← España

PS-00087-2014

1/17 Procedimiento Nº PS/00087/2014 RESOLUCIÓN: R/01272/2014 En el procedimiento sancionador PS/00087/2014, instruido por la Agencia Española de Protección de Datos a la entidad E-ON ENERGÍA SL, vista la denuncia presentada por C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de marzo de 2013 tiene entrada en esta Agencia un escrito de D. B.B.B. en representación de Dª C.C.C. en el que declara: Referencia al caso en DIARIO PÚBLICO. <<… ha sido contactada telefónicamente por Eon Energía, S.L. para la realización de un contrato de suministro eléctrico en su domicilio, pese a figurar con el teléfono en el que ha sido contactada inscrita en la lista Robinson. Además la compañía E-on demuestra en su llamada disponer de datos personales (dni, teléfono, número de cuenta bancaria, y cups del suministro) que no le fueron facilitados por la afectada.>> Aporta el denunciante: - Copia de la grabación de verificación de la contratación, informando que la contratación se realizó a través de una llamada a la línea D.D.D. en fecha 3 de diciembre de 2012 a las 11:21 horas. - Certificado emitido por ADIGITAL según el cual la línea D.D.D. figura inscrita en la lista Robinson de exclusión de llamadas desde el 10/7/2011. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad E-ON ENERGÍA SL, teniendo conocimiento de que: 1. De la información y documentación aportada por E.ON se desprende: a. Manifiesta la entidad que la contratación con Dª C.C.C. se realizó en fecha 3 de diciembre de 2012, de manera telefónica a través de una agencia especializada, TYAME, S.L. (en adelante TYAME). Aporta copia de la grabación en la que una persona, que dice ser Dª C.C.C., con tono dubitativo, y refiriendo en múltiples ocasiones “…esto lo tiene que hablar con mi hijo…”, y ante la presión del verificador, da el consentimiento a la contratación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 b. E.ON reconoce que la grabación telefónica de verificación de la contratación, realizada por el agente comercial de TYAME, es completamente incorrecta, y por ello han procedido a resolver el contrato. c. Igualmente, en fecha 4 de febrero de 2013 la entidad procedió, a dar de baja el contrato, con efectos desde el 10/12/2012 por lo que entiende la entidad que nunca llegó a estar en vigor y ni se giró factura alguna a la clienta por esta contratación. Puntualiza la entidad que al haberse realizado la contratación por medios telefónicos y para dar cumplimiento a la normativa en vigor, posteriormente se remitió un ejemplar del contrato en formato escrito para que la clienta tuviera conocimiento de la contratación. Aporta copia de dicho contrato, que aparece fechado el 3/12/2012 y sin firma. d. Aporta E.ON impresiones de pantalla donde constan los datos de la clienta que obran en sus sistemas. Manifiesta la entidad: <<Como puede apreciarse, los datos que constan en nuestros archivos relativos a esta clienta ya han sido incluidos en la lista Robinson por lo que éstos se encuentran bajo la protección de la normativa sobre este sector.>> Se observa en las impresiones de pantalla aportadas que consta marcado el campo “No Publicidad”. e. E.ON declara que consiguió el teléfono de contacto de Dª C.C.C. a través de la empresa ASEXOR, con la que tenía un contrato para la prestación de un servicio continuado de enriquecimiento y gestión de una base de datos para Marketing que permitiera la automatización de los procesos necesarios para extraer y entregar las bases de datos que alimentan a los canales de venta y a otros usuarios de la compañía necesitados de información para usos comerciales y de marketing. Aporta la entidad copia de los pliegos que rigieron la referida contratación. De acuerdo con lo previsto en el referido contrato, AXESOR utiliza como fuente primaria de información la base de datos del Registro de Puntos de Suministro a la que accede por encargo de E.ON y, a partir de los datos contenidos en ese fichero, localiza en ficheros de acceso público (páginas blancas) los teléfonos correspondientes, como es el caso del de Dª C.C.C.. f. Respecto del origen de los datos de Dª C.C.C., aporta la entidad grabación en la que se rebaban los datos de contratación, manifestando la entidad que: <<Así, de acuerdo con lo que puede escucharse en la referida grabación telefónica, el registro de los datos personales de la denunciante, tales como el DNI y el número de cuenta bancaria, fueron directamente proporcionados por la persona autorizada por la titular de los datos, con el consentimiento de ésta última.