← España

PS-00029-2016

1/14 Procedimiento PS/00029/2016 RESOLUCIÓN: R/01749/2016 En el procedimiento sancionador PS/00029/2016, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía XXI SLU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/02/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de denuncia interpuesta por A.A.A. en el que denuncia que: <<< Al intentar fraccionar el pago de una compra (depuradora piscina) no nos lo permitieron, nos dijeron estábamos en fichero morosos. Mi mujer investiga y se entera por teléfono estamos en fichero Experian (Badexcug) por supuesta (desconocida por nosotros) deuda a Madrileña Suministros Gas SUR SL. Desconocemos tal deuda y tal empresa. Nadie nos ha solicitado pago alguno de deuda ni requerimiento de pago alguno. No hemos devuelto ningún recibo bancario. Es más creemos no trabajamos con dicha empresa. Directa inclusión en fichero de morosos contraviniendo ley y reglamento protección datos. Nadie nos ha comunicado nada y mucho menos nos ha requerido de pago. He requerido a compañía de gas mediante mis abogados y directamente al fichero para que cancelen la inscripción de mis datos y rectifiquen. O no me han contestado o ha sido denegada la solicitud de cancelación y/o rectificación. A mí nadie me ha reclamado nunca ni requerido deuda extrajudicial ni judicialmente, ni me han notificado siquiera existencia de deuda alguna. Directamente en fichero morosos jugando con mis datos personales. No acceden a cancelación ni rectificación. Por ello denuncia. Acompaño carta burofax a la empresa y al fichero solicitando cancelación. >>> Con fecha 04/05/2015 se acusó recibo de la denuncia recibida y se solicitó al denunciante que aportara una serie de documentación adicional, a efectos de subsanación/ampliación, recibiéndose respuesta con fecha 06/07/2015. El denunciante ha aportado copia de los escritos de 28/01/2015 remitidos por burofax a Madrileña Suministros Gas SUR SL y Experian Bureau de Crédito SA ejerciendo su derecho de cancelación, y el escrito de 05/02/2015 remitido por Experian Bureau de Crédito SA en respuesta al previo ejercicio del derecho de cancelación. Se informa que no se puede proceder a la cancelación solicitada, al haber sido confirmados los datos por la entidad informante, Madrileña Suministros Gas SUR SL. SEGUNDO: A la vista de los hechos denunciados se inician actuaciones previas por los Servicios de Inspección de esta Agencia y que concluyen con el siguiente informe: <<< Con fecha 07/09/2015 se solicitó a Madrileña Suministros Gas SL información relativa a D. A.A.A., NIF ***NIF.1, en relación al requerimiento previo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 pago realizado a esta persona como paso previo a su inclusión en ficheros de información de solvencia patrimonial y crédito. De la respuesta recibida, registrada de entrada en la AEPD el 25/09/2015, se desprende la siguiente información de relevancia: Madrileña Suministros Gas SL manifiesta que la AEPD “está solicitando información a esta sociedad, respecto de los datos de una persona con la que MSG no mantiene una relación comercial, no figurando este cliente como activo”. Con fecha 27/10/2015 se solicitó a Madrileña Suministros Gas SUR, S.L. información relativa a D. A.A.A., NIF ***NIF.1, en relación al requerimiento previo de pago realizado a esta persona como paso previo a su inclusión en ficheros de información de solvencia patrimonial y crédito. De la respuesta recibida, registrada de entrada en la AEPD el 16/11/2015, se desprende la siguiente información de relevancia: MGS SUR manifiesta que “MSGS ya no pertenece al Grupo GALP. Con fecha 30 de octubre de 2015 Endesa Energía XXI SLU con CIF: B-*********; y con domicilio en Madrid, calle (C/...1) adquirió la totalidad de las participaciones sociales de MSG SUR SL, siendo esta por tanto la nueva responsable de los ficheros con los datos de clientes de la referida sociedad. Por este motivo, y en esta