← España

PS-00030-2016

1/20 Procedimiento Nº PS/00030/2016 RESOLUCIÓN: R/01620/2016 En el procedimiento sancionador PS/00030/2016, instruido por la Agencia Española de Protección de Datos a la entidad ENTEMANSER, S.A., vista la denuncia presentada por Don B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9 de marzo de 2015 tiene entrada en esta Agencia un escrito de Don B.B.B., (en lo sucesivo el denunciante) en el que declara que la entidad ENTEMANSER S.A., en adelante la denunciada, le ha cargado en su cuenta de ahorro dos recibos con fechas 22/01/2015 y 02/03/2015 sin mediar relación contractual con la misma. Indica que al ponerse en contacto con dicha entidad le comunican que sus datos han sido facilitados por AQUALIA-VILLAVICIOSA, empresa con la que sí mantiene relación contractual. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ENTEMANSER S.A., la cual responde en el siguiente sentido: Los representantes de la reseñada entidad manifiestan que es una empresa perteneciente a FCC AQUALIA, SA que presta servicio de gestión en el suministro de agua en las Islas Canarias. Asimismo, afirman que no disponen de datos personales asociados al denunciante ni consta en sus sistemas contrato de suministro alguno suscrito con el afectado. Se aduce que los cargos realizados en la cuenta corriente del denunciante se debieron a una incidencia en la toma de datos del número de cuenta bancaria, lo que originó el cargo de dos recibos en su cuenta en los meses de enero y febrero de 2015 de importes 61,05 € y 61,84 €, respectivamente. Esta cuestión puntual se subsanó en cuanto el afectado lo puso en conocimiento de la entidad, realizándose la devolución de los cargos con fecha 3 de marzo de 2015 y 27 de marzo de 2015. Según consta en sus sistemas el denunciante contactó telefónicamente con la entidad el 2 de marzo de 2015. Aportan copia de la grabación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 TERCERO: Con fecha 1 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ENTEMANSER, S.A., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ENTEMANSER formula escrito de alegaciones solicitando el archivo de las actuaciones practicadas por no haber lugar a infracción atribuible a esa empresa. Lo que fundamenta en los mismos argumentos señalados en la contestación efectuada al requerimiento de información practicado durante las actuaciones previas de inspección, insistiendo en que la incidencia no respondía a ninguna actuación voluntaria o maliciosa, sino a un hecho involuntario carente de todo perjuicio para el interesado una vez subsanado y ausente de beneficio o ventaja para la empresa. Aducen que la apertura de procedimiento no es conforme a Derecho ante la inexistencia del elemento de la intencionalidad entendido como la determinación de la voluntad en orden a la consecución de un fin. En la aplicación de la potestad sancionadora la Administración ha de valorar la concurrencia de la tipicidad de la conducta y la subjetividad del hecho a título de culpa o dolo, no pudiéndose mantener que en este caso exista un ánimo defraudatorio, ni siquiera culposo, puesto que todo lo ocurrido tuvo su origen en una incidencia involuntaria, sin intención y sin ninguna consecuencia positiva para ENTEMANSER. QUINTO: Con fecha 1 de marzo de 2016 se inició el período de práctica de pruebas, en cuyo marco se acordó dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ENTEMANSER, S.A., el Informe de actuaciones previas de Inspección que forman parte del expediente E/ I.I.I. y las alegaciones al acuerdo de inicio PS/00030/2016 presentadas por la denunciada. Asimismo, se acuerda solicitar a ENTEMANSER, S.A., a efectos probatorios, aportación de la siguiente documentación y/o información: Justificación de la causa por la que esa empresa puede acceder a los datos del denunciante en los ficheros de FCC Aqulia, S.A.; Acreditación del tipo de vinculación existente entre ENTEMANSER, S.A., y FCC Aqulia, S.A.; Especificación del motivo por el que en dos ocasiones se trataron los datos de la cuenta bancaria del afectado para cargarle dos recibos si esa empresa no mantiene relación contractual alguna con el afectado; Remisión de copia de las facturas o recibos a los que se correspondían los cargos de 61,05 € y 61,84 €. Igualmente, se significaba que el escrito de alegaciones no iba acompañado de la representación que la persona que lo había formulado decía ostentar para actuar en nombre y representación de esa empresa en el presente procedimiento sancionador. SEXTO: Con fecha 17 de marzo de 2016 se registra de entrada escrito del representante legal de ENTEMANSER, conforme acredita documentalmente, reiterándose en las alegaciones presentadas por un tercero al acuerdo de inicio y significando: Que ENTEMANSER y FCC Aqualia, S.A disponen de un prestador de servicios común, HIDROTEC TECNOLOGÍA DEL AGUA, SLU, en adelante HIDROTEC, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 entre otros presta servicios de Centro de Atención al Cliente para ambas entidades, lo que incluye las actividades de modificación de datos de clientes, gestión de domiciliación de recibos, envío y recepción de documentación con los clientes. Por lo que FCC Aqualia,SA no accedió ni trató por sí misma datos del afectado. La regulación de la relación del encargo de tratamiento entre ENTEMANSER (responsable del fichero) e HIDROTEC (encargado del tratamiento) se establece mediante la siguiente documentación: Convenio para el Tratamiento de Datos Personales entre Tratamiento Industrial del Agua, S.A. (TRAINASA, cuya posición y obligaciones asume actualmente HIDROTEC) y diversas empresas y el documento de adhesión de ENTEMANSER al citado Convenio. Aportan copia de las facturas requeridas SÉPTIMO: Con fecha 30 de marzo de 2016, pruebas: - se acuerda practicar las siguientes Solicitar a ENTEMANSER, S.A.: 1) Aportación del contrato suscrito por ENTEMANSER, S.A. con HIDROTEC para que ésta pueda actuar como encargada de tratamiento de los datos personales de los ficheros de ENTEMANSER, S.A.; 2) Acreditación de que HIDROTEC accedió a los datos del denunciante para remitirle las facturas de 61.05 € y 61,84 € aportadas y girarle los correspondientes cargos a su cuenta bancaria de BARLCKAYS BANK SA.; 3) Remisión de copia los recibos girados a la cuenta corriente del denunciante correspondientes a las mencionadas facturas de 61.05 € y 61,84 €,. -Solicitar al denunciante remisión de la siguiente información y/o documentación: 1) Copia del recibo por “adeudo por domiciliación SEPA” correspondiente al cargo del recibo de febrero de 2015 ordenado cargar en su cuenta corriente nº D.D.D. por importe de 61,84 euros ; 2) Cualquier otra documentación que usted considere conveniente aportar en relación con los hechos objeto del procedimiento. -Solicitar a FCC AQUALIA, S.A. remisión de la siguiente información y/o documentación: 1) Indicación del tipo de relación mantenido por esa entidad con ENTEMANSER, S.A. , con justificación de la misma; 2) Aportación del contrato suscrito, en su caso, por FCC AQUALIA con TRATAMIENTO INDUSTRIAL DEL AGUA, S.A., con indicación de la vigencia del mismo, para que ésta pudiera actuar como encargado de tratamiento de los datos personales de sus ficheros, entre los que se encuentran los correspondientes al denunciante; 3) Aportación del contrato suscrito, en su caso, por FCC AQUALIA S.A. con HIDROTEC, con indicación de la vigencia del mismo, para que ésta pueda actuar como encargado de tratamiento de los datos personales obrantes en sus ficheros, entre los que se encuentran los correspondientes al denunciante; 4) Especificación de la persona física o jurídica que en diciembre de 2014 y enero y febrero de 2015 trató los datos personales del denunciante para remitirle a su nombre las facturas de 61.05 € y 61,84 € por un servicio, al parecer, no contratado por éste, así como para girarle los cargos correspondientes a dichas facturas a su cuenta bancaria. En relación con esta cuestión, también se solicitaba aclaración del motivo por el que un tercero con el que el denunciante no había contratado pudo acceder a sus datos personales con las finalidades antes reseñadas; 5) Remisión de copia del contrato nº J.J.J. suscrito por el denunciante con esa empresa, con indicación de si el denunciante continúa siendo cliente de esa sociedad y expresión, en su caso, de la fecha de resolución del contrato; 6) Remisión de copia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 la documentación relativa a la solicitud de cancelación de datos efectuada por el denunciante a esa empresa y de la contestación efectuada a dicha petición; 7) Remisión de copia de la documentación relativa a la solicitud de cancelación de datos efectuada por el denunciante a esa empresa y de la contestación efectuada. - Solicitar a BARCLKAYS BANK SA. remisión de la siguiente información y/o documentación: 1) Datos identificativos de la persona física o jurídica que en enero y febrero de 2015 ordenó cargar en la cuenta corriente nº D.D.D. dos recibos a nombre del denunciante, cuyo DNI se facilita, por importes, respectivamente, de 61,05 euros y 61,84 euros, para lo cual se señala que en el recibo SEPA de fecha 02 de enero de 2015 figura como “REF. EMISOR: F.F.F.”; 2) Remisión de copia del “Adeudo por Domiciliación SEPA” con valor 02/03/2015 por importe de 61,84 euros girado al mencionado cliente. Esta misma información fue reiterada con fecha 13 de abril de 2016 a CAIXABANK, S.A. como entidad absorbente de BARCLAYS BANK. OCTAVO: Con fecha 8 de abril de 2016 se registra de entrada escrito de contestación de la representación de AQUALIA FCC, S.A., en adelante AQUALIA, indicando: - ENTEMASER es una empresa perteneciente a AQUALIA, que presta servicio de gestión en el suministro de agua en las Islas Canarias. Se aporta Convenio para el Tratamiento de Datos Personales del Grupo FCC SERVICIOS AGUAS, en el que se regulan las relaciones de Encargado del Tratamiento derivadas de la prestación de servicios por parte de AQUALIA al conjunto de empresas del GRUPO FCC SERVICIOS AGUAS, entre ellas ENTEMANSER. No obstante lo anterior, puntualizan que AQUALIA y ENTEMANSER disponen de un prestador de servicios común, HIDROTEC, que les presta, entre otros, el servicio de Atención al Cliente para ambas entidades. - La relación de prestación de servicios, en cuanto a encargo de tratamiento, entre AQUALIA y Tratamiento Industrial del Agua, S.A. (TRAINASA ), se reguló mediante Convenio para el Tratamiento de Datos Personales en AQUALIA, cuya copia aportan. - HIDROTEC asume la posición y obligaciones de TRAINASA, conforme indican se recoge de forma expresa en el documento que aportan, por lo que el documento que regula la prestación de servicios entre AQUALIA e HIDROTEC en el Convenio aportado. También presentan Contrato de Prestación de Servicios entre HIDROTEC y AQUALIA, que incluye los servicios asociados a Centro de Atención al Cliente. - En diciembre de 2014 y enero de 2015 AQUALIA actuó como responsable del fichero e HIDROTEC como encargado del tratamiento, durante la prestación del servicio contratado de atención al cliente. El motivo por el que un tercero pudo tener acceso a