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 De la audición de la citada grabación se observa que la persona que llama dice que el motivo de la llamada es “… para aplicarle los descuentos de la factura de la luz…”, la afectada pasa a la llamante con una persona de su servicio doméstico, a quien nuevamente se le explica “… es para aplicarle unos descuentos en la factura de la luz a los que tiene derecho y actualmente no se le están aplicando… ”. Durante la llamada se informa por parte del agente de ventas “… si necesito verificar sus datos como que los tenemos correctos… ”, aportando la calle y el número, y recabando el número de piso y puerta, la potencia contratada, el DNI, y la cuenta bancaria de cargo. g. Respecto al uso de la Lista Robinson de ADIGITAL, manifiesta la entidad que: <<Las empresas con las que contratamos los servicios de enriquecimiento y gestión de una base de datos para Marketing (en este caso, AXESOR) sí deberían utilizar, de acuerdo con las indicaciones que E.ON ENERGÍA, S.L. les proporciona al respecto, la lista Robinson de ADIGITAL para la exclusión de las llamadas comerciales. >> En los pliegos que rigieron la referida contratación se encuentra: <<Para que el cliente pueda utilizar con garantías la base de datos resultante de los procesos anteriores a lo largo de los 2 años en los que se enmarca el plan de captación de mercado, axesor ofrece los servicios de filtrado de robinsones, e identificación de registros cuyos teléfonos hayan sido dados de baja.>> TERCERO: Con fecha 28 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a E-ON ENERGÍA SL., con arreglo a lo dispuesto en el artículo 127 del RDLOPD, por la presunta infracción de los artículos 5 y 6 de la LOPD en relación con el artículo 49.4 del RDLOPD, tipificada como leve y grave respectivamente en el artículo 44.2

  1. c)y 44.3
  2. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, E-ON ENERGÍA SL mediante escrito de fecha formuló alegaciones, significando, que: -Prescripción de la infracción prevista en el art. 44.2 c). la realización de la venta telefónica fue el 3/12/2012 y la fecha del Acuerdo de Inicio es de 28/02/2014, no habiendo existido ninguna actuación entre ambas fechas que permita tener interrumpido el plazo de prescripción de un año para las infracciones leves, art. 47 LOPD. -Cumplimiento del art. 5.1 LOPD. Se informó primero en grabación y luego por escrito. Con posterioridad se procedió al envío del contrato para su firma, donde consta la información relativa al tratamiento de sus datos personales. -No hay infracción prevista en el art. 44.3 b). La denunciante facilito los datos y el incumplimiento de la Lista Robinson es imputable a tercero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 La obligatoriedad de consultar el fichero de exclusión es para los asociados. No obstante el fichero Lista Robinson no es un “fichero común” de los previstos en el art. 49.4 RDLOPD. A mayor abundamiento la defectuosa gestión de la Lista Robinson es imputable a AXESOR, quien a su vez es el encargado del tratamiento del fichero “potenciales clientes” de E.ON en el que se han incorporado indebidamente los datos de la persona denunciante. En los pliegos de contratación con AXESOR se le atribuye a esta la consulta en Lista Robinson. AXESOR utiliza como fuente primaria de información la base de datos del Registro de Puntos de Suministro (art. 7 RD1435/2002, de 27 de diciembre) sin embargo no cumplió el contrato desde el momento en que envió a EON (con anterioridad a la contratación realizada por la denunciante) una lista de potenciales clientes que no actualizo hasta un momento posterior al de la perfección de la contratación. En el intervalo de tiempo entre el envió a EON del listado con los datos de la denunciante y el listado actualizado sin incluir esos datos, se produjo la inscripción de la persona denunciante en Lista Robinson y la contratación con la misma, sin que AXESOR nos comunicara la indicada inscripción. -La sanción que pudiera concurrir deberá observar el principio de proporcionalidad. QUINTO: Con fecha de 7 de abril de 2014 se inició el período de práctica de pruebas, en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante E-ON ENERGÍA SL, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02782/2013 y las alegaciones al acuerdo de inicio PS/00087/2014 presentadas por E-ON ENERGÍA SL, y la documentación que a ellas acompaña. SEXTO: En fecha de 06/05/2014 el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de: 1. Que por el Director de la Agencia Española de Protección de Datos se sancione a E-ON ENERGÍA SL con multa de 40.001 € (cuarenta mil un euro) por la infracción del artículo 5.4 de la LOPD, tipificada como grave en el artículo 44.3
