PS-00065-2016

1/9 Procedimiento PS/00065/2016 RESOLUCIÓN: R/01960/2016 En el procedimiento sancionador PS/00065/2016, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía XXI SLU, vista la denuncia presentada por B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de marzo de 2015 tiene entrada en esta Agencia un escrito de B.B.B. y con fecha 13 de julio de 2015 se recibe escrito de subsanación y mejora de solicitud. En dichos escritos se pone de manifiesto los siguientes hechos: Con fecha 23 de febrero de 2012, el denunciante interpone una reclamación ante la compañía Endesa Energía XXI SLU (EEXXI) debido a que le están reclamando una deuda de una tercera persona que coincide con su nombre y apellidos no así el DNI. Posteriormente, y en relación a estos mismos hechos, interpone reclamación ante el Sindic de Greuges de Catalunya, el cual le remite escrito de fecha 5 de noviembre de 2012 donde le indican que la compañía ha podido comprobar que la deuda corresponde a otro titular por un error del NIF y por este motivo ha paralizado las gestiones de recobro. No obstante, con fecha 6 de marzo de 2015 ha recibido requerimiento de deuda remitido por la empresa de recobros Medina Cuadros y Asociados por la deuda de 2195,73 € con EEXXI. Por este motivo interpone una nueva reclamación en abril de 2015 siendo desestimada por EEXXI en escrito de fecha 12 de mayo de 2015. Adjunto a la denuncian se ha aportado copia de los escritos mencionados, reclamación de pago de deuda de Medina Cuadros y Asociados, requerimiento de deuda de otra empresa de recobros COLECTA y justificante del expediente de la reclamación del denunciante de febrero de 2012. En este último escrito consta una observación en la que se indica que el DNI asociado a la deuda no es correcto y que no se puede modificar al estar el contrato en baja así como que procede rehacer las facturas con el DNI correcto. SEGUNDO: A la vista de los hechos denunciados se inician actuaciones previas por los Servicios de Inspección de esta Agencia y que concluyen con el siguiente informe: <<< Con fecha 25 de septiembre de 2015 se solicita información a Endesa Energía XXI SLU respecto de B.B.B. con DNI E.E.E. y de la respuesta recibida en fecha 2 de noviembre de 2015, se desprende: ENDESA manifiesta que debido a un error de NIF se efectuó un requerimiento de deuda al denunciante si bien la misma correspondía a otro titular con el mismo nombre y apellidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 ENDESA manifiesta que como consecuencia de la reclamación efectuada por el denunciante, se realizaron los trámites pertinentes a efectos de paralizar cualquier gestión de recobro al denunciante y se procedió a refacturar las facturas de suministro a nombre del otro titular y aporta impresión de pantalla donde figura la reclamación del denunciante en fecha 12/04/2012 y la nueva facturación al otro cliente con el mismo nombre y apellidos con distinto DNI. ENDESA manifiesta que debido a una anomalía de operativa, se generó de nuevo el expediente de recobro a nombre del denunciante (titular erróneo), lo que causó que el denunciante formulase una reclamación a través de una oficina comercial, que se cerró como improcedente erróneamente mediante el envío de la respuesta que de fecha 12 de mayo de 2015. ENDESA manifiesta la falta de intencionalidad y voluntariedad y reconoce voluntariamente la responsabilidad. >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Endesa Energía XXI SLU (EEXXI) realizó tratamiento de los datos personales de la persona denunciante contrarios al principio de la calidad de datos, al reclamarle el pago de una deuda que correspondía a otra persona del mismo nombre y apellidos, advertido el hecho la compañía ordenó refacturar de nuevo con los datos correctos a la persona realmente deudora, pero -un tiempo después- en la gestión de recobro de dicha deuda se le volvió a reclamar el pago al denunciante. CUARTO: Con fecha 02/03/16, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a Endesa Energía XXI SLU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presuntas infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

1. c)en la citada ley orgánica. Notificado el acuerdo de inicio, EEXXI solicitó y obtuvo copia del expediente y ampliación del plazo para alegaciones. En sus alegaciones solicita una sanción por importe de las leves en aplicación del art. 45.5.
