro. El reclamante está domiciliado en otra Comunidad Autónoma. La reclamada afirma que el reclamante es parte en un contrato de suministro energético de gas celebrado con ella a través de quien se identificó como su representante, la señora B.B.B., dando a entender así que la base jurídica del tratamiento es la ejecución del contrato (artículo 6.1.b, del RGPD). Sin embargo, para amparar el tratamiento efectuado por EDP en el artículo 6.1.
22. b)del RGPD es necesario que la condición de parte contratante del afectado quede acreditada. La razón de ser de esta causa de legitimación del tratamiento es precisamente que, en la medida en que el titular de los datos otorga el consentimiento al contrato, consiente también que sus datos personales sean objeto del tratamiento necesario para su ejecución y cumplimiento. Así pues, la cuestión es determinar si EDP ha aportado pruebas que demuestren que el afectado consintió contratar con esa entidad; lo que trasladado al supuesto que nos ocupa consistirá en valorar si se han aportado pruebas de que la señora B.B.B. ostentaba, efectivamente, la representación del reclamante o, en otras palabras, que como afirma la reclamada el reclamante había convenido con la señora B.B.B. un mandato representativo para que en su nombre contratara el suministro de gas. EDP aduce que es prueba bastante para demostrar que el reclamante había otorgado su representación a la señora B.B.B. para que suscribiera con ella, en su nombre, un contrato de gas el documento sonoro que ha aportado a esta Agencia: un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/30 CD con las grabaciones de las conversaciones telefónicas mantenidas entre esa entidad y una tercera persona (la señora B.B.B.) en las que ésta “manifiesta” “reiteradamente” que ostenta la representación del reclamante para dar de alta a su nombre ( o cambiar la titularidad del contrato de suministro que figuraba a nombre de una sociedad en cuya representación actúa la señora B.B.B.) un contrato de energía para el punto de suministro de la ***DIRECCION.1. Las grabaciones remitidas a la Agencia por EDP (descritas en los Hechos probados 7 y 8) hacen prueban, exclusivamente, de que una persona, la señora B.B.B., manifestó insistentemente ostentar la representación del reclamante para contratar en su nombre con EDP. Las citadas grabaciones, ni acreditan que el reclamante otorgara su representación a la citada señora para contratar en su nombre el suministro de gas ni aportan indicio alguno en tal sentido. Ahora bien, las grabaciones remitidas por EDP (cuatro audios, de los que dos de ellos integran el documento 1 y los restantes el documento 2 de los aportados con la respuesta a la solicitud informativa) sí prueban cuál es el origen de algunos de los datos personales del reclamante que EDP trató asociados a un contrato que él niega haber celebrado: nos referimos a los datos de nombre, apellidos y DNI del reclamante. Datos que, como se pone de manifiesto con la audición de las grabaciones, fueron proporcionados por la señora B.B.B. a EDP. Sin embargo, las grabaciones no explican cuál es el origen de otros datos del reclamante que EDP también trató vinculados a un contrato al que el titular de los datos personales es ajeno: su domicilio en ***LOCALIDAD.1, ***CCAA.1, que no coincide, como ya se ha puesto de relieve, con el del punto de suministro y el número de móvil del reclamante que EDP incorporó al ejemplar del contrato que envió a su domicilio. Las grabaciones evidencian además estos extremos: Que la aludida señora B.B.B. -que a juicio de EPD actuó en representación del reclamante- solicitó que la facturación le fuera remitida a su representado al domicilio del punto de suministro -***DIRECCION.1- pero en ningún momento proporcionó otro domicilio que el correspondiente al punto de suministro y facilitó únicamente como número de móvil de la persona a quien dijo representar el ***TELEFONO.2. Por tanto, de lo anterior hemos de concluir que no fue la señora B.B.B. quien facilitó a EDP el dato del domicilio del reclamante -domicilio que nada tiene que ver con el punto de suministro, pues está ubicado en otra Comunidad Autónoma, ***CCAA.1, en la localidad de ***LOCALIDAD.1, ***DIRECCION.2-, domicilio al que EDP envió el documento denominado “Notificación de impago” descrito en los Hechos Probados y más tarde una copia del contrato para que se la remitiera firmada. Asimismo, el número de móvil del reclamante, ***TELEFONO.2, que EDP incorporó al documento contractual que le envió a su domicilio, tampoco fue facilitado por la señora B.B.B.. Recordemos la explicación que el reclamante ha ofrecido. Que efectuó una reclamación telefónica ante EDP a través de su número de móvil y que el resultado fue recibir de la entidad un documento contractual para que se lo devolviera firmado en el que figuraba su número de móvil, desde el que hizo la llamada de reclamación. Pues bien, en ese documento contractual, sorprendentemente, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/30 aparecen ya ni el número de teléfono fijo que aparecía en la Notificación de Impago, el ***TELEFONO.1 -respecto al cual el reclamante manifestó en su escrito de reclamación que no le pertenecía- ni tampoco el número de móvil que la señora B.B.B. facilitó a EDP en el curso de las grabaciones como el número de teléfono de su supuesto representado: ***TELEFONO.2. Y