  3. f)de dicha norma. 2. Que por el Director de la Agencia Española de Protección de Datos se sancione a E-ON ENERGÍA SL con multa de 40.001 € (cuarenta mil un euro) por la infracción de los artículos 6 de la LOPD y 49.4 del RDLOPD, tipificada como grave en el artículo 44.3
  4. b)de dicha norma. 3. Que por el Director de la Agencia Española de Protección de Datos se sancione a E-ON ENERGÍA SL con multa de 40.001 € (cuarenta mil un euro) por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  5. b)de dicha norma. SEPTIMO: En fecha de 27/05/2014, E-ON ENERGIA S.L presento alegaciones en las que señalaba que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 -inexistencia de infracción del art. 5.4 LOPD. Se ha cumplido con lo dispuesto en el segundo párrafo del citado precepto, en cuanto a la excepción de informar cuando los datos hubieran sido obtenidos del Registro de Puntos de Suministro y de las páginas blancas. Continua diciendo el apartado 5 que “en cada comunicación” se entiende diferente de la oferta comercial, en la que ya se dice que no hay que informar, “que se dirija al interesado se le informara”, y así se hizo en la siguiente comunicación con el contrato de suministro escrito enviado. -concurso medial entre las dos infracciones del art. 44.3 b).de acuerdo con el art. 4.4 del RPPS: si no se hubieran obtenido los datos de la denunciante mediante el cruce de datos del Registro de Puntos de Suministro y los de las pagians blancas, nunca se le hubiera hecho la oferta comercial y por tanto nunca se hubiera contratado producto alguno de E.ON. -El incumplimiento de lo previsto en la Lista Robinson seria imputable a un tercero distinto de E.ON. AXESOR incumplió las previsiones contractuales al efecto, que constan en los pliegos que rigieron la contratación como en las ofertas técnicoeconómicas presentadas por AXEXOR en 2009 y 2011. En la oferta se cita en varias páginas: pág 11 detección de Robinson; pág. 13 ; pág. 15, etc.,.. En consecuencia, la comprobación y actualización de la lista Robinson es un servicio de necesaria prestación por AXESOR, debería ser ésta la entidad sancionada y no EON pues adopto las medidas necesarias para garantizar el cumplimiento de la LOPD. -EON no ha empleado los datos de la denunciante para incluirlos en sus ficheros asociados a la contratación de productos ni servicios. No fue dada de alta y por ello no se emitieron facturas. No se llegó a activar el contrato por lo que no se incorporaron los datos a ningún fichero. -la sanción que pudiera corresponder deberá observar el principio de proporcionalidad. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- Resulta acreditado que los datos personales de la denunciante causaron alta en el Servicio de Lista Robinson desde la fecha de 10/07/2011 en el “canal para no recibir llamadas”. (Folio 8). DOS.- Resulta acreditado que en fecha de 03/12/2012, EON a través de su agente comercial TAYME S.L., realiza una llamada a la línea de la denunciante. En la locución obrante en el folio 185 consta que EON disponía de al menos los siguientes datos personales, teléfono, nombre y apellidos, dirección consistente en la calle y el nº, municipio y código postal, sin que conste ofrecimiento de información respecto del origen de lo datos. TRES.- EON ha manifestado respecto del origen de los datos durante las Actuaciones Previas de Inspeccion, que es la compañía AXESOR la suministradora de la base de datos donde constaban los de la denunciante, con la que contrato un servicio de enriquecimiento y gestión de base de datos para marketing. Aporta mediante escrito de 8/11/2013 documentación consistente en Pliegos de la contratación y la oferta presentada por AXESOR. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 En los pliegos que rigen la licitación nº ***********, con fecha diciembre 2012) obrante en los folios 169 a 179, no consta previsión relativa a la obligación de consulta del fichero Lista Robinson de AIDIGITAL. En el documento obrante en lo folios 180 a 181, consta una oferta de AXESOR fechada el 01/04/2011. Sin previsión relativa a la obligación de consulta del fichero Lista Robinson de AIDIGITAL. CUATRO.- EON ha manifestado respecto del origen de los datos durante las alegaciones al Acuerdo de Inicio del Procedimiento Sancionador, que es la compañía AXESOR la suministradora de la base de datos donde constaban los de la denunciante, con la que contrato un servicio de enriquecimiento y gestión de base de datos para marketing. Aporta mediante escrito de 21/03/2014 documentación que según sus manifestaciones, son los pliegos que rigieron la contratación como documento nº 4 y la oferta técnico-económica presentada por DATASEGMENTO SLU (ahora AXESOR) documento nº 5. En el documento obrante en los folios 242 a 314 (denominado documento nº 4), consta la oferta presentada por AXESOR con fecha de abril de 2009. En el documento obrante en los folios 314 a 320, (denominado documento nº 5) consta los pliegos de la licitación nº *********1, con fecha límite de presentación de ofertas 22/04/2009, no consta previsión relativa a la obligación de consulta del fichero Lista Robinson de AIDIGITAL. CINCO.- Según consta en la grabación de la contratación realizada en fecha de 03/12/2012, obrante en el folio 185, en el minuto 5.51 la denunciante dice: Yo no entiendo nada, y en dicha conversación repite que tiene la edad de 83 años y solicita que “hablen con mis hijos”. En la conversación el comercial no se identifica inicialmente como la empresa EON sino que comienza su locución diciendo que la razón de la llamada “(…) es para aplicarle uno descuento en la factura de la luz (…). SEIS.- Los datos personales de la denunciante son incorporados a los sistemas de EON como titular de un contrato de suministro con fecha de 03/12/2012 cuya copia consta en el folio 38. SIETE.- Según consta en la carta de 7/03/2013 EON notifica al hijo de la denunciante, que “ en respuesta de su solicitud queremos confírmale que se ha procedido con fecha 4/02/2013 a la anulación del contrato realizado telefónicamente a Doña …” ( Folio 41) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 El deber de información previsto en el art. 5.1 LOPD se aplica cuando los datos son proporcionados por su titular y el responsable del fichero o tratamiento ha de informar del uso y destino de los mismos, sin embargo en el caso analizado se debe aplicar el art. 5.4 LOPD pues establece que: 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
  7. d)y
  8. e)del apartado 1 del presente artículo. Por su parte, EON cita el último párrafo del art. 5.5 de la LOPD que señala que: Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten. Tras el análisis de la prueba practicada y en concreto la audición de la grabación aportada por EON correspondiente a la llamada comercial realizada a la denunciante en fecha de 03/12/2012 obrante en el archivo de audio en el folio 185, se tiene constancia de que es el agente comercial quien ya tiene los datos personales de la denunciante ( nombre y apellidos, la calle del domicilio el municipio y el código postal), por lo que no son proporcionados por aquella y no consta la información que exige la norma cuando los datos no son recabados del propio interesado. Por otra parte, en cuanto a lo dispuesto en el párrafo segundo del art. 5.5 LOPD, debe señalarse que no es aplicable en el presente caso, pues los datos personales de la denunciante no proceden de fuentes accesibles al público, siendo definidas en el art. 3 j LOPD, que considera como tal: Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. Es decir, el Registro de Puntos de Suministro no tiene tal consideración y tampoco se ha acreditado que los datos personales objeto de tratamiento provengan del repertorio de abonados a servicios telefónicos. A mayor abundamiento, incluso cuando el origen de los datos fuera de fuentes accesibles al público, la literalidad del precepto “en cada comunicación” no ofrece dudas, debiendo incluirse dicha información en la propia oferta comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 III Considera infracción grave el art. 44.3