2. d)de la LOPD. Alega: <<< Tal y como manifestamos en nuestro escrito de fecha 28 de octubre de 2015 en contestación al requerimiento remitido por esa Agencia, debido a un error en el NIF se efectuó un requerimiento de pago al denunciante si bien el deudor era otro titular de suministro cuyo nombre y apellidos coinciden con los del denunciante. Ante la reclamación del interesado, Endesa realizó las gestiones oportunas a efectos de paralizar cualquier gestión de cobro al denunciante si bien, debido a una anomalía de operativa, se generó de nuevo un expediente de recobro a nombre del titular erróneo. Dicho lo anterior y partiendo de la falta de intencionalidad y voluntariedad en la conducta de esta parte, se ha producido una situación que podría ser constitutiva de una contravención del artículo 4.3 de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), tipificada como grave en el artículo 44.3
3. c)en la citada Ley Orgánica. Es, por ello, que se reconoce voluntariamente la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 responsabilidad de Endesa y se solicita que en el establecimiento de la cuantía de la sanción se aplique la escala relativa a la infracción que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso de conformidad con lo previsto en el artículo 45.5
4. d)de la LOPD. >>> QUINTO: Con fecha 07/04/16 se acuerda practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante Endesa Energía XXI SLU, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04298/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00065/2016 presentadas por Endesa Energía XXI SLU. 3. Se advierte a la citada entidad denunciada que puede aportar cuantos documentos probatorios considere oportunos relacionados con la infracción que se le imputa (tratamiento sin calidad de dato) y formular de forma más clara, precisa y expresa el reconocimiento de responsabilidad en dichas infracciones. SEXTO: Con fecha 30/06/16 se emite propuesta de resolución sancionadora por la infracción del 4.3 de la LOPD con multa de 50.000 €. EEXXI en su escrito de alegaciones a la propuesta reitera su reconocimiento de responsabilidad en base al art. 8 del Reglamento de procedimiento sancionador en relación con el 45.5.
5. d)de la LOPD, y todas las demás alegaciones al acuerdo de inicio. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1 --- 23/02/12, fecha de alta del expediente que consta abierto en la base de datos de EEXXI para la reclamación nº ***NÚM.1 presentada por el denunciante ( B.B.B.) y en el que figuran anotadas las siguientes observaciones: <<< EUBCN148 B.B.B. DNI E.E.E., nos informa que nunca ha estado en este domicilio, puede que si sea correcto el nombre del titular pero no el DNI y no está de acuerdo con el importe que se le reclama. Tel.: C.C.C. (TARDES) Se planifica a utr, cliente indica que el domicilio y el DNI es erróneo, pero si le coincide el nombre. Tampoco está de acuerdo con el importe que se le reclama. Se ruega verifiquen. Gracias Fecha de presentación previa a la progresión 23/2/2012. Topología previa a la progresión. Tipo: Contratación. Subtipo : Disconf. datos ccntrato/ps. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Se le cita a juicio quiere saber cómo va el proceso, que es lo que tiene que hacer para seguir los procesos, pq le llaman mucho y muchas cartas recibe pero no le indican que tiene q hacer, el DNI de la persona a la cual realmente pertenece la deuda es el F.F.F. El DNI correcto es F.F.F., no se puede modificar al estar el contrato en baja. procede refacturar fras con dno correcto. Planificamos a utr para que nos confirmen si procede dar de alta al titular correcto, con DNI F.F.F., para poder generarle las facturas. B.B.B. DNI E.E.E., acude a PDS para informarse como está el tema de esta reclamación, ya que insiste que no dejan de llamarle de la empresa de cobros, y está a la espera de que se arreglen las facturas con el DNI correcto. >>> (Folios 7, 17) 2 --- 13/03/12, EEXXI, por medio de la empresa de recobros Collecta le reclama el pago de 2.195,73 € que adeuda desde 01/07/11. (Folios 6, 14) 3 --- 12/04/12, fecha que figura en la base de datos de EEXXI en relación con la reclamación nº ***NÚM.1 del denunciante, en que queda anotado: "Se refactura secuencial 1211 hasta 1279 pasando versión dejando la factura a nombre del titular correcto Don D.D.D. con DNI F.F.F. ya que por error de DNI, se le estaban reclamando esas facturas impagadas a una persona que no tiene nada que ver con el contrato el sr Don