misma fecha, se procedió a la migración de los datos de los ficheros de MSGSS a Endesa Energía XXI SLU”. Con fecha 03/12/2015 se solicitó a Endesa Energía XXI SLU información relativa a D. A.A.A., NIF ***NIF.1, en relación al requerimiento previo de pago realizado a esta persona como paso previo a su inclusión en ficheros de información de solvencia patrimonial y crédito. De la respuesta recibida, registrada de entrada en la AEPD el 21/12/2015, se desprende la siguiente información de relevancia: --- Con carácter previo Endesa expone que “en el marco de una operación supervisada y aprobada por la Comisión de los Mercados y la Competencia mediante Resolución de 17 de septiembre se produjo una fusión por absorción de Madrileña Suministro de Gas Sur, por parte de Endesa Energía XXI, adquiriendo ésta, por sucesión universal, el patrimonio de la sociedad absorbida (Madrileña Suministro de Gas Sur SLU) conforme a lo previsto en el artículo 23.2 y siguientes de la Ley 3/2009, de 3 de abril, sobre modificaciones estructurales de las sociedades mercantiles. Dicha adquisición tuvo lugar el día 1 de noviembre de 2015, otorgándose la correspondiente escritura de elevación a público de los acuerdos sociales y la citada fusión con fecha 2 de noviembre de 2015. Como consecuencia de esta operación, Endesa Energía XXI ha pasado a prestar el suministro de gas natural a los clientes anteriormente suministrados por Madrileña Suministro de Gas Sur SLU y a facturar a estos clientes. Adicionalmente Endesa Energía XXI se subrogó en los contratos mercantiles suscritos con proveedores que estuviesen en vigor a la fecha de la adquisición”. --- Endesa manifiesta que “según la información facilitada a Endesa Energía XXI, MSG SUR tuvo una relación contractual con la entidad Experian Bureau de Crédito, S.A. (en adelante, Experian), titular de un fichero de información y solvencia patrimonial y crédito. No obstante, con anterioridad a la adquisición de MSG SUR por Endesa Energía XXI, finalizó dicho contrato por lo que Experian procedió a cancelar los datos de carácter personal comunicados previamente por MSG SUR”. --- Se aporta al respecto copia de un certificado emitido por Experian Bureau de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 Crédito SA a MSG SUR, fechado a 29/10/2015 y en el que se establece que “como consecuencia de la finalización de la prestación contractual, Experian Bureau de Crédito SA ha borrado de sus sistemas informáticos los datos de carácter personal objeto del tratamiento de Madrileña Suministros Gas SUR, S.L. al igual que cualquier soporte o documentos en que conste algún dato de carácter personal, sin perjuicio del deber de conservación de los datos, debidamente bloqueados, en tanto pudieran derivarse responsabilidades de la relación contractual conforme a lo establecido en el artículo 22.2 del Real Decreto 1720/2007, de 26 de diciembre”. --- Endesa añade que “no tiene constancia de que ninguno de los clientes que ha adquirido y que anteriormente suministraba MSG SUR esté incluido en ningún fichero de morosos”. >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Madrileña Suministros Gas SUR, S.L. -ahora Endesa Energía XXI SLU (EEXXI)- realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco al incorporar a su fichero de clientes sus datos personales como titular de un suministro de energía que no había contratado. Siguiendo con la gestión de ese contrato y sin realizar comprobaciones de la identidad con suficiente diligencia incluyeron sus datos personales asociados a deuda que no le correspondía en Badexcug, sin notificarle el requerimiento de pago previo a la inclusión. CUARTO: Con fecha 1 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a Endesa Energía XXI SLU (antes Madrileña Suministros Gas SUR, S.L.) con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por las presuntas infracciones de los artículos 6.1 y 4.3 de la LOPD, tipificadas como graves en el artículo 44.3.