los datos personales del denunciante puede derivar de una incidencia en la toma de datos del número de cuenta bancaria. - La contratación del servicio se llevó a cabo por el Ayuntamiento, directamente con el cliente. Se adjunta solicitud de acometida de cliente, resolución del Ayuntamiento aprobando la migración de los datos personales de los clientes a AQUALIA, en virtud de la concesión del servicio de gestión del agua, así como la comunicación del alta al cliente desde el Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 - Se remite copia de la documentación relativa a la solicitud de cancelación de datos efectuada por el denunciante y de la contestación. Con fecha 8 de abril de 2016 se registra de entrada escrito de contestación de la representación de ENTEMANSER indicando: - En cuanto a la regulación de la prestación de servicios entre ENTEMANSER (responsable del fichero) e HIDROTEC (encargado del tratamiento) se reiteran en lo expresado en su primer escrito de contestación a las pruebas requeridas. - Se aporta captura de pantalla de la aplicación DIVERSA, gestionada por HIDROTEC para el servicio de Atención al Cliente, mostrando los datos personales del cliente, entre los cuales figura su nº de cuenta bancaria. También se adjunta copia de las facturas emitidas a la cuenta corriente del denunciante correspondientes a los importes solicitados. Con fecha 10 de abril de 2016 el denunciante adjunta recibo bancario de ENTEMANSER por importe de -61,84 euros. Con fecha 4 de mayo de 2016 se registra de entrada escrito de contestación de CAIXABANK, SA identificando a ENTEMANSER, S.A. como ordenante del cargo de los dos recibos sobre los que se solicitaba información. Acompaña copia del Adeudo por Domiciliación SEPA” con valor 02/03/2015 por importe de 61,84 euros NOVENO: Con fecha 9 de junio de 2016 se formuló propuesta de resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a ENTEMANSER, S.A. con multa de 20.000 € (Veinte Mil euros), por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de dicha norma. DÉCIMO: Notificada dicha propuesta de resolución, con fecha 7 de julio de 2016 se registra de entrada en esta Agencia escrito de la representación de ENTEMANSER reiterando su solicitud de archivo haciendo hincapié en los siguientes argumentos: Recalcan que la empresa pertenece a FCC AQUALIA, SA, y que el tratamiento de los datos personales del denunciante no deriva de ninguna acción imputable a ENTMANSER, sino de una incidencia involuntaria por parte de HIDROTEC, empresa que como encargada del tratamiento presta los servicios de “Atención al Cliente”. Por lo cual, no cabe inferir conducta infractora alguna o responsabilidad imputable a ENTEMANSER, empresa que cuenta con estrictos procedimientos dirigidos al cumplimiento de la normativa de protección de datos y a la formación del personal en esta materia y que en cuanto conoció del error procedió a su subsanación y a cancelar los datos personales del denunciante. Discrepan de la propuesta efectuada al considerar que no puede imputársele las consecuencias de un tratamiento de datos erróneo, derivado de un incidente en que no tuvo ningún tipo de intervención y respecto del cual no puede atribuírsele inobservancia. Aducen que la Agencia no sólo no justifica el elemento subjetivo de culpabilidad en el ilícito administrativo imputado, sino que hace una mención mínima a la motivación del mismo, todo ello cuando de ninguno de los hechos reflejados en el expediente se infiere ánimo defraudatorio por parte de ENTEMANSER, lo que junto a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 diligencia en su comportamiento, supone la no existencia de responsabilidad subjetiva y, en consecuencia, la imposibilidad de imposición de sanción por parte de la Agencia. Subsidiariamente, se solicitan reducir la cuantía de la sanción propuesta a 900 euros por considerar que junto al supuesto contemplado en el apartado
  3. b)del artículo 45 también se produce la circunstancia recogida en el apartado
  4. a)del mismo precepto al apreciarse una cualificada disminución de la culpabilidad y antijuridicidad de ENTEMANSER debido a la concurrencia de varios de los criterios del artículo 45.4 de la LOP, que a juicio de esa empresa se manifiestan en la falta de intencionalidad, ausencia de perjuicio al denunciante, falta de reincidencia, ausencia de beneficio, buena fe y diligencia en subsanar el error. HECHOS PROBADOS PRIMERO: Con fecha 9 de marzo de 2015 se registra de entrada en esta Agencia denuncia de Don B.B.B., (en lo sucesivo el denunciante) contra ENTEMANSER, S.A. por haberle cargado en su cuenta corriente dos recibos por un suministro de aguas en Tenerife, ello a pesar de que no mantiene ningún tipo de relación contractual con dicha entidad ni tiene ninguna propiedad en Tenerife. (folios 1 y 2). SEGUNDO: El denunciante, que es titular de la cuenta nº C.C.C. abierta inicialmente en BARCLAYS BANK, SAU, entidad posteriormente absorbida por CAIXABANK, S.A., ha indicado que mantiene relación contractual con AQUALIAVILLAVICIOSA, entidad que le factura el suministro de agua de una propiedad que tiene en esa localidad de Asturias . (folios 1, 2, 3, 13, 255 y 256) TERCERO: ENTEMANSER, S.A., empresa que presta servicio de gestión del suministro de agua en las Islas Canarias, no mantiene relación contractual con el denunciante. (folios 10 al 12) CUARTO: Con fechas 23 de diciembre de 2014 y 23 de febrero de 2015 ENTEMANSER, S.A. expidió a nombre de un tercero, con domicilio en la localidad de ***LOCALIDAD.1 (Sta Cruz de Tenerife), dos facturas por importe total de 61,05 € y 61,84 €, respectivamente, por el servicio correspondiente al contrato nº G.G.G., En ambas facturas se reseñaba que la factura se había enviado para su cargo en la cuenta nº H.H.H. del Banco BARCLAYS BANK, S.A , Sucursal **** ( folios 231 y 233). QUINTO: ENTEMANSER, S.A., empresa del grupo FCC AQUALIA, figura como emisor de dos recibos por “adeudo por domiciliación SEPA” , de fechas 2 de enero y 2 de marzo de 2015, cargados en la cuenta del denunciante de BARCLAYS BANK, SAU, actualmente CAIXABANK, S.A., por importes de 61,05 € y 61,84 €, correspondientes a las facturas números ***FACTURA.1 y ***FACTURA.2, respectivamente. (folios 2, 3,, 14 , 252, 255 y 256) SEXTO: Según grabación aportada, el denunciante contactó telefónicamente con el Servicio de Call Centrer de FCC AQUALIA con fecha 3 de diciembre de 2014 para modificar la cuenta bancaria del servicio contratado y con ENTEMANSER el 2 de marzo de 2015 con motivo de la ordenación de dichos cargos. (folios 1 y 12 ) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 SÉPTIMO: Con fecha 4 de marzo de 2015 el denunciante presento escrito ante AQUALIA, A.A.A.), ejerciendo su derecho de cancelación de datos personales, excepto los relacionados con el consumo de agua en E.E.E. .(folio 13) OCTAVO: La solicitud de cancelación del denunciante de fecha 4 de marzo de 2015, recibida con esa misma fecha, fue contestada el 10 de marzo de 2015 indicando que ”por parte de FCC Aqualia, S.A. se ha procedido a la cancelación de la información solicitada, en tanto que se había domiciliado erróneamente en su cuenta bancaria los recibos correspondientes a un contrato de otro Servicio. Se ha corregido eliminando los datos de su cuenta bancaria de la base de datos errónea y manteniendo la domiciliación correcta de los recibos de su contrato nº J.J.J. del Servicio de ***LOCALIDAD.2” (folios 13 y 16) NOVENO: Con fechas 3 y 27 de marzo de 2015 ENTEMANSER, S.A. procedió a devolver al denunciante los dos cargos (folio 17) DÉCIMO: ENTEMANSER, S.A.. es una de las empresas adheridas al “Convenio para el Tratamiento de Datos Personales en el Grupo FCC Servicios Aguas” de fecha 7 de julio de 2010, que tiene por objeto regular de forma global y para el conjunto de las empresas del GRUPO FCC SERVICIOS AGUAS a quienes AQUALIA GESTIÓN INTEGRAL DEL AGUA, SA presta alguno de los Servicios detallados en el Anexo I del Convenio, las relaciones de Encargado del Tratamiento derivadas de dicha prestación de servicios, dando cumplimiento a la normativa de Protección de Datos Personales y, en particular, al art. 12 LOPD. (folios 102 al 128). UNDÉCIMO: ENTEMANSER, S.A.. es una de las empresas adheridas al “Convenio para el Tratamiento de Datos Personales en Aqualia Contact” de fecha 12 de julio de 2010, que tiene por objeto regular de forma global y para el conjunto de las empresas integradas en Aqualia Contact, (Centro de Atención al Cliente de las empresas del Grupo FCC Servicios-Aguas), los servicios de Encargado del Tratamiento detallados en el Anexo I de dicho Convenio, en cumplimiento a la normativa de Protección de Datos Personales y, en particular, al art. 12 LOPD. Entre dichos Servicios se encuentra la “Gestión de Contact Center” para la prestación de servicios de atención al cliente de entidades de gestión integral del agua (personal, instalaciones servicio de grabación de llamadas, etc). Dicho servicio se prestó como encargado de tratamiento por la mercantil TRATAMIENTO INDUSTRIAL DEL AGUA, S.A., (TRAINASA) hasta 31 de diciembre de 2014 y por la mercantil HIDROTEC TECNOLOGIA DEL AGUA, S.L. UNIPERSONAL, (HIDROTEC), a partir de esa fecha. (folios 61 al 84) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 II El artículo 2.1 de la LOPD señala que: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
  6. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
  7. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en adelante RDLOPD como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
  8. o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” A su vez, en los apartados c), y
  9. e)del artículo 3 de la LOPD se definen los siguientes conceptos: “
  10. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”, “
  11. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  12. c)del presente artículo.” A la vista de las definiciones anteriores, se evidencia que el número de cuenta corriente bancaria titularidad del denunciante utilizada por ENTEMANSER, S.A. en el tratamiento analizado constituye un dato de carácter personal conforme a lo previsto en la LOPD, ya que constituye una información que le concierne y que le afecta al estar asociada sin esfuerzos desproporcionados a su identidad, puesto que mediante una operación de tipo informático la información incluida en dicho dato permite identificar a la persona física titular de la misma, conforme prueba que el uso de dicha cuenta por ENTEMANSER ha generado dos adeudos cargados a nombre del afectado en su cuenta de . En consecuencia, el tratamiento de dicho dato de carácter personal está sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización si el denunciante no ha dado su consentimiento inequívoco para ello. III Partiendo, de lo anterior hay que dilucidar si la utilización de dicho dato de carácter personal del denunciante podría suponer la comisión, por parte de ENTEMANSER de una infracción del artículo 6.1 de la LOPD. El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado”, establece que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso ENTEMANSER no ha acreditado que contase con