finalmente, llama la atención que sea curiosamente este número de móvil (***TELEFONO.2) el mismo que más tarde facilitará a EDP una persona que contactará con la entidad a raíz de un corte en el punto de suministro y pregunta a cuánto asciende el importe adeudado. Grabación que EDP ha aportado con su escrito de alegaciones al acuerdo de inicio (ver Hecho probado 10) que a su juicio serviría para justificar la licitud del tratamiento de datos sobre el que versa la reclamación que nos ocupa. En definitiva: EDP no ha facilitado a esta Agencia ningún documento que haga prueba de la condición de representante del reclamante que la señora B.B.B. afirmó ostentar cuando contactó telefónicamente con la entidad y cambió la titularidad del contrato a nombre del reclamante, facilitando en ese acto el nombre, dos apellidos y NIF de su supuesto representado. EDP tampoco ha acreditado cuál es la legitimación para tratar otros datos del reclamante, como su domicilio o el teléfono móvil; datos que la señora B.B.B. no proporcionó a EDP. Cabe añadir a lo anterior otra circunstancia de gran significación. A la luz de la documentación aportada por EDP -cuatro audios con las llamadas habidas entre esa compañía y la señora B.B.B. los días 17 y 18 de septiembre de 2018 con el fin de gestionar el alta del contrato a nombre del reclamante- se comprueba que en ningún momento la entidad exigió que el tercero (la señora B.B.B.) que le proporcionó los datos del reclamante y dijo ostentar su representación aportara algún documento que acreditara ese extremo. Tampoco se tiene conocimiento de que la entidad, antes de dar de alta el contrato de suministro de gas a nombre del reclamante -y pese a que la legitimación de EDP para tratar los datos personales del reclamante se sustentaba, exclusivamente, en que habían sido facilitados por su supuesto representante- hubiera adoptado alguna medida para verificar la realidad de esa representación. Fuera contactando directamente con el titular de los datos o articulando algún otro mecanismo, lo cierto es que EDP no ha demostrado que hubiera desplegado una mínima diligencia en la comprobación de que, efectivamente, el titular de los datos había otorgado su representación al tercero que se los facilitó (la señora B.B.B.). Asimismo, tampoco consta que esta entidad tenga implementado un protocolo ad hoc. C-. El respeto al principio de licitud que debe presidir el tratamiento de datos de terceros y al que se refiere el artículo 6.1. del RGPD, lleva implícito que el responsable sea capaz de demostrar su cumplimiento (principio de responsabilidad proactiva, artículo 5.2 del RGPD) En el presente caso -en el que la reclamada afirma que la licitud del tratamiento se justifica en la existencia de un contrato en el que el afectado era parte- se traslada al responsable del tratamiento de los datos personales la carga de la prueba de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/30 contratación; o al menos la carga de la prueba de que desplegó la diligencia que era procedente para dar cumplimiento a tal obligación. Nos remitimos al artículo 5.2 del RGPD. En términos parecidos se pronunciaba la, actualmente derogada, Directiva 95/46, que se traspuso al ordenamiento interno español a través de la Ley Orgánica 15/1999, de Protección de Datos (LOPD) y que plasmó con toda claridad el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007. Normas vigentes cuando EDP inició el tratamiento de datos que es objeto de valoración en este expediente sancionador y que en la actualidad se encuentran derogadas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en supuestos como el que aquí se plantea, ha venido considerado bajo la normativa anterior que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia, debiendo el responsable del tratamiento de datos de terceros recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. D.- Invoca también EDP, en defensa de su declaración de que actuó con arreglo a Derecho y respetó el principio de licitud cuando trató los datos del reclamante, que, el cambio de titularidad del contrato de gas que gestionó la señora B.B.B. -en calidad de representante de la sociedad que era la titular del contrato de energía para el punto de suministro de ***DIRECCION.1- no le obligaba a acreditar que la presunta representante ostentaba la representación del nuevo cliente y titular de los datos tratados. Justifica tal afirmación en que el artículo 83 del Real Decreto 1955/2000 otorga al consumidor que esté al corriente del pago la facultad de traspasar su contrato a otro consumidor que vaya a hacer uso del mismo en idénticas condiciones. Y añade, además, que en el presente caso “el cambio de titularidad se produce bajo las mismas condiciones contractuales, es decir, sin que el cambio pueda ser considerado un alta nueva y por tanto una nueva contratación”. En respuesta a tal alegato, a propósito de la supuesta norma habilitante para el tratamiento efectuado (el R.D. 1955/2000), basta señalar que el artículo 6.1 del RGPD, en su apartado
23. c)contempla como uno de los supuestos de licitud del tratamiento que éste sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. Ahora bien, la obligación en tal caso ha de venir impuesta por una norma con rango formal de Ley. La exigencia de que la norma habilitante tenga el rango formal de Ley también se establecía en la normativa de protección de datos anterior. Nos referimos al artículo 10.2 del Reglamento de desarrollo de la LOPD, actualmente derogado, pero vigente cuando EDP inició el tratamiento de los datos del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/30 Sobre esa cuestión incidió en su momento la STC/292/2000 a propósito del artículo 6.1, in fine, de la LOPD, que mencionaba la Ley como una excepción al principio del consentimiento. El Tribunal Constitucional advirtió que una limitación a un derecho fundamental o al ejercicio de las facultades que lo integran requiere que se lleve a cabo a través de una Ley en sentido formal, sin que puedan introducirse limitaciones o restricciones al contenido de un derecho de esa naturaleza a través de una norma reglamentaria. En todo caso, y sin perjuicio de la exposición precedente, la norma reglamentaria que invoca EDP tiene como presupuesto fáctico que el consumidor estuviera al corriente del pago. Y como revela la audición de la grabación aportada con las alegaciones al acuerdo de inicio -en la que una persona que se identifica con los datos del reclamante contacta con EDP para preguntar por el importe adeudado ya que le han cortado el suministro eléctrico- se adeudaban tres facturas. Respecto a la segunda reflexión de la reclamada -que no se produjo un alta nueva con los datos del reclamante sino una subrogación del reclamante en el contrato anterior- se trata de una cuestión de naturaleza civil/mercantil sobre la que esta Agencia no debe pronunciarse. Lo relevante a los efectos que nos ocupan es que, con independencia de que estemos ante una subrogación o ante un nuevo contrato, en ambos casos, el reclamante tendría, según viene sosteniendo la reclamada, la condición de parte contratante. Y en cuanto tal, para hacer valer como base jurídica del tratamiento el artículo 6.1.
24. b)del RGPD, es imprescindible que el titular de los datos hubiera otorgado a su pretendida representante el consentimiento para que actuara en tal condición, extremo que en ningún caso se ha acreditado por EDP. Esta Agencia reitera que ninguno de los documentos que EDP ha aportado acredita lo que es sustancial en el asunto examinado: que el titular de los datos otorgó a la señora B.B.B. su representación para que en su nombre gestionara el cambio en la titularidad del contrato de electricidad del punto de suministro de ***DIRECCION.1. La reclamada tampoco ha aportado documentos o indicios probatorios que evidencien que la entidad, ante tal situación -una contratación telemática a través de quien afirma ser el representante del titular de los datos-, desplegó la diligencia mínima exigible para verificar que efectivamente su interlocutora tenía la representación que afirmaba ostentar. El respeto al principio de licitud, antes principio del consentimiento, que está en la esencia del derecho fundamental de protección de datos de carácter personal, exige acreditar que el titular de los datos consintió que un tercero en su nombre celebrara un contrato con EDP o, al menos, que la responsable del tratamiento desplegó la diligencia imprescindible para acreditar ese extremo. De no actuar así -y de no exigirlo así esta Agencia, a quien le incumbe velar por el cumplimiento de la normativa reguladora del derecho de protección de datos de carácter personal- el resultado sería vaciar de contenido el principio de licitud y en particular el artículo 6.1 de la LOPD. E.- Constatado que EDP trató los datos personales del reclamante y constatado también que esta entidad no ha facilitado a la AEPD ningún documento que demuestre que el reclamante otorgó su representación a la persona que celebró el contrato con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/30 ella y afirmó actuar en su nombre -lo que hubiera permitido estimar lícito el tratamiento al amparo del artículo 6.1.b, del RGPD- se ha de valorar si intervino culpa de la entidad reclamada o si omitió la diligencia que era procedente, atendidas las circunstancias del caso, imprescindible para que la conducta analizada sea subsumible en el tipo infractor del artículo 83.5. del RGPD. Esto, porque rige en nuestro Derecho sancionador el principio de culpabilidad, que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento de la culpabilidad en sentido amplio, como condición para que nazca la responsabilidad sancionadora, ha sido reconocida por el Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla. La Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” (El subrayado es de la AEPD) En el supuesto analizado no sólo está presente el elemento de la culpabilidad extremo que la reclamada niega en sus alegaciones al acuerdo de inicio- sino que se aprecia una gravísima falta de diligencia de la reclamada que tiene una consecuencia directa en la determinación del importe de la sanción a imponer. En el cumplimiento de las obligaciones que el RGPD impone al responsable del tratamiento éste debe desplegar la diligencia mínima que requieren las circunstancias del caso. Es ilustrativa la SAN de 29/04/2020 -que, si bien se dictó en un asunto de contratación fraudulenta y bajo la normativa anterior, es perfectamente extrapolable al que nos ocupa- cuyo Fundamento Jurídico sexto dice: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Por ello, incluso existiendo una conducta antijurídica, cuando el responsable del tratamiento acredita haber actuado con la diligencia que las circunstancias del caso exigen para cumplir las obligaciones impuestas por la normativa de protección de datos, al estar proscrita la responsabilidad objetiva en nuestro Derecho Administrativo sancionador, la AEPD procede al archivo del expediente. En el supuesto que examinamos se constata que la entidad EDP no desplegó la más mínima diligencia con el fin de estar en condiciones de probar que el titular de los datos personales había otorgado su representación a la persona que afirmó actuar en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/30 su nombre en la contratación. La reclamada no verificó antes de gestionar el cambio de titularidad del contrato de suministro de gas a nombre del reclamante si quien decía actuar en su representación efectivamente la ostentaba. Hasta tal punto es grave la falta de diligencia demostrada por EDP en el supuesto que nos ocupa que las grabaciones de las conversaciones mantenidas entre la entidad y la persona que se identificó como representante del reclamante ponen de manifiesto que la supuesta representante no obtuvo el dato del DNI del afectado mediante el cotejo del documento. Por el contrario, como la señora B.B.B. explicó en la conversación con EDP cuya grabación obra en el expediente, el dato había sido escrito a mano por la persona a quien decía representar. Llamativo es también que pese a las incidencias surgidas en la contratación telefónica respecto a la letra del DNI del representado -lo que obligó a que la señora B.B.B. tuviera que llamar una segunda vez a EDP después de verificar la letra del documento- la reclamada siguió sin articular alguna medida consistente destinada a verificar que efectivamente el titular de los datos había otorgado su representación a la persona que intervino en la contratación. A la luz de las grabaciones que obran en el expediente y de lo alegado por EDP en su defensa, se evidencia con nitidez que la entidad carece por completo de un protocolo de actuación para las contrataciones telemáticas cuando la persona que facilita los datos no es su titular, sino un tercero que afirma actuar en su nombre. Carencia que, además, impide dar cumplimiento al principio de responsabilidad proactiva. A propósito del elemento de la culpabilidad en el marco del procedimiento sancionador parece conveniente referirnos a la SAN de 30/05/2015 (Rec. 163/2014) que ha destacado las diferencias que existen entre la atribución de responsabilidad a una persona física y a una persona jurídica y conecta la “reprochabilidad” de una determinada conducta a una “persona jurídica” con la circunstancia de que aquella “hubiera dispensado o no una eficaz protección al bien jurídico protegido por la norma”. El Fundamento de Derecho segundo de la citada Sentencia dice: <<No obstante, el modo de atribución de la responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>> EDP–habida cuenta del carácter de la actividad empresarial que desarrolla, que lleva implícita el tratamiento de numerosos datos personales- tenía la obligación de haber adoptado las medidas necesarias y oportunas para estar en condiciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/30 cumplir las obligaciones que están implícitas en el principio de licitud. En definitiva, la conducta de EDP, materializada en el tratamiento de los datos personales del reclamante –nombre, dos apellidos, NIF, teléfono móvil y domicilio– vinculados a un contrato energético de gas en el que él niega ser parte, sin que haya acreditado esa condición del reclamante y sin que hubiera observado una mínima diligencia en su actuación, vulnera el artículo 6.1.b, del RGPD, actuación subsumible en el tipo sancionador del artículo 83.5 del RGPD. IV Los argumentos esgrimidos por la reclamante en sus diversos escritos -escritos cuyo contenido se resume en los Antecedentes segundo, quinto y octavo, y a los que hacemos mención en los Fundamentos precedentes de esta resolución- exigen hacer algunas precisiones: En defensa de su pretensión de archivo del expediente EDP hace diversas alegaciones que giran en torno a una misma idea: la existencia de un contrato de mandato representativo entre la señora B.B.B. y el reclamante para que la primera celebrara en su nombre un contrato de energía con EDP. Mandato representativo que para EDP es la base jurídica legitimadora del tratamiento que ha efectuado. Para sustentar tal afirmación, la reclamada hace un sinfín de afirmaciones carentes de toda consistencia jurídica. Dice, por ejemplo, que “existe una relación contractual válida” entre EDP y el reclamante y justifica esa afirmación en dos elementos que, manifiesta, la Agencia consideró probados en el acuerdo de inicio: “que los datos del reclamante los obtuvo a través de la señora B.B.B. y que esta señora afirmó en varias ocasiones, en el curso de las conversaciones telefónicas, que actuaba en representación del reclamante”. En las alegaciones a la propuesta de resolución EDP incide nuevamente sobre esta cuestión para denunciar ahora la indefensión jurídica a la que esta Agencia le ha sometido. Así, manifiesta que “se encuentra en una situación de indefensión jurídica, ya que la propia AEPD admite acreditada el origen de los datos, aportados en la llamada en el momento de la contratación realizada por la Sra. B.B.B., resultándole sin embargo irrelevantes de cara a acreditar el debido tratamiento de los