  1. b)y
  2. c)en la citada ley orgánica. Notificado el acuerdo de inicio, EEXXI solicitó y obtuvo copia del expediente y ampliación del plazo para alegaciones. En sus alegaciones solicita una sanción por el importe mínimo de las leves en aplicación del art. 45.5.b),
  3. d)y
  4. e)de la LOPD. Alega: <<<…, según la información remitida a Endesa Energía XXI, el Sr. A.A.A. era titular de un contrato de productos y servicios de gas con MSG Sur consecuencia del proceso de desinversión y fusión de Gas Natural Fenosa en el año 2009 y que fue debidamente autorizado por la extinta Comisión Nacional de la Competencia. De dicho contrato deriva, según la información trasladada a mi patrocinada por parte del Grupo Galp, la deuda que motivó la inclusión de los datos del Sr. A.A.A. en el fichero de morosidad por parte de MSG Sur y que llevaba asociado un plan de pago a plazos compuesto por cuotas de 34,56 €. A modo de ejemplo, se acompaña como documento n° 1 copia de una de las facturas emitidas por MSG Sur que incluye como “Pago aplazado servicios de gas” la cantidad de 34,56 €. …, en todo caso debería de apreciarse la existencia de concurso medial entre las infracciones del art. 6.1 y 4.3 de la LOPD tipificadas, respectivamente, en los arts. 44.
  5. b)y c de dicha norma al amparo de lo dispuesto en el artículo 4.4 del Real Decreto 1398/1993 de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora así como del criterio mantenido por la Audiencia Nacional y esa Agencia en resoluciones previas, por todas, podemos citar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 resolución dictada en el expediente sancionador PS/00359/2014 incoado a mi representada y a Endesa Energía … Es evidente que en el caso de que no quede acreditada la relación contractual que ampara el tratamiento de los datos del interesado, no existe deuda cierta, vencida y exigible conforme exige el artículo 38 del Reglamento de desarrollo de la LOPD para la inclusión de datos en un fichero de morosidad. Teniendo en cuenta lo anterior, no sería lícito que la Agencia impusiese dos sanciones de conformidad con lo establecido en el artículo 4.4 del Real Decreto 1398/1993, el principio de proporcionalidad que rige nuestro derecho administrativo sancionador y el reiterado criterio mantenido por nuestra Audiencia Nacional y la propia Agencia. ---Sin perjuicio de lo anterior y partiendo de la falta de intencionalidad y voluntariedad en la conducta de mi patrocinada, se ha producido una situación que podría ser constitutiva de una infracción grave a tenor de lo establecido en la normativa de protección de datos. Es, por ello, que se reconoce voluntariamente la responsabilidad de Endesa Energía XXI y se solicita que en el establecimiento de la cuantía de la sanción se aplique la escala relativa a la infracción leve de conformidad con lo previsto en el artículo 45.5
  6. d)de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Adicionalmente, resulta de aplicación lo establecido en los epígrafes
  7. b)y
  8. e)del citado artículo 45, apartado quinto, por cuanto Endesa Energía XXI ha acreditado con el certificado emitido por la entidad Experian Bureau de Crédito, S.A. en fecha 29 de octubre de 2015 (folio n° 40 del expediente administrativo) que dicha entidad procedió a eliminar todos los datos de carácter personal objeto del tratamiento de MSG Sur sin que, por tanto, esté incluido el Sr. A.A.A. en el fichero de morosos conforme se acredita con el documento que se acompaña al presente escrito como documento n° 2 y por cuanto la vulneración de la normativa de protección de datos sería, en todo caso, anterior al proceso de fusión, no siendo imputable a Endesa Energía XXI. A mayor abundamiento, es preciso tener en cuenta que Endesa Energía XXI no ha realizado gestión de cobro alguna con respecto al denunciante ni le ha incluido en un fichero de morosidad. >>> QUINTO: Con fecha 07/03/16 se acuerda practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante Endesa Energía XXI SLU, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02728/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00029/2016 presentadas por Endesa Energía XXI SLU, y la documentación que a ellas acompaña. 3. Se advierte a la citada entidad denunciada que puede aportar cuantos documentos probatorios considere oportunos relacionados con las infracciones que se le imputan (tratamiento sin consentimiento y tratamiento sin calidad de dato) y formular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 de forma más clara, precisa y expresa el reconocimiento de responsabilidad en dichas infracciones. Por escrito de 19/04/16 EEXXI hace constar sus posiciones con detalle de hechos y adjuntando copia de los documentos que a su juicio lo acreditan. SEXTO: Con fecha 30/05/16 se emite propuesta de resolución sancionadora por las infracciones del 6.1 y 4.3 de la LOPD con multas de 40.000 € cada una. EEXXI en su escrito de alegaciones a la propuesta reitera su reconocimiento de responsabilidad en base al art. 8 del Reglamento de procedimiento sancionador en relación con el 45.5.