el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal, materializado en la inclusión del dato de la cuenta bancaria del denunciante en sus propios ficheros y en el uso del mismo tanto para generar las facturas números ***FACTURA.1 NOV-DIC/2014 y ***FACTURA.2 ENE-FEB//2015, en las que aparecía el dato parcial de dicha cuenta, emitidas con fechas 23/12/2014 y 23/02/2015, por importes de 61,05 € y 61,84 €, como par realizar los cargos correspondientes a las mismas en la mencionada cuenta nº C.C.C. de su titularidad, abierta en la entidad BARCLAYS BANK, SAU, en la actualidad CAIXABANK, S.A., correspondientes a los recibos SEPA de las referidas facturas (folios 2,3, 14, 230, 231, 257) Tal y como se desprende de los elementos fácticos y documentación obrante en el expediente, el mencionado tratamiento no estaría amparado por disposición legal alguna ni por la contratación del servicio de gestión de suministro de agua objeto de facturación. De hecho, ambas partes han indicado a esta Agencia que no había ningún tipo de vínculo contractual entre ellos, circunstancia que hubiera eximido a ENTEMANSER del cumplimiento del requisito del consentimiento en el marco del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 desarrollo y mantenimiento de la relación contractual. La inexistencia de tal consentimiento también se prueba a través de las manifestaciones efectuadas por la denunciada al señalar, tanto en su contestación al requerimiento de información que le fue dirigido por esta Agencia durante las actuaciones previas de inspección del expediente E/ I.I.I. como en el escrito de alegaciones al acuerdo de inicio, que “el motivo del cargo realizado en la cuenta del afectado se debe a una incidencia en la toma de datos del número de cuenta bancaria, lo que originó el cargo de dos recibos en su cuenta en los meses de enero y febrero de 2015 de importes de 61,05 € y 61,84 €, respectivamente.” (folios 11 y 27) Consecuentemente, ENTEMANSER no ha acreditado en el procedimiento que contase con el consentimiento inequívoco del denunciante para el tratamiento de sus datos de carácter personal, en concreto, para tratar su cuenta bancaria a los efectos de la domiciliación bancaria de dos facturas del servicio de gestión en el suministro de agua en las Islas Canarias contratado por un tercero. Por lo que el tratamiento efectuado con los datos de carácter personal del denunciante, en concreto su número de cuenta bancaria, vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a ENTEMANSER tratar los datos de la denunciante sin su consentimiento. IV Respecto de la imputación efectuada por esta Agencia, la representación de ENTEMANSER mantiene que del análisis de los hechos no cabe inferir la existencia de conducta infractora alguna imputable a dicha empresa, ya que lo ocurrido tiene origen en una incidencia involuntaria por parte de HIDROTEC, que en condición de encargada de tratamiento presta el servicio de “Atención al Cliente” a diversas empresas del grupo FCC SERVICIOS AGUAS, entre las que se encuentra ENTEMANSER y AQUALIA GESTIÓN INTEGRAL DEL AGUA, SA,, tratando por ello los datos personales de las distintas entidades a las que presta dicho Servicio. Sin embargo, en este caso ENTEMANSER no ha aportado ningún indicio del que se infiera que el origen del dato del número de cuenta bancaria del denunciante fuera un error de HIDROTEC. ENTEMANSER, como responsable del tratamiento, se adhirió tanto al “Convenio para el tratamiento de datos personales en el Grupo FCC Servicios Aguas” de fecha 07/07/2010 (folios 103 al 127), como al “Convenio para el Tratamiento de Datos Personales en Aqualia Contact” de fecha 12/07/2010 (folios 130 al 149), ambos a fin de dar cumplimiento al artículo 12 de la LOPD. A través del Convenio de fecha 07/07/2010 se regula de forma global y para el conjunto de las empresas del Grupo FCC Servicios Aguas a quienes AQUALIA GESTIÓN INTEGRAL DEL AGUA, SA, en adelante AQUALI, preste alguno de los servicios detallados en el Anexo I del mismo, las relaciones de Encargado de Tratamiento derivadas de dicha prestación de servicios, como encargado de tratamiento (folio 105) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 A su vez, mediante del Convenio de fecha 12/07/2010 se regula de forma global y para el conjunto de las empresas integradas en Aqualia Contact, los servicios de Encargado del Tratamiento detallados en el Anexo I del mismo, derivadas de las prestaciones de servicios definidas en el mismo (folio 133) . En dicho Anexo I consta que TRAINASA declara, y la entidad adherente acepta expresamente, la subcontratación con AQUALIA de los servicios de “Gestión Contac Center”, gestión de pago por tarjeta y servicio técnico e informático, (folio 140), funciones posteriormente traspasadas a HIDROTEC en virtud de las estipulaciones de fecha 31/12/2014, empresa, que a su vez, desde el 2 de enero de 2014 prestaba servicios de “Centro de Atención al Cliente” a AQUALIA en virtud de “Contrato de prestación de Servicios” (folios 153 al 164), y que comprendían la resolución de consultas, gestiones de contratación, resolución de reclamaciones, modificación de datos de clientes, gestión de domiciliación de recibos, cobros a través de tarjeta y otros medios telemáticos (folio 155). Para dilucidar la cuestión alegada por ENTEMANSER resulta ilustrativo el informe 0227/2010, emitido por el Gabinete Jurídico de la AEPD, en el que se expone: <<El artículo 3
  13. d)de la Ley Orgánica 15/1999, define al responsable del fichero como la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento". Por su parte, el artículo 3.