mismos, cuando es precisamente el punto de referencia que justifica la legitimación del tratamiento de los datos del Denunciante, puesto que la existencia de una relación contractual válida entre las partes queda confirmada.” Alegación segunda del escrito de alegaciones a la propuesta de resolución. (El subrayado es de la AEPD) Pues bien, en relación con esa “indefensión jurídica” que EDP sufre hemos de precisar lo que sí dijo esta Agencia y lo que no dijo, pero EDP quiere atribuirle. En el Fundamento Jurídico II de la propuesta de resolución apartado B (en la presente resolución, Fundamento Jurídico III), se dice que las grabaciones remitidas por EDP (Hechos probados 7 y 8) “hacen prueba, exclusivamente, de que una persona, la señora B.B.B., manifestó insistentemente ostentar la representación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/30 reclamante para contratar en su nombre con EDP.” Y a continuación se añade: “Las citadas grabaciones, ni acreditan que el reclamante otorgara su representación a la citada señora para contratar en su nombre el suministro de gas ni aportan indicio alguno en tal sentido.” Y se continúa diciendo que las “grabaciones remitidas por EDP (cuatro audios, de los que dos de ellos integran el documento 1 y los restantes el documento dos de los aportados con la respuesta a la solicitud informativa) sí prueban cuál es el origen de algunos de los datos personales del reclamante que EDP trató asociados a un contrato que él niega haber celebrado: nos referimos a los datos de nombre, apellidos y DNI del reclamante. Datos que, como se pone de manifiesto con la audición de las grabaciones, fueron proporcionados por la señora B.B.B. a EDP.” “Sin embargo, las grabaciones no explican cuál es el origen de otros datos del reclamante que EDP también trató vinculados a un contrato al que el titular de los datos personales es ajeno: su domicilio en ***LOCALIDAD.1, ***CCAA.1, que no coincide, como ya se ha puesto de relieve, con el del punto de suministro y el número de móvil del reclamante que EDP incorporó al ejemplar del contrato que envió a su domicilio” Como parece obvio, en tales párrafos no se afirma otra cosa que las grabaciones de EDP demuestran que los datos del reclamante que fueron objeto de tratamiento por la entidad (excepto su domicilio y su número de móvil) proceden o tienen origen en la información que, a la luz de las grabaciones remitidas a la AEDP, le facilitó la señora B.B.B.. Esto, en contraposición a otros datos del reclamante que EDP también trató pero que no le facilitó la citada señora, pues no se mencionan en las grabaciones aportadas: el domicilio del reclamante y su número de teléfono móvil. Pretender -como hace la reclamante- que en tales párrafos esta Agencia está reconociendo que fue el reclamante quien facilitó sus datos a la señora B.B.B. es de todo punto inadmisible. En definitiva, cuando la Agencia manifiesta que las grabaciones aportadas son irrelevantes se está refiriendo a su falta de virtualidad para acreditar o aportar indicios de que el reclamante otorgó su representación a la señora B.B.B.. En tanto esa representación no se acredita ni se aportan indicios de su existencia, no es posible aceptar, como la reclamante pretende, que existió una relación contractual válida entre las partes. La reclamada, en prueba de la pretendida validez de la relación contractual entre EDP y el reclamante, ha invocado de nuevo la grabación que aportó como documento adjunto a las alegaciones al acuerdo de inicio. Respecto a esta grabación –que como ya subrayo en su momento la Agencia no contiene fecha- EDP, sorprendentemente, aporta una novedosa información que, sin embargo, no va acompañada de su necesaria prueba. Dice ahora la entidad en su escrito de alegaciones a la propuesta -alegación segunda, párrafo tercero- que la grabación es del 10/08/2019 (dato que no figura en la grabación sonora) y que “dicho pagador, es el hijo del Denunciante conociéndole a este último como titular del contrato” La grabación aportada por EDP con el escrito de alegaciones al acuerdo de inicio (Hecho probado décimo) -en la que la persona que llama y se identifica con los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/30 datos personales del reclamante pregunta a cuánto asciende la deuda, pues le han cortado el suministro, tras lo que el operador telefónico de la reclamada le interroga sobre el CUPS de la vivienda y le informa del importe pendiente de abono y de la posibilidad de pago con tarjeta- no puede tener el efecto probatorio que EDP quiere atribuirle. Basta señalar a ese respecto que el tratamiento de los datos del reclamante sin legitimación para ello se inicia en mayo de 2018; que en las grabaciones se indica que el pago se hará a través de domiciliación bancaria, lo que parece que no ha ocurrido dada la situación de impago existente y que el reclamante, que recibió en su domicilio la notificación de impago ya conocía perfectamente el importe adeudado. La entidad afirma también (alegación tercera de las alegaciones a la propuesta, párrafo primero) que “actuó…asegurando la identificación del anterior y nuevo titular, así como de plasmar en soporte duradero la operación realizada” Afirmación interesante que demanda una precisión: la identificación no es la base jurídica del tratamiento, sino que lo es el pretendido consentimiento del reclamante a un mandato