  9. f)El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos no hayan sido recabados del propio interesado. En el presente caso se cumplen las exigencias del principio de tipificación pues consta acreditada la ausencia de información de acuerdo con el art. 5.4 de la LOPD, lo que supone el incumplimiento del citado precepto. IV Dispone el artículo 6.1 de la LOPD que señala que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. Dispone el artículo 49.4 del RDLOPD que: Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento. Dispone el artículo 12.4 de la LOPD: En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. En el presente caso E.ON manifiesta que el fichero de Lista Robinson no es un fichero común de exclusión y que su consulta no es obligatoria al no estar asociada. Asimismo señala que la empresa responsable de su consulta es AXESOR, es decir, su proveedor de base de datos a quien le incumbiría en todo caso su consulta. Llegados a este punto es preciso diferenciar el acontecimiento del tratamiento de datos personales de la denunciante, en dos estadios con contornos bien delimitados. Uno será el origen de los datos de la denunciante y la razón o modo en que llegan al fichero utilizado por cuenta de E.ON y su utilización para acciones comerciales mediando inscripción en el fichero Lista Robinson de AIDIGITAL y otro será el tratamiento de los datos de la denunciante para causar alta en los sistemas de E.ON como titular de un producto o servicio de dicha compañía. EON sostiene la figura del concurso de infracciones previsto en el art. 4.4 del Real Decreto 1398/1993 de 4 de agosto. Sin embargo no es posible su aplicación pues exige que “cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción mas grave cometida”. En el presente caso, su puede tener el consentimiento para el tratamiento de datos personales en acciones de prospección comercial, y por tanto ofrecer un producto o servicio de acuerdo con el art. 6 LOPD y 49.4 RDLOPD, e incumplir el art. 6 LOPD a la hora de tratar los datos para el alta en un fichero asociándolos a la contratación de un producto. Y viceversa, se puede no tener el consentimiento tratamiento de datos personales en acciones de prospección comercial incumpliendo el art. 6 LOPD y 49.4 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 RDLOPD y realizar el tratamiento de datos para el alta en un fichero asociándolos a la contratación de un producto con observancia del art. 6 LOPD. En conclusión, de la comisión de una de las infracciones no se deriva necesariamente la comisión de la otra como sostiene E.ON., debiendo desestimarse las alegaciones formuladas al respecto. V Respecto del origen de los datos de la denunciante y su utilización para acciones comerciales a pesar de estar en Lista Robinson de AIDIGITAL, EON manifestó que se contenían en una base de datos proporcionada por AXESOR, y en apoyo de dicha afirmación aporta un pliego de condiciones para la licitación de un contrato y la oferta presentada por AXESOR que fue finalmente la ganadora de la licitación. Pues bien admitiendo a efectos puramente dialecticos que el origen de los datos personales de la denunciante proviene de una base de datos de AXESOR, ( circunstancia que no está plenamente acreditada dada la carencia documental de lo aportado por EON: contratos, facturas, órdenes de trabajo, certificados, etc.,…) del análisis de la documentación aportada cabe señalar: En primer lugar, que a requerimiento de la Inspección de datos en el trámite de Actuaciones Previas de Inspección, mediante escrito de fecha 8/11/2013 aportó como documento nº 5 un escrito denominado Request for Proposal con fecha impresa en la parte inferior derecha de December 2012 cuyo objeto era “Enriquecimiento y gestión de la base de datos de marketing” en cuyo apartado 4 ( Folios 117 a 118) denominado Protección de Datos de cuya lectura se infiere que se está regulando el acceso por parte de un tercero/proveedor a una base de datos de EON y no consta mandato alguno respecto de la obligación de consulta de ficheros comunes de exclusión. Asimismo como documento nº 6 aporto la oferta técnico-económica 8 Folio 180181) presentada por AXESOR con fecha de 1/04/2011 que fue la que según manifiesta fue adjudicataria de la licitación. Pues bien, en primer lugar cabe señalar que nada se dice respecto de la consulta a ficheros comunes de exclusión de prospección comercial, y en segundo lugar, sorprende que el pliego de condiciones sea de Diciembre de 2012 y la