← España

PS-00092-2018

1/11 Procedimiento Nº PS/00092/2018 RESOLUCIÓN: R/01171/2018 En el procedimiento sancionador PS/00092/2018, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA, S.A.U., vista la denuncia presentada por DÑA. E.E.E., y en base a los siguientes ANTECEDENTES PRIMERO: Con fechas 11 y 14/06/2017, tuvieron entrada en la Agencia Española de Protección de Datos (AEPD) dos escritos presentados por Dña. E.E.E. (en lo sucesivo la denunciante), en los que formