1/8 Procedimiento Nº PS/00041/2015 RESOLUCIÓN: R/01710/2015 En el procedimiento sancionador PS/00041/2015, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía SAU, vista la denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7/2/14 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que: * Es titular del suministro eléctrico sito en (C/.............1) de Burgos, en el que tenía contratado el suministro eléctrico con la empresa IBERDROLA. * Que dicho suministro fue cambiado a ENDESA sin su consentimiento. * A través de la OMIC fue solicitada copia firmada del contrato o grabación telefónica. La empresa les envió una copia del contrato con datos falsos, incluida la firma, junto con datos verdaderos. Además, la entidad pidió disculpas y procedió a anular los importes * El mismo hecho se repitió nuevamente en otros domicilios diferentes del mismo titular con los suministros de luz y gas en la calle (C/.............2) y (C/.............3), ambas de Burgos, en fecha 23/7/2012. * Presentadas nuevas reclamaciones, la respuesta fue la misma, pero sin enviar contrato alguno. * Por tercera vez, como en las anteriores, se procedió a dar de alta sin autorización, cambiando el suministro eléctrico de los domicilios de (C/.............4), de Torrecilla del Monte (Burgos), el día 6/1/2013, en la (C/.............1), Burgos, el día 6/1/2013, en la calle (C/.............2) de Burgos, el día 4/1/2013 y el de gas el día 21/12/2012. * El motivo de la reclamación es la reiterada utilización de los datos personales del denunciante por ENDESA. Se ha aportado, junto al escrito de denuncia, diversa documentación en relación a los hechos denunciados. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/01197/2014. Concluyéndose la investigación con informe siguiente de la Inspección de Datos de fecha 20/1/15 TERCERO: Con fecha 2/2/15, el Director de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Datos acordó iniciar, con fecha 01/12/14 procedimiento sancionador a ENDESA ENERGIA SAU del artículo 6.1 de la LOPD), CUARTO: Se ha presentado escrito de alegaciones al acuerdo de Inicio en que se manifiesta, en síntesis, lo siguiente: Sobre la contratación * Que los contratos formalizados fueron gestionados por la empresa RASUVALCAN contratada por Endesa para la captación de clientes. Teniendo Endesa suscrito un contrato de prestación de servicios en virtud de la cual se obligaba a recabar el consentimiento de los potenciales clientes para dicha contratación previa la verificación de que el potencial cliente es el titular del punto de suministro y la identidad del contratante por medio de su DNI incorporando copia de dicho documento si fuera posible. * Que tiene implementado un procedimiento para el control de estas contrataciones presenciales, basadas en llamadas telefónicas de control como las que se acompaña a este escrito. Sobre el tratamiento de los datos del denunciante * Que en este caso se ha acreditado que trató los datos del denunciante porque disponía de la solicitud debidamente cumplimentada y firmada, así como la grabación de la conversación telefónica confirmando dicha contratación. Sobre las actuaciones realizadas * Se procedió a la anulación de los contratos, tras la reclamación del denunciante, por decisión de Endesa de acceder de buena fe en aras a la petición del cliente de no querer seguir manteniendo una relación contractual con la compañía. QUINTO: Por el instructor del procedimiento se apertura, con fecha 8/1/15 periodo de prácticas de pruebas con la incorporación de las actuaciones de investigación previa y las alegaciones de la entidad denunciada. SEXTO: Se emitió propuesta de resolución con fecha 25/5/15 en el sentido de que por el Director de la Agencia se declarase el archivo del presente procedimiento HECHOS PROBADOS 1º Consta denuncia de D. A.A.A., con DNI ***DNI.1, y domicilio (C/.............3) de Burgos alegando lo siguiente: * Que es titular del suministro eléctrico sito en (C/.............1) de Burgos, en el que tenía contratado el suministro eléctrico con la empresa IBERDROLA. * Que dicho suministro fue cambiado a ENDESA sin su consentimiento. * A través de la OMIC fue solicitada copia firmada del contrato o grabación telefónica. La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 empresa les envió una copia del contrato con datos falsos, incluida la firma, junto con datos verdaderos. Además, la entidad pidió disculpas y procedió a anular los importes * El mismo hecho se repitió