Oferta sea de 2011. Durante el trámite de alegaciones ya en el procedimiento sancionador, EON aporto como documentos nº 4 y 5 los pliegos que rigieron la contratación del servicio continuado de enriquecimiento y gestión de base de datos y la oferta técnico-económica presentada por DATASEGMENTO en la actualidad AXESOR, sin embargo como documento nº 4 obrante en los folios 242 a 313 es la propuesta de aquella en la que se expone el modo de trabajar y los servicios que presta, pero sin concreción alguna respecto de plazos, fechas, campañas publicitarias concretas, etc.,.. Y respecto del documento 5 Folios 314 a 320, hace referencia al anuncio de licitación con nº *********1 del que es preciso destacar que si bien existen previsiones respecto de la identificación de clientes incluidos en listas Robinson (punto 1.3 ), adolece de las mismas carencias que el anterior documento, no existe concreción alguna respecto de plazos de actualización de Robinson, fechas, campaña publicitaria concreta, …etc.,. por no citar que la fecha límite de recepción de ofertas es de 22/04/2009. Por lo que de acuerdo con lo expuesto difícilmente pueden tener dichos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 documentos los efectos pretendidos por EON para su exculpación en detrimento de AXESOR, pues sin perjuicio de que se aportan dos licitaciones diferentes ( la nº *********2 de abril de 2009 y la nº *********** para diciembre de 2012) para, en teoría, el mismo servicio, no consta obligación expresa y concretada de consulta del fichero común de exclusión Lista Robinson de AIDIGITAL. VI Por tanto, cabe concluir que, sin perjuicio de que el origen de los datos de la denunciante para la realización de la llamada, no está plenamente acreditado por parte de EON, de la documentación analizada no se deduce con claridad a partir de qué fecha se obligan contractualmente EON y AXESOR y así conocer los plazos de consulta del fichero de AIDIGITAL y su confrontación con la inscripción de los datos de la denunciante en fecha de 10/07/2011. Esta carencia no la ha explicado EON si quiera en las alegaciones formuladas a la propuesta de resolución, limitándose a citar páginas de las ofertas comerciales en las que consta la palabra lista Robinson, pero sin concretar qué instrucciones ha incumplido AXESOR o que desvío de finalidad en el tratamiento de datos personales, que encuentre cabida en el art. 12.4 de la LOPD, para situar a AXESOR como corresponsable de la infracción imputada. Ni de la documentación consistente en las licitaciones antes citadas, se establece una obligación cierta, expresa y determinada de consulta y actualización de la base de datos a utilizar con el fichero Lista Robinson de AIDIGITAL. Debiendo recordarse que el citado precepto ( art. 12.4 LOPD) es un mecanismo de agregación y no de exclusión de responsabilidad automática del responsable del fichero/tratamiento, es decir, aun probándose la inobservancia de los mandatos del contrato de enriquecimiento de bases de datos por parte de AXESOR, no significa per se que EON quede exenta de responsabilidad, sino que hay que analizar qué cautelas tomo en la contratación de dicho servicio, y que a la vista de la documentación aportada ( licitaciones antes señaladas) carecen de previsiones a ese respecto. Por tanto, es EON como responsable del fichero y tratamiento a quien corresponde las cautelas para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos personales de la denunciante, estando inscrita en el fichero común de exclusiones de acciones publicitarias de AIDIGITAL. VII Respecto al tratamiento de los datos de la denunciante consistente en el alta en los sistemas de EON como titular de un producto o servicio. EON alega que no se ha dado de alta el contrato de la denunciante, ni se “llegó a activar por lo que no se llegaron a incorporar sus datos en el fichero de clientes, siendo así evidente que no pudimos tratarlos inadecuadamente” A este respecto conviene recordar la definición que el art. 3 c LOPD, considera tratamiento: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Por lo tanto resulta irrelevante la circunstancia de que no se llegó a activar el contrato ni a emitir facturas, pues la simple recogida, grabación, conservación, elaboración se considera tratamiento de datos, y sirva a modo de ejemplo la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 recogida en los folios 25 y 26 donde se muestran los datos personales de la denunciante en los sistemas de EON, por no citar el propio contrato en formato papel donde aparecen éstos. Por otra parte, en el Folio 71 EON afirma que fue la Agencia de Venta Directa TYAME S.L., “la que contactó telefónicamente con la denunciante para hacerle una oferta comercial, que fue expresamente aceptada por la persona a la que Doña C.C.C. autorizo para actuar en su nombre”, para a continuación señalar que “el DNI y el número de cuenta bancaria fueron directamente proporcionados por la persona autorizada” aportando grabación. Pues bien en dicha grabación obrante en el Folio 185, trata de una oferta comercial en la que se observa que TYAME S.L. disponía ya de al menos del nombre y apellidos de la denunciante, el nº de teléfono y del domicilio conocía la calle, el municipio y el código postal y los restantes datos ( DNI, y cuenta bancaria) los obtiene a la vez que le hace una oferta comercial, que si bien no puede calificarse mediando engaño o ardid, son prácticas más que cuestionables respecto de la información ( consentimiento informado) y aceptación para contratar véase los artículos 1260 y siguientes del Código Civil, según los cuales existe contrato cuando se dan tres elementos: Consentimiento de los contratantes, Objeto cierto que sea materia del contrato y Causa de la obligación que se establezca. , porque la lógica más honesta hace que el proceso de venta sea ofrecer el producto, aceptación por parte del potencial cliente y luego la toma de datos concretos para causar alta. Resulta especialmente clarificador de la conducta de la comercial, que en ningún momento se identifica como EON, sino que comienza la locución señalando, que “es para aplicarle unos descuentos en la factura……” Pues bien este proceso lógico no se produce si no que la persona llamante plantea la situación sin dar opción ni a afirmar ni a negar nada y solicitando a la vez que ofrece el producto, los datos personales que faltan. Es decir ningún momento le pregunta si está interesada en el producto. Asimismo en el Folio 37 se aporta una grabación que es continuación de la anterior en la que persona distinta al comercial que inicialmente participo, pretende verificar la contratación. Pues bien, es especialmente clarificador la frase vertida por la denunciante en el minuto 5.51, cuyo literal es “yo no entiendo nada” y en repetidas ocasiones señala la edad de 83 años y solicita que “hablen con mis hijos”. De tales cuestiones se deduce claramente que de acuerdo con el art. 1261 CC no existe consentimiento de la contratante (denunciante) y por tanto no puede entenderse que existe contrato. Al no existir éste no puede aplicarse la excepción del art. 6.2 LOPD para el consentimiento al tratamiento cuando existe un contrato o relación negocial. A pesar de lo cual causan alta los datos personales de la denunciante, tal como se acredita mediante la captura de pantalla de los sistemas e EON obrantes en los folios 25-26 y en la impresión del contrato obrante en el folio 38. Tratamiento que se sigue produciendo al menos hasta la fecha de 3/02/2013. VIII El art. 12 del Real Decreto 1720/2007, que desarrolla la LOPD, señala “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 En este sentido, a quien realiza el tratamiento, le compete guardar prueba de que cuenta con el consentimiento del afectado , así tal como se recoge ut supra la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” Acreditado el tratamiento de datos personales del denunciante sin su consentimiento EON no ha presentado ninguna prueba que pueda evidenciar que contaban con su consentimiento, o que AXESOR actuaba al margen las instrucciones de EON, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Los datos personales de la denunciante fueron tratados por EON, en primer lugar para incorpóralos a un fichero cuya finalidad eran acciones comerciales a pesar de constar inscritos en el fichero de lista Robinson de AIDIGITAL y en segundo lugar, fueron tratados para causar alta en sus sistemas como titular de un producto, sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos, por tanto la actuación de esta entidad no encuentra cobertura en ningún supuesto a la excepción a la prestación del consentimiento que recoge el artículo 6.2 de la LOPD, considerando vulnerado dicho precepto. IX Dispone el artículo 44.3.