  9. d)de la LOPD, y todas las demás alegaciones al acuerdo de inicio. Estima que la aplicación del 45.5.
  10. d)es obligatoria para el órgano sancionador. No hacerlo es apartarse del criterio seguido por la AEPD y contraviene el principio de seguridad jurídica y actos propios; y supone posible arbitrariedad. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1 --- 11/05/10, Madrileña Suministros Gas SUR SL emite la factura ***FACTURA.1 por el suministro de gas natural del periodo 10/03/10 A 07/05/10 a la vivienda de calle (C/...2) (CUPS ES *********** JZ) a nombre de A.A.A., ***NIF.1 (cliente nº ***CLIENTE.1, referencia nº ***REF.1, pago domiciliado en ccc ***CCC.1 por importe de 489,36 €; por el concepto de pago aplazado servicios gas se suma 34,56 €, totalizando 523,62 €. (Folios 73-74) 2 --- 26/11/14, fecha del escrito (código nº P ***CÓDIGO.1) de requerimiento de pago que emite Madrileña Suministros Gas SUR SL (por medio de Experian) a A.A.A., calle (C/...2) <Madrid>, para que salde la deuda de 380,16 € antes de 15 días; en caso contrario puede ser incluido en el fichero Badexcug. Experian certifica que dicho documento ha sido enviado a destino por medio de la empresa de Servicio UNIPOST, pero en el albarán de entrega de los envíos que suscribe esta empresa como recepción no se encuentra relacionado el código de dicho documento.(folios 83-84, 89-91) 3 --- 30/01/15, fecha en que fue entregada –por burofax- a Madrileña Suministros Gas SUR SL la solicitud de cancelación de los datos personales enviada por el denunciante. No se acredita respuesta. (Folios 5, 8) 4 --- 05/02/15, fecha del escrito de Experian dirigido al denunciante (A.A.A., calle (C/...2) <Madrid>) -en respuesta a su solicitud de cancelación de datoscomunicándole que no acceden a lo solicitado porque los datos en Badexcug han sido confirmados por la entidad informante Madrileña Suministros Gas SUR SL. En el mismo escrito le informa que los datos que constan en el fichero a su nombre y DNI (***NIF.1) son los siguientes: operación nº ***OPERACIÓN.1, importe impagado 414,72 €, impagado en alta 380,16 €, fecha de alta 17/12/14, primer impago 31/01/13 – último impago 30/11/14, y fecha de última actualización 01/02/15. (Folios 4, 7, 9, 20-22, 23-24) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 5 --- 16/11/15, fecha de publicación en el BORME de la inscripción de 06/11/15 en el Registro Mercantil de la fusión por absorción de la entidad Madrileña Suministros Gas SUR SL por parte de Endesa Energía XXI SLU (EEXXI). (44-54) 6 --- 18/12/15, fecha del informe a la Inspección de Datos que presenta EEXXI – como empresa sucesora de Madrileña Suministros Gas SUR SL- haciendo constar que antes de la adquisición de esta empresa la relación con Experian había sido cancelada al igual que los datos personales comunicados previamente al fichero Badexcug. Acompaña certificado de Experian de 29/10/15 que lo corrobora. (Folios 38-40) 7 --- 01/03/16, EEXXI en su escrito de alegaciones al acuerdo de inicio hace constar que reconoce voluntariamente la responsabilidad de Endesa Energía XXI SLU y solicita la aplicación del art. 45.5.