nuevamente en otros domicilios diferentes del mismo titular con los suministros de luz y gas en la calle (C/.............2) y (C/.............3), ambas de Burgos, en fecha 23/7/2012. * Presentadas nuevas reclamaciones, la respuesta fue la misma, pero sin enviar contrato alguno. * Por tercera vez, como en las anteriores, se procedió a dar de alta sin autorización, cambiando el suministro eléctrico de los domicilios de (C/.............4), de Torrecilla del Monte (Burgos), el día 6/1/2013, en la (C/.............1), Burgos, el día 6/1/2013, en la calle (C/.............2) de Burgos, el día 4/1/2013 y el de gas el día 21/12/2012. * El motivo de la reclamación es la reiterada utilización de los datos personales del denunciante por ENDESA. 2º Consta copia de los contratos, aportados por Endesa, que fueron gestionados por la empresa Rasuvalcan, con domicilio en Santander, contratada por Endesa para captación de clientes. Se ha acompañado copia de dichos contratos. * En ninguno de dichos contratos la rúbrica de la firma del denunciante coincide con la suya. * No se aporta copia del DNI denunciante 3º Consta grabación telefónica, aportada por Endesa, confirmando la contratación FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/1197/2014, se determinó que, salvo prueba en contrario, que ENDESA dio de alta el suministro de electricidad en tres viviendas propiedad del denunciante sin acreditar el consentimiento del titular del suministro. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. III El artículo 6.1 y 2 de la LOD dispone que: ”1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. IV A la vista de la documentación obrante en el expediente aportada por la entidad denunciada debe de procederse al archivo del presente expediente sancionador por ausencia del elemento subjetivo de culpabilidad, necesario en la actuación de ENDESA, para ejercer la potestad sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Se contiene en la denuncia una supuesta contratación inconsentida por parte del denunciante, del suministro de gas y electricidad relativa a una serie de domicilios de que es titular: * (C/.............3) Burgos * (C/.............2)Burgos * (C/.............1) Burgos Se ha aportado por la entidad denunciada copia del contrato de suministro relativo a los tres domicilios, realizado respectivamente, con fechas 25/6/12 (el primero) y 19/11/12 (el segundo y tercero). Apareciendo en los mismos los datos personales del denunciante, una cuenta bancaria, y el código CUPS de suministro. Figurando firmados por el cliente, si bien su rúbrica no coincide con la del denunciante, no habiéndose aportado copia del DNI. Dichos contratos fueron gestionados por una empresa denominada RASULVALCAN S.L. aportándose copia del contrato de prestación de servicios entre ambas. En el punto 2.2b) se recoge como obligación de esta empresa: “Formalizar…los preceptivos contratos recabando para ello el consentimiento del potencial cliente”, y en el apartado
- c)“Realizar el control de calidad del 100% de las solicitudes firmadas según el procedimiento establecido por Endesa…” Se ha aportado grabación de la conversación telefónica realizada por Endesa, realizada al no adjuntarse en la solicitud de contratación la documentación identificativa del cliente. En el transcurso de la misma se acepta por quien dice llamarse D. A.A.A. la contratación de dicho suministro, Habiéndose aportado en el transcurso de la misma, por el receptor de la llamada su segundo apellido, la dirección completa de sus domicilios y su fecha de nacimiento (no coincidente con la del denunciante, si bien este punto era imposible de comprobar al figurar en blanco en los contratos la fecha de nacimiento) Esta circunstancia dota a dicha contratación, por parte de la entidad denunciada, de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. No cabe apreciar culpabilidad alguna en la actuación de esta entidad, que actuó con la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. Respecto de la ausencia de culpabilidad, puede traerse a colación la SAN 28/6/13, Rec. 572/11 que, en un supuesto análogo, y en el que actuaba como demandante la entidad denunciada afirma que: <<<<< En esta línea en la STC de 25 de enero de 1999, se declara que la potestad sancionadora de la Administración debe ejercitarse en consonancia con las garantías, debidamente atemperadas, reconocidas en el art. 24.1 de la Constitución, especialmente las derivadas de la presunción de inocencia, en los términos previstos en las sentencias del Tribunal Constitucional 76/1990, 120/1994, 154/1994, 23/1995, 97/1995, 147/1995 y 45/1997, que implica que la carga de la prueba de los hechos constitutivos de la infracción recaiga sobre la Administración. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Así las cosas, la recogida de datos fue efectuada por Rasuvalcan, S.L., por encargo de la parte actora, por medio de sus empleados o agentes. Se recogieron datos personales del denunciante, tales como nombre, apellidos, y dirección postal, datos de vivienda, de su contrato de suministro de gas y su cuenta bancaria. El procedimiento de contratación que expone la parte recurrente en su escrito de demanda es perfectamente compatible con lo que obra en autos: Endesa Energía S.A., Sociedad Unipersonal contrata a través de empresas comercializadoras (PdS) y la ahora entidad actora se limita a comprobar la corrección de los datos facilitados por el cliente (en especial el que hace referencia a la identificación del punto de suministro) y que solo obra en la factura por lo que solo el cliente puede facilitarlo. Tal y como dijimos en un caso semejante al que nos ocupa, en igualmente existía una grabación telefónica de fecha 26 de febrero de 2009 entre el denunciante y una de las operadoras de la parte actora a los efectos de comprobar la veracidad de la contratación, en la Sentencia de 27, no 26 como aduce la parte actora, de enero de 2011 -recurso nº. 782/2009-, se deduce el consentimiento del titular de los datos para su tratamiento por la empresa recurrente, respondiendo éste en sentido afirmativo a que era el titular del contrato, que lo firmó el mismo y el servicio de mantenimiento, así como que facilitó los datos al comercial, incluido el número de cuenta bancaria. Pero además, en vía administrativo se envió por la Agencia de Protección de Datos la grabación al denunciante para que manifestara si era él quien decía ser en dicha grabación, no contestando. Por lo tanto, en principio parece existir la contratación, por lo que no cabe apreciar un tratamiento de datos personales sin consentimiento, debiéndose anular la sanción, y, en consecuencia, estimar el recurso contencioso-administrativo >>>> V Cabe, pues, deducir que la entidad denunciada actuó de manera diligente en la adopción de las medidas necesarias para la comprobación de la identidad de la denunciante. En este sentido cabe hacer mención a la Sentencia de la Audiencia Nacional 29/04/2010, Rec. 700/2009, que indica lo siguiente: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” La diligencia en la actuación de Endesa se observa también en el hecho de que las facturas emitidas fueron anuladas y los contratos dados de baja, ante la negativa del Sr. Varga a reconocer la contratación y presentar una posterior reclamación ante la OMIC del Ayuntamiento de Burgos. VI Consecuentemente, y faltando el hecho determinante presupuesto de la actividad sancionadora, esto es, el tratamiento inconsentido de los datos del denunciante por parte de ENDESA ENERGIA SAU es necesario aplicar el principio de presunción de inocencia que debe de regir sin excepciones en el ordenamiento sancionador y que ha de ser respetado en la imposición de cualesquiera sanciones, ya que el ejercicio del ius puniendi en sus diversas manifestaciones se encuentra condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990 de 26 de abril considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” VII No obstante lo anterior debe significarse que la copia del contrato, y resto de la documentación, se ha aportado por ENDESA ENERGIA SAU en el trámite de alegaciones al Acuerdo de Inicio, no contestándose por parte de esa entidad el requerimiento informativo, solicitado con fecha 19/5/14 que le hizo la inspección de la AEPD durante las Actuaciones de Investigación Previa. Dado que el artículo 124 del RLOPD contempla la posibilidad de los requerimientos de información, la no atención a los mismos de forma reiterada podría suponer en su caso una obstrucción de la función inspectora, conducta que encuentra su tipificación en el art. 44.3.j de la LOPD, dentro del apartado de infracciones graves. Vistos los preceptos citados y demás de general aplicación, Por el Director de la Agencia Española de Protección de Datos Se ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 2. NOTIFICAR la presente resolución a Endesa Energía SAU y a D. A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es