  10. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. En concreto se ha acreditado la comisión de dos infracciones por parte de EON del art. 6 de la LOPD, con contornos bien diferenciados y en momentos distintos, sin que sea posible aplicar el concurso de infracciones, tal como se analiza en el Fundamento de Derecho IV, ya que la comisión de una (tratamiento de datos personales para fines publicitarios mediando inscripción en Lista Robinson) no es necesaria ni es un medio para la comisión de la otra (tratamiento sin consentimiento para el alta de un producto). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 Es decir, EON pudo llamar a la denunciante para ofrecerse el servicio, y atendiendo a la locución no cambiarle de compañía comercializadora de energía suponiendo un alta de contrato. X El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Llegados a este punto conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  26. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Por su parte, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible, y en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y en el presente caso no puede dejar de observarse que la entidad debe conocedora de los mandatos de la LOPD, cuando adquiere una base de datos de carácter personal para su explotación en acciones publicitarias, por lo que ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto ( STS de 5 de junio de 1998). XI A) Teniendo en cuenta lo anterior, y en relación a la omisión de información recogida en el art. 5.4 LOPD y su elemento culpabilístico, es responsable única y exclusivamente EON del diseño de la locución cuando ofrece productos a potenciales clientes y los datos personales no son recabados del interesado. La ausencia de tales previsiones acredita el elemento subjetivo en la comisión de la infracción del art. 44.3
  27. f)de la LOPD (vulneración del art. 5.4 LOPD), sin que se acrediten circunstancias que permitan aplicar el art. 45.5 de la LOPD. B) Por otro lado, en cuanto al tratamiento de datos personales consistente en la utilización de éstos a pesar de estar inscritos en Lista Robinson, conviene señalar que si bien se aportan al expediente dos licitaciones para la contratación del Servicio de Enriquecimiento de Bases de Datos, nada se concreta respecto a la obligación de consulta del fichero de AIDIGITAL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 en cuanto a plazos de actualización, comunicación de derechos ARCO, etc,. Además de la documentación aportada no se puede concretar qué obligaciones ha incumplido AXESOR a este respecto, tal como se analiza en el Fundamento de Derecho V. La ausencia de tales previsiones en las licitaciones aportadas, acredita el elemento subjetivo en la comisión de la infracción del art. 44.3
  28. b)de la LOPD (vulneración del art. 6 en relación con el art. 49.4 del RDLOPD), sin que se acrediten circunstancias que permitan aplicar el art. 45.5 de la LOPD. C) Finalmente, en cuanto al tratamiento de datos personales consistente en el alta de un producto de EON, resulta de especial gravedad, que a pesar de la literalidad de la locución obrante en el folio 185, de la que se infiere que la potencial cliente en modo alguno está tomando conocimiento del producto ofrecido ni lo que supondrá su aceptación en cuanto al tratamiento de datos personales, pues en el minuto 5.51 seg, señala “yo no entiendo nada,…” y en repetidas ocasiones señala la edad de 83 años y solicita que “hablen con mis hijos” y a pesar de estos elementos causa alta en los sistemas de EON, se acredita el elemento subjetivo de la culpabilidad y pone de manifiesto que ni siquiera la función de verificación de la contratación es analizada por EON antes de causar alta en el producto o servicio, pues con la simple audición se deduce claramente la ausencia de consentimiento informado. Todo ello acredita el elemento subjetivo en la comisión de la infracción del art.6 LOPD, sin que se acrediten circunstancias que permitan aplicar el art. 45.5 de la LOPD y concurriendo una circunstancia agravante relativa a la intencionalidad (apartado
  29. f)art. 45.4 LOPD) como elemento integrante del elemento culpabilistico y el conducta de EON consistente en causar alta como titular de un producto a pesar de las circunstancias citadas ut supra. (Apartado j art. 45.4 LOPD) Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD procede imponer las sanciones por las infracciones del art. 5.4 LOPD y 6 LOPD en relación con el art. 49.4 RDLOPD en su cuantía mínima de 40.001 €. Para la comisión de la infracción del art. 6 LOPD relativa a la utilización de los datos personales de la afectada para causar alta en el fichero de EON como cliente de un producto, vistas las circunstancias agravantes concurrentes, procede imponer la sanción en la cuantía de 50.000 €. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad E-ON ENERGÍA SL, por una infracción del artículo 6 de la LOPD, en relación con el artículo 49.4 del RDLOPD, tipificada como grave en el artículo 44.3
  30. b)de dicha norma, una multa de 40.001 € (cuarenta mil un euro) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad E-ON ENERGÍA SL, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  31. b)de dicha norma, una multa de 50.000 € (cincuenta mil eurso) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. TERCERO: IMPONER a la entidad E-ON ENERGÍA SL, por una infracción del artículo 5.4 de la LOPD, tipificada como grave en el artículo 44.3
  32. f)de dicha norma, una multa de 40.001 € (cuarenta mil un euro) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. CUARTO: NOTIFICAR la presente resolución a E-ON ENERGÍA SL y a C.C.C.. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.