  11. d)de la LOPD. (Folios 69-72) FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  12. g)en relación con el artículo 36 de la LOPD II Se imputa a Madrileña Suministros Gas SUR SL –ahora Endesa Energía XXI SLU (EEXXI)- la responsabilidad a que se refieren los hechos probados, tipificados como una vulneración del artículo 6.1 de la LOPD que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Son elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, los datos personales de la persona denunciante fueron incorporados a los sistemas de información de dicha entidad, sin que haya quedado acreditado que dispusiera del consentimiento de la persona denunciante para la recogida y el tratamiento posterior de sus datos personales. Corresponde a EEXXI acreditar que contaba con el consentimiento de la persona denunciante para el tratamiento de sus datos personales, máxime cuando ésta niega haberlo otorgado, y cuando no consta que la empresa absorbida o la sucesora hayan efectuado ninguna comprobación o verificación. No consta que dispongan de documentos, sea cual sea el soporte, que acredite la contratación e identidad del titular de la misma. Los datos personales de la persona denunciante fueron registrados en los ficheros de clientes y fueron tratados para la emisión de facturas por servicios asociados a la persona denunciante y para ser incluidos en fichero de solvencia patrimonial y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 crédito. En consecuencia, han efectuado un tratamiento de los datos personales sin que hayan acreditado en el procedimiento que cuenten con el consentimiento de la misma para su tratamiento, ni que cuente con habilitación legal para ello. Dichos tratamientos de datos vulneran el principio del consentimiento recogido en el artículo 6 de la LOPD, por cuanto el mismo no se realizó con el consentimiento de la persona denunciante ni se ha realizado con la concurrencia de ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD, que hubieran permitido a la responsable del tratamiento tratar los datos del denunciante. III El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. El Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  13. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. La responsable del tratamiento Madrileña Suministros Gas SUR SL no había cumplido los requisitos pues la facturación, la reclamación del pago y la anotación en los ficheros de morosos no respondía con veracidad a la situación real entre las partes y no han acreditado que notificaran el requerimiento de pago previo a la inclusión en el fichero Badexcug de solvencia patrimonial y crédito. IV El artículo 44.3.
  14. b)y
  15. c)de la LOPD, considera infracción grave: “
  16. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
  17. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” Los dos principios cuya vulneración se imputa a Madrileña Suministros Gas SUR SL –ahora Endesa Energía XXI SLU (EEXXI)-, el del consentimiento y el de calidad de los datos, se configuran como principios básicos en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. Son dos infracciones perfectamente independientes la una de la otra -consentimiento y calidad de datos- que hubieran podido evitarse si la responsable del tratamiento hubiera vigilado la aplicación de sus propios procedimientos en el alta de los datos y en la reclamación de las teóricas deudas. Cometida la infracción del consentimiento aun hubiera sido posible no seguir con el tratamiento y evitar la segunda infracción de haber actuado con un mínimo de diligencia ante los impagos o las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 reclamaciones. En este caso, la responsable del tratamiento –ahora Endesa Energía XXI SLU (EEXXI)- ha incurrido en las infracciones descritas, ya que ha vulnerado ambos principios, consagrados en los artículos 4.3 y 6.1 de la LOPD, cuando incorporaron y mantuvieron los datos del denunciante en sus ficheros y emitieron facturas y cuando los incluyeron en el fichero de morosos Badexcug asociados a una deuda que no le correspondía, y que encuentran su tipificación en el artículo 44.3.
  18. b)y
  19. c)de la citada Ley Orgánica. V. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)
  24. e)infracción. El volumen de negocio o actividad del infractor. Los beneficios obtenidos como consecuencia de la comisión de la
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)C/ Jorge Juan, 6 28001 – Madrid Cualquier otra circunstancia que sea relevante para determinar el grado www.agpd.es sedeagpd.gob.es 10/14 de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.» .5. : El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» VI EEXXI en sus alegaciones al acuerdo de inicio invoca el artículo 4.4 del Real Decreto 1398/1993 de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora para que se aprecie la existencia de concurso medial entre las dos infracciones que se le imputan y se sancione por una sola infracción. Para poder apreciar el concurso medial es indispensable que haya quedado acreditado que de la comisión de una infracción –el tratamiento sin consentimiento del 6.1 de la LOPD en el alta como cliente- se ha derivado necesariamente la comisión de otra –el tratamiento sin calidad del dato del 4.3 en la inclusión en fichero Badexcug- y no ha podido evitarse la segunda. En este caso no ha quedado acreditado. No ha sido aportado copia del contrato que pudiera existir entre las partes, o cualquier otro documento que pudiera sustituirlo, junto con el documento acreditativo de la identificación del titular de los datos que son tratados sin consentimiento desde el alta como cliente. Se ha aportado una factura de mayo de 2010 emitida por la entidad absorbida por EEXXI, pero ninguno documento que acredite el consentimiento inequívoco del denunciante. La inclusión en Badexcug se produce en diciembre de 2014 por impagos que nada tienen que ver con esa factura. No se ha aportado documento alguno que acredite actuación de la empresa absorbida para comprobar la identidad de la persona a lo largo de los años transcurridos o comunicación o contacto con dicha persona que documente la relación contractual y tratamiento de datos consentido. A pesar de ello, la entidad absorbida decide incluir los datos personales del denunciante asociados a una deuda en el fichero Badexcug -sin haberle notificado el requerimiento previo de pago- y sin tener en cuenta las graves repercusiones para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 titular de los datos que su acción podía tener. Nadie le obliga a realizar dicha inclusión y pudo evitarlo. E incluso esa inclusión pudo ser subsanada cuando el denunciante solicita la cancelación de los datos y decide no cancelarlos. No procede apreciar concurso medial en las dos infracciones de las que se considera responsable a Madrileña Suministros Gas SUR SL –ahora Endesa Energía XXI SLU (EEXXI)- y en consecuencia procede fijar el importe de cada una de las sanciones. VII EEXXI solicita la aplicación del 45.5.