otorgado a la señora B.B.B.. Así pues, es cierto que en las grabaciones aportadas por EDP la señora B.B.B., que afirma insistentemente que ella es la representante del reclamante, facilitó a EDP, o en otras palabras, “identificó” ante EDP a su pretendido representado y facilitó su nombre, dos apellidos y NIF. Evidentemente EDP a través de la grabación aportada -en la que la supuesta representante del reclamante lo identifica- conoce su nombre, apellidos y NIF. Pero la cuestión relevante es otra: la acreditación de que la citada señora actuó en condición de mandataria del reclamante porque así lo acordaron ambos, lo que exige acreditar que el reclamante consintió esa representación. Los diversos argumentos esgrimidos por EDP tienen el mismo elemento común. Omiten intencionadamente cualquier referencia a lo que constituye el núcleo de la conducta contraria al RGPD de la que se responsabiliza a la entidad: la prueba de que el reclamante otorgó a la señora B.B.B. su representación para que interviniera en su nombre en la contratación con EDP. Relacionado con lo anterior hemos de traer a colación otra de las interesantes afirmaciones hechas por EDP en su defensa (que además la entidad destacó en negrilla): que “la AEPD, no sólo dificulta e inhibe el tráfico jurídico, sino que anula completamente la figura del representante y del mandato, no considerando este órgano administrativo estas operaciones realizadas por terceros, como actos legítimos” (El subrayado es de la AEPD) Afirmación que de nuevo parte de una premisa falsa. Esta Agencia -como no podía ser de otro modo pues está sometida al ordenamiento jurídico español- nada tiene que decir sobre la figura del mandato representativo Lo decisivo es que EDP no ha acreditado que la persona que intervino en la contratación, y dijo actuar como representante del reclamante, ostentaba esa representación. Lo relevante es la falta de prueba de que el reclamante -cuyos datos personales ha tratado EDP asociados a un contrato que él niega haber celebradoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/30 hubiera otorgado su representación a la persona que intervino en la contratación y dijo actuar en tal condición. La reclamada -que en sus alegaciones al acuerdo de inicio expuso con detalle las disposiciones del Código Civil que regulan el mandato e insistió que en nuestro C.c. rige el principio de libertad de forma, por lo que esta Agencia no puede exigirle que el mandato se documente- olvida que el artículo 1278 del C.c dispone que “Los contratos serán obligatorios cualquiera que sea forma en que se hayan celebrado, siempre que en ellos concurran las condiciones esenciales para su validez”. Y una de estas condiciones es el consentimiento. Consentimiento del reclamante al mandato representativo que supuestamente había conferido a la señora B.B.B., que era condición esencial para su existencia y sobre el que EDP nada aporta y nada dice. A propósito de la falta de diligencia demostrada por EDP para verificar que la persona que le facilitó los datos personales del reclamante ostentaba su representación y que, ni siquiera con posterioridad a la llamada telefónica, realizó algún tipo de actividad para confirmar la identidad del nuevo titular EDP ha respondido en sus alegaciones a la propuesta: “Sin embargo, esta consideración no es correcta, ya que, ni en este caso no estamos ante una contratación, ni mi mandante carece de procedimientos que regulan dichos aspectos.” Seguidamente indica: “En primer lugar, mi mandante cuenta con un proceso de doble verificación implementado para nuevas contrataciones a través de un mensaje de texto al teléfono de contacto facilitado conservándose el mismo como prueba de la ratificación de la contratación. En segundo lugar, este caso supone una mera modificación del titular del contrato ya suscrito con anterioridad …” (El subrayado es de la AEPD) Alegaciones que únicamente evidencian confusión respecto a las obligaciones a la que viene sujeto el responsable del tratamiento de datos personales de terceros por la legislación específica. Las meras manifestaciones de quien afirma actuar en representación de otro no pueden justificar la licitud del tratamiento ni constituyen una prueba del respeto a ese principio en el tratamiento de los datos a cuyo cumplimiento el responsable viene obligado por el RGPD. V A fin de concretar el importe de la multa administrativa a imponer en cada caso individual, se ha de estar a las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/30 cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
25. a)a
26. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
27. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
28. b)la intencionalidad o negligencia en la infracción;
29. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
30. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
31. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
32. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
33. g)las categorías de los datos de carácter personal afectados por la infracción;
34. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
35. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
36. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
37. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
38. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo con lo previsto en el artículo 83.2.
39. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
40. a)El carácter continuado de la infracción.
41. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
42. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
43. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
44. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
45. f)La afectación a los derechos de los menores.
46. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
47. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” A) A la luz de las normas transcritas y a fin de concretar el importe de la sanción de multa que corresponde imponer a EDP como responsable de una infracción tipificada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/30 en el artículo 83.5.
48. a)del RGPD, parece conveniente hacer dos precisiones: La primera, que el artículo 83.2 RGPD exige que la autoridad de control garantice que la sanción a imponer sea en cada caso “efectiva, proporcionada y disuasoria” y, por otra, que el importe de la sanción prevista en el RGPD para las infracciones contempladas en el artículo 83.5 tienen como límite máximo la mayor de estas dos cantidades: 20.000.000 de euros o el 4% del volumen de negocio total anual global del ejercicio financiero anterior. Durante el ejercicio 2017 la cifra de negocio de EDP COMERCIALIZADORA, S.A., ascendió a 268.476.000 de euros, por lo que el 4% de esta cantidad asciende a 10.739.040 euros. Se ha de indicar también que la reclamada ha solicitado en sus alegaciones al acuerdo de inicio que se le imponga la sanción mínima prevista para las infracciones leves. Alegato que no tiene razón de ser cuando la norma aplicable es el RGPD que ni distingue entre las infracciones leves, graves y muy graves que preveía la LOPD ni contempla un mecanismo equivalente al artículo 45.5 de la precitada Ley Orgánica 15/1999. Si bien la pretensión principal de la reclamada ha sido el archivo de las actuaciones, en sus alegaciones al acuerdo de inicio solicitó con carácter subsidiario que se le impusiera la sanción mínima prevista para las infracciones leves. Alegato que no tiene razón de ser cuando -como aquí ocurre- la norma aplicable es el RGPD que a diferencia de la LOPD no distingue entre infracciones leves, graves y muy graves y que tampoco contempla un mecanismo equivalente al artículo 45.5 de la precitada Ley Orgánica 15/1999. B) Sobre la procedencia de estimar alguna de las atenuantes descritas en la norma EDP adujo que para el asunto que nos ocupa “serían de aplicación la práctica totalidad de las atenuantes recogidas en el régimen sancionador”. Sin embargo, no podemos compartir esta afirmación de la reclamada. Es más, en el presente asunto ni siquiera se estima procedente apreciar como atenuantes el hecho de que se haya visto afectada por la actuación de EDP sólo una persona o el alcance meramente local de la infracción (artículo 83.2.
49. a)En un supuesto como el que analizamos -en el que la entidad reclamada, para las contrataciones telemáticas en las que un tercero interviene en representación del titular de los datos, carece de un protocolo ajustado a Derecho que le permita demostrar que efectivamente ostenta esa representación- la conducta infractora no constituye un hecho puntual y aislado, el único hecho puntual es la reclamación formulada por el afectado. Así pues, no parece correcto que, el hecho de que el afectado por la conducta de la entidad sea una única persona, pueda estimarse como exponente de una menor culpabilidad o antijuridicidad de su conducta ni apreciar tampoco como atenuante el ámbito local de la infracción. La conducta contraria a la norma es fruto de un modelo de actuación a través del que EDP desarrolla su actividad y que continúa manteniendo ya que, a su juicio, resulta ajustado a Derecho, por más que resulte obvio el incumplimiento de los principios de licitud y de responsabilidad proactiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/30 Tampoco cabe estimar en calidad de atenuante a favor de EDP la circunstancia descrita en el artículo 76.2.
50. c)de la LOPDGDD, por remisión del artículo 832.k del RGPD: “Los beneficios obtenidos como consecuencia de la comisión de la infracción”. A propósito de esta cuestión, la Audiencia Nacional, Sala de lo Contencioso Administrativo, en su SAN de 17/04/2018 (Rec. 254/2017) rechazó la pretensión de la parte demandante, sancionada por la AEPD, de que se admitiera como atenuante el artículo 45.5.