  14. g)de la misma Ley define al encargado del tratamiento como "la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento." En consecuencia, la condición de responsable o encargado del tratamiento se delimita en virtud de la capacidad de decisión sobre la finalidad, contenido o uso del tratamiento que ostentará el responsable, no correspondiendo dicha potestad al encargado, habida cuenta del hecho de que el mismo se limitará a actuar en virtud de las instrucciones conferidas por el responsable del tratamiento. El artículo 5.1.
  15. i)del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, precisa así que será encargado de tratamiento "La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio." La figura del encargado del tratamiento responde a la necesidad de dar respuesta a fenómenos como la externalización de servicios por parte de las empresas y otras entidades, de manera que en aquellos supuestos en que el responsable del tratamiento encomiende a un tercero la prestación de un servicio que requiera el acceso a datos de carácter personal por éste, dicho acceso no pueda considerarse como una cesión de datos. Es así que el artículo 12.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, establece que "no se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento" En este sentido, tal y como señala el informe de esta Agencia de 27 de julio de 2006 "Para delimitar si en un supuesto concreto nos encontramos ante una cesión de datos o ante una realización de actividades reguladas por el artículo 12 de la Ley Orgánica, será preciso atender a las circunstancias de cada caso, de tal forma que existirá cesión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 en aquellos supuestos en los que quien reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que la convertirá a su vez en un responsable del fichero o tratamiento, mientras que la figura regulada por el artículo 12 de la Ley Orgánica tendrá cabida en aquellos otros casos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad." Ahora bien, para que la relación entre responsable y encargado del tratamiento pueda darse y se ajuste a la Ley, es preciso que se cumplan los requisitos expresados en el artículo 12 de la Ley Orgánica 15/1999, considerando los siguientes aspectos: En primer lugar, es preciso que el acceso a los datos por el tercero (en el presente caso por la empresa prestadora del servicio de destrucción de documentos) se efectúe con la exclusiva finalidad de prestar un servicio al responsable del fichero, y que dicha relación de servicios se encuentre contractualmente establecida. En lo que atañe a los requisitos formales de este tipo de contratos, el artículo 12.2 de la Ley Orgánica 15/1999 impone que "la realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas". El hecho de que la relación derivada del contrato sea la existente entre un responsable y un encargado del tratamiento implicará que al término de la relación sea aplicable lo establecido en el artículo 12.3 de la Ley orgánica 15/1999, de forma que "una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento". El incumplimiento de la previsión señalada en el artículo 12.3, que en el presente caso queda limitada, por la propia naturaleza del servicio a prestar, a la destrucción de los documentos que contengan datos personales ordenada por la empresa que contrate dicho servicio, llevará aparejada la consecuencia, prevista en el artículo 12.4 de la Ley Orgánica 15/1999, de que "En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.>> Extrapolando el contenido de dicho informe al supuesto ahora analizado, resulta que HIDROTEC es encargado del tratamiento de ENTEMANSER en el marco de los Convenios citados, a los que ésta se adhirió. Fijado lo cual, ENTEMANSER no ha acreditado que HIDROTEC incumpliera los requisitos y garantías contenidos en la mencionada documentación a los efectos previstos en el artículo 12 de la LOPD, excediéndose en la prestación de los servicios objeto de subcontratación realizados en virtud del artículo 21 del Reglamento de desarrollo de la LOPD que prevé que “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado por el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 Por lo que la responsabilidad del tratamiento analizado recae en ENTEMANSER, entidad que como responsable del fichero en el que se incluyeron los datos del denunciante decidió sobre la finalidad, contenido y uso del tratamiento a realizar por HIDROTEC, entre los que se encontraba el servicio de gestión de domiciliación de recibos, envío y recepción de documentación que alcanzaba al conjunto de las empresas integradas en Aqualia Contact, conforme lo previsto en el Convenio de fecha 12/07/2010. V Alega la representación de ENTEMANSER la ausencia de culpabilidad en la actuación de la entidad, indispensable junto con la tipicidad de la conducta, para apreciar la comisión de una infracción administrativa e imponer una sanción. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo, así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. En la misma línea, el Tribunal Supremo (STS 16/04/91 y STS 22/04/91) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23/01/98). Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por ello, a los efectos de determinar la existencia, o no, de culpabilidad en la conducta que configura el ilícito administrativo que nos ocupa resulta relevante analizar la diligencia desplegada en la acción por el sujeto a fin de evitar la vulneración de la normativa que resulta de aplicación. En este orden de ideas, esta Agencia considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, puesto que en el procedimiento sancionador no consta la adopción de medidas de control previas al uso de los datos por parte de HIDROTEC en aras a constatar que se contaba con el consentimiento inequívoco de los afectados para ello, en este caso del denunciante, o se producía alguna de las excepciones al mismo previstas en el artículo 6.2 de la LOPD, ello en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 evitación de errores como el descrito, máxime siendo conocedora ENTEMANSER de que HIDROTEC prestaba servicios como subencargada de tratamiento para diferentes empresas del Grupo FCC Servicios Aguas, lo que lleva a estimar como adecuado la instauración de procedimientos que impidan el cruce de datos entre ficheros de distintas entidades del grupo. En definitiva, si bien no puede acreditarse una conducta dolosa por parte de ENTEMANSER, si puede imputarse la responsabilidad en la comisión de la infracción imputada a título de culpa, ya que no desplegó, con anterioridad a la realización del tratamiento objeto de estudio, la diligencia y el deber de cuidado que le eran exigibles en atención a la circunstancia descrita. Asimismo, no basta con la mera implementación de medidas tendentes al cumplimiento de la normativa de protección de datos, también han de resultar efectivas en orden a los fines pretendidos. El Tribunal Supremo (Sentencias de 05/07/98 y 02/03/99) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 05/07/98 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/97, 11/03/98, 02/03/99 y 17/09/99. En relación con esta cuestión la Sentencia de la Audiencia Nacional de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilístico para que concurran los elementos de la infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa. En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. Asimismo, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos deben ser especialmente diligentes y cuidadosos a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14/02/02, 20/09/02, 13/04/05 y 18/05/05. Pues bien, en el supuesto examinado , no ha actuado con la diligencia que le era exigible pues trató los datos del denunciante sin su consentimiento para cargarle dos recibos por la prestación de un servicio no contratado por el afectado, sin que la utilización de la cuenta bancaria para tal fin pueda calificarse como de puntual al haber usado esa información en dos facturas y en la ordenación del cobro de las mismas a través de la domiciliación bancaria. Así, se ha constatado que las facturas emitidas a nombre de un tercero, que si tenía la condición de cliente de esa empresa, y en las que figuraba parte de la codificación de la cuenta, se emitieron por ENTEMANSER con fechas 23 de diciembre de 2014 y 24 de febrero de 2015 y que los cargos de los recibos SEPA ordenados por esa empresa, por importes de 61,05 € y 61,84 €, tenían como fecha valor el 2 de enero y 2 de marzo de 2015, no siendo hasta el 3 de marzo y el 27 de marzo de 2015, según la información aportada que obra en la aplicación del “Departamento de Gestión de Clientes “ de AQUALIA, que se procedió a devolver al denunciante dichos cargos. Corresponde a esa empresa como responsable del tratamiento efectuado con los datos de carácter personal del denunciante adoptar las medidas adecuadas para el tratamiento de los datos personales, lo que conlleva la adopción previa de las medidas y controles necesarios para constatar la perfecta identificación de sus clientes y la corrección de los datos registrados de los mismos, siendo esta exigencia de cuidado y rigor muestra del cumplimiento de una obligación ordinaria exigible a las empresas, que como la denunciada, desarrollan su actividad con grandes volúmenes de datos personales. Todo lo cual pone de relieve una falta de diligencia en su actuación que impide pueda entenderse la existencia de ausencia de culpabilidad, produciéndose, con arreglo a la doctrina expuesta, una conducta típica imputable a ENTEMANSER a título de culpa, sin que sea necesario que exista dolo en su actuación. Por último, en cuanto a la buena fe mostrada al no existir ánimo defraudatorio ni culposo, la Audiencia Nacional en su Sentencia de 24 de mayo de 2002 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. Línea en la que incide la Sentencia de la Audiencia Nacional de fecha 27 de mayo de 2010, Sala de lo Contencioso-Administrativo, sec. 1º rec. 421/2010, al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 mantener que: “El argumento de la buena fe es claramente insuficiente sobre todo en un caso como el presente en que se trata de una gran empresa que maneja multitud de datos y que debió actuar con más prudencia para justificar la legalidad de los tratamientos efectuados. La inexistencia de dolo, tan escuetamente planteada en el escrito de contestación a la demanda, no puede ser suficiente para justificar la estimación de la demanda pues procede aplicar lo dicho por el artículo 130 de la Ley 30/92 según el cual: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Todo lo expuesto lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de ENTEMANSER en el ilícito administrativo imputado, pues cabe pensar que actuando de otro modo hubiera podido evitarse el tratamiento de los datos personales del afectado sin su consentimiento. A tenor de lo cual, ENTEMANSER resulta responsable de la infracción al principio del consentimiento imputada y se encuentra sujeta al régimen sancionador establecido en la LOPD conforme a lo dispuesto en el artículo 43.1 de dicha norma. VI Acreditada en el anterior Fundamento de Derecho la existencia del elemento subjetivo de culpa, a continuación se justifica la tipicidad de la conducta analizada como sancionable. De acuerdo con las previsiones de la LOPD, el artículo 44.3.