D.D.D. con DNI E.E.E.. Importe pendiente de cobro." (Folios 30-32) 4 --- 05/11/12, escrito del Sindic de Greuges de Catalunya comunica al denunciante que en respuesta a su reclamación, Endesa ha comprobado que la deuda corresponde a otro titular por un error en el NIF, que ha paralizado todas las gestiones de recobro y que en el futuro no se exigirá el pago de la deuda. (Folios 5, 18) 5 --- 06/03/15, en esta fecha recibe escrito sin fecha de la empresa de recobros Medina Cuadros y Asociados, en nombre de EEXXI, reclamándole el pago de 2.195,73 € en 15 días. (Folios 4, 15-16) 6 --- 30/04/15, Endesa Energía SAU fecha escrito dirigido al denunciante acusando recibo de su reclamación nº 3- ***NÚM.2, que han dado traslado de ella al departamento de facturación y si procede corregirán las facturas en un plazo de 10 días. (Folio 13) 7 --- 12/05/15, Endesa Energía SAU fecha escrito dirigido al denunciante en relación a su reclamación nº 3- ***NÚM.2, para comunicarle que han efectuado las comprobaciones oportunas y no es posible atender su petición. (Folio 12) 8 --- EEXXI en su escrito de 04/04/16 de alegaciones al acuerdo de inicio reconoce la responsabilidad en los hechos que se le imputan como infracción del 44.3.
6. c)y solicita se fije la sanción conforme al 45.5.
7. d)de la LOPD. (Folios 45-46) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD II El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. III El artículo 44.3.
9. c)de la LOPD, considera infracción grave: “
10. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” IV. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.» .5. : El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» V EEXXI solicita la aplicación del 45.5.
26. d)de la LOPD, atendiendo al reconocimiento de culpabilidad que hace constar en el mismo escrito, para que el importe de la sanción se fije dentro de la escala de las leves. El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Las citadas circunstancias se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, en concreto, su apartado d), pues EEXXI ha reconocido los hechos y su responsabilidad en ellos, posibilidad de la que se informaba en el Acuerdo de inicio del presente procedimiento sancionador, y a la que se acoge la entidad denunciada. En todo caso, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Por dicho motivo procede imponer la multa por un importe que se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). VI La graduación de la sanción requiere de una valoración de las circunstancias que conforman la actuación infractora desde su inicio hasta su término, teniendo en cuenta lo dispuesto en el 45.4 arriba trascrito. + El carácter continuado de la infracción –a la luz de los hechos declarados probados- es evidente. Ya en 23/02/12 figura en la base de datos de la denunciada información que permite conocer que es inexacto el dato del DNI del deudor de la compañía y el denunciante no es ese deudor a pesar de que se lo reclaman. Los datos personales del denunciante asociados a una deuda que no le corresponde han continuado inexactos en dicha base y en la gestión de recobros de varias compañías contratada con ese fin y han continuado siéndolo: no se ha acreditado la cancelación de los mismos. (45.4.a)) + La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que tiene como actividad la prestación de suministros de energía a usuarios de gran público. Tienen un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tienen, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. (45.5.c)) + En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la infractora. Forma parte de un grupo trasnacional. (45.5.d)) + El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la reclamación del pago de deudas directamente o por empresas de recobro no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.f)) + La imputada ha sido objeto de expedientes sancionadores por infracciones similares. (45.4.g)) + Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.i)) Todas las circunstancias contempladas en el art. 45 4 permiten graduar la sanción en el importe de 35.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Endesa Energía XXI SLU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
27. c)de la LOPD, una multa 35.000 € (treinta y cinco mil euros), de conformidad con lo establecido en el artículo 45.2, 5.
28. d)y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a Endesa Energía XXI SLU, y a B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es