51. e)LOPD por ausencia de beneficios. El Fundamento Jurídico tercero de la SAN dice: “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. Ese ha sido también el espíritu de la SAN de 31/03/2017. C) Se aprecia la concurrencia, en calidad de agravantes, de las circunstancias siguientes: - La duración del tratamiento ilegítimo de los datos del reclamante efectuado por EDP. La documentación que integra el expediente revela que el tratamiento se inició el 17/05/2018 (Hecho probado 6) y se mantuvo, al menos, hasta el 15/11/2018; esto es, durante casi cinco meses. Se toma en consideración a tal fin la carta que EDP remitió al reclamante, de fecha de 15/11/2018, en respuesta a la solicitud informativa de la AEPD -Hecho probado 9- en la que se evidencia que continúa tratando los datos del afectado ya que estima que el reclamante había suscrito un contrato con ella a través de la señora B.B.B., (artículo 83.2.a, del RGPD) - El volumen de negocio o cifra de actividad de la entidad (artículo 83.2.a, del RGPD) Estamos en presencia de una gran empresa del sector energético. El volumen total anual global del ejercicio financiero 2017 ascendió a 268.476 millones de euros, (artículo 83.2.a del RGPD) - El artículo 83.2.
52. f)del RGPD menciona “el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos”. Circunstancia que asimismo opera en calidad de agravante. Si bien es cierto que EDP respondió a las solicitudes informativas de esta Agencia, lo es también que, pese a que no podía acreditar la licitud del tratamiento de los datos del reclamante decidió continuar con el tratamiento de sus datos personales asociados a un contrato de gas, después de que la AEPD le hubiera hecho el requerimiento informativo, como se pone de manifiesto en la carta de fecha 15/11/2018 que dirigió al reclamante, pese a no disponer de ningún documento que acreditara que el tercero que intervino en la contratación actuaba en representación del titular de los datos. - El alcance del tratamiento (artículo 83.2.a, RGPD) pues los datos personales del reclamante que han sido objeto de tratamiento por EDP sin legitimación para ello fueron varios: el nombre y dos apellidos, NIF, domicilio particular y número de teléfono móvil. - La reclamada ha actuado con una muy grave falta de diligencia, (artículo 83.2.b, del RGPD). No estamos únicamente ante una falta de diligencia en el momento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/30 de vincular los datos del reclamante a un contrato de gas en virtud del consentimiento otorgado por quien afirmó actuar en su representación. Como se detalla en los Fundamentos precedentes, EDP ha demostrado carecer absolutamente de un protocolo de actuación que contemplara la necesidad de recabar algún documento que hiciera prueba de la representación que se dice ostentar en las contrataciones telemáticas en las que quien contacta con la entidad afirma intervenir en representación de otra persona. - La evidente vinculación entre la actividad empresarial de EDP y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) VI De acuerdo con los artículos 58.2 y 83.2 del RGPD, anteriormente transcritos, las autoridades de control pueden imponer, adicionalmente a la sanción de multa, alguna de las medidas correctivas o sanciones contempladas en las letras
53. a)a
54. h)y
55. j)del apartado 2 del artículo 58 del citado RGPD. En el presente caso, habida cuenta de que la reclamada -a propósito del tratamiento de datos personales recabados en contrataciones telemáticas en las que un tercero interviene y declara ostentar la representación del titular de los datos y representadocarece por completo de un protocolo de actuación respetuoso con las obligaciones que le impone el RGPD, se acuerda, al amparo del artículo 58.2.
56. d)del RGPD, ordenar a EDP que incorpore al protocolo de contratación que tiene implantado para las contrataciones a través de representante todos los cambios que le permitan estar en condiciones de probar ante esta Agencia que el representado, y titular de los datos, ha autorizado tal representación y la ha conferido a favor de la persona que interviene en el negocio jurídico. El plazo en el que deberá haber implementado las nuevas medidas será de un mes computado desde la fecha en la que la resolución en la que así se acuerde sea ejecutiva. Al hilo de lo anterior se ha de traer a colación el artículo 83.6 RGPD que establece: “El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 de este artículo con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a EDP COMERCIALIZADORA S.A., con NIF A95000295, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 75.000 euros (setenta y cinco mil euros). SEGUNDO: Al amparo del artículo 58.2.
57. d)del RGPD, ORDENAR a EDP C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/30 COMERCIALIZADORA S.A., con NIF A95000295, que ADECÚE sus protocolos de contratación telemática a LAS DISPOSICIONES del RGPD relativas a la LICITUD DEL TRATAMIENTO, en particular en las contrataciones que efectúe A TRAVÉS DE REPRESENTANTE, en las que como responsable del tratamiento debe estar en condiciones de acreditar tanto la realidad de la representación otorgada por el titular de los datos y representado como su identidad. El plazo dentro del cual EDP deberá implementar las medidas que se le ordena adoptar y acreditar ante la AEPD su cumplimiento, será de un mes computado desde la fecha en la que esta resolución sancionadora sea ejecutiva. TERCERO: NOTIFICAR la presente resolución a EDP COMERCIALIZADORA S.A. CUARTO: Advertir a la sancionada que deberá hacer efectiva la sanción de multa administrativa impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
58. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
59. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/30 administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es