  16. b)tipifica como infracción grave “
  17. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En el presente caso, En el presente caso, la entidad denunciada ha tratado la cuenta bancaria titularidad del denunciante (dato de carácter personal) para incluirla en dos facturas emitidas a nombre de un tercero, quien se correspondía con la persona física que había contratado el servicio objeto de facturación, y cargar al afectado dos recibos con origen en dichas facturas Por lo cual, ha incurrido en la comisión de la infracción descrita al vulnerar uno de los principios básicos del derecho fundamental a la protección de datos de carácter personal, como es el principio al consentimiento para el tratamiento de dichos datos recogido en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
  18. b)de la citada Ley Orgánica. A la luz de lo descrito, en el presente caso la descripción de conducta que establece el artículo 44.3.
  19. b)de la LOPD cumple las exigencias derivadas del principio de tipicidad. Respecto de esta cuestión en la Sentencia de la Audiencia Nacional de fecha 17 de octubre de 2007, Recurso 23/2006, se indicaba: “Por tanto, concurre la tipicidad cuya infracción se denuncia en el escrito de demanda, pues hay predeterminación normativa, que desempeña la función de garantía mediante la cual se tiene una predicción razonable de la conducta ilícita y de las consecuencias jurídicas que lleva aparejada la comisión de dicha conducta, dicho de otra forma, la tipicidad es suficiente si consta en la norma una predeterminación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 inteligible de la infracción, de la sanción y de la correlación entre una y otra.” VII El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El articulo 45.5 deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. No obstante , teniendo en cuenta las circunstancias que concurren en el presente caso, ya en la propuesta de resolución se apreció la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia del supuesto contemplado en el artículo 45.5,
  35. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente, puesto que a la vista de lo actuado ha quedado probado tan pronto como ENTEMANSER tuvo conocimiento de la situación, lo que acaeció a través de la llamada realizada por el denunciante el día 2 de marzo de 2015 reclamando por la domiciliación bancaria de unos importes por parte de una empresa con la que no mantenía relación contractual, procedió, en forma inmediata, a devolver al denunciante con fechas 3 y 27 de marzo de 2015 los cargos realizados y a adoptar las medidas tendentes para que se eliminasen los datos de la cuenta bancaria del denunciante del fichero de otra empresa del grupo en la que estaban registrados erróneamente. Así, consta que con fecha 10 de marzo de 2015 se le informó que ya se había procedido a la eliminación de su cuenta bancaria de la base de datos errónea (folio 16), no habiendo constancia de que recibiera nuevas facturas. Es decir, la situación se subsanó en menos de un mes, tiempo transcurrido desde la recepción de la llamada, cuya grabación se ha aportado, hasta la devolución de ambos cargos. En cuanto a la aplicación concurrente de varios de los supuestos previstos en este apartado 5 solicitada por ENTEMANSER, en concreto los supuestos
  36. a)y b), hay que reseñar la sentencia de la Audiencia Nacional de fecha 28 de abril de 2015, que dice al respecto: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”.” En este caso concreto, C/ Jorge Juan, 6 28001 – Madrid se aprecia la circunstancia prevista en el artículo www.agpd.es sedeagpd.gob.es 19/20 45.5.b), procediendo imponer por la infracción cometida una multa cuyo importe se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, se considera que operan como agravantes de la conducta que ahora se enjuicia los siguientes criterios:
  37. a)El carácter continuado de la infracción, del artículo 6.1 de la LOPD que se imputa a la denunciada, que aquí se justifica por el tratamiento inconsentido durante más de tres meses de la cuenta bancaria del afectado por un período que, como mínimo, comprende desde el 23/12/2014, fecha de emisión de la factura por importe de 61,05 €, hasta el 27 de marzo de 2015, fecha de devolución de la factura de 23 de febrero de 2015;
  38. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; f), el “El grado de intencionalidad” debe entenderse en el sentido de grado de culpabilidad, siendo destacable la grave falta de diligencia demostrada por la denunciada en la conducta que es objeto de valoración en el expediente; y apartado
  39. h)en cuanto a la naturaleza de los perjuicios causados, Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, ha señalado que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. Paralelamente, se considera que están presentes como circunstancias atenuantes los criterios recogido en los apartados
  40. b)y
  41. e)del artículo 45.4 ya citado. Así, respecto del criterio b), “el volumen de los tratamientos efectuados” el tratamiento inconsentido analizado ha estado asociado al dato de carácter personal de la cuenta bancaria del denunciante; en cuanto al criterio
  42. e)referido a “los beneficios obtenidos como consecuencia de la comisión de la infracción” no hay constancia de pruebas relativas a la existencia de beneficios obtenidos a raíz de la comisión de la infracción descrita. Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD cuya presencia ha quedado acreditada y habida cuenta que concurren las circunstancias citadas anteriormente para la aplicación del artículo 45.5 de la LOPD, se estima procedente a la gravedad de los hechos imputados sancionar a ENTEMANSER con multa de 20.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENTEMANSER, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  43. b)de la LOPD, una multa de 20.000 € (Veinte Mil euros) , de conformidad con lo establecido en los artículos 45.1, 2, 4 y 5 de la citada LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. ENTEMANSER, S.A. y a Don TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.