  35. d)de la LOPD, atendiendo al reconocimiento de culpabilidad que hace constar en el mismo escrito, y los apartados
  36. b)y
  37. e)de dicha norma para que el importe de la sanción se fije dentro de la escala de las leves. A --- Sobre la aplicación del 45.5.
  38. e)no cabe duda: se ha producido una fusión por absorción de la entidad infractora (Madrileña Suministros Gas SUR SL) por Endesa Energía XXI SLU (EEXXI) y, por tanto, ésta es acreedora del atenuante que esa disposición contiene. En todo caso, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Por dicho motivo procede imponer la multa por un importe que se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). B --- La aplicación del 45.5.
  39. b)y
  40. d)–regularización y reconocimiento de culpabilidad- no procede, una vez aplicado el 45.5.e). En relación con la aplicación solicitada, donde concurren varios de los supuestos previstos en el apartado 5, hay que reseñar la sentencia de la Audiencia Nacional de fecha 28 de abril de 2015, que dice al respecto: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”.” VIII La graduación de las sanciones requiere de una valoración de las circunstancias que conforman la actuación infractora desde su inicio hasta su término, teniendo en cuenta lo dispuesto en el 45.4 arriba trascrito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 + El carácter continuado de las infracciones –a la luz de los hechos declarados probados- es evidente para el tratamiento inconsentido de los datos del denunciante. Ya en 11/05/10 figura de alta como cliente de la empresa absorbida y no consta la cancelación de dichos datos. Los datos asociados a una deuda que no le corresponde si bien pudieron ser inexactos en fecha anterior a la inclusión en Badexcug en 17/12/14 han continuado siéndolo hasta el momento anterior a la fusión (16/11/15) por absorción en que la relación con Experian cesó y canceladas las anotaciones en Badexcug de los datos personales de sus clientes. No se ha acreditado la fecha exacta. + La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que tiene como actividad la prestación de servicios de suministro de energía a usuarios de gran público con tarifa de último recurso. Tienen un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tienen, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. + En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la infractora. + El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó el alta sin consentimiento y la inclusión en Badexcug no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. + La imputada ha sido objeto de expedientes sancionadores por infracciones similares. + Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. No obstante debe considerarse como atenuante de la conducta infractora en relación al 4.3 de la LOPD el hecho de la cancelación de todas las inclusiones en Experian (Badexcug) una vez es absorbida la entidad MSG SUR SL. Por todo ello procede graduar cada una de las sanciones: la infracción del 6.1 por importe de 35.000 euros y la del 4.3 por importe de 20.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 PRIMERO: Imponer a Endesa Energía XXI SLU (antes Madrileña Suministros Gas SUR, S.L.), por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  41. b)de dicha norma, una multa de 35.000 € (treinta y cinco mil euros) de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. SEGUNDO: Imponer a la entidad Endesa Energía XXI SLU (antes Madrileña Suministros Gas SUR, S.L.), por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
  42. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. TERCERO: Notificar la presente resolución a Endesa Energía XXI SLU y a A.A.A.. CUARTO: Advertir al sancionado que las sanciones impuestas deberá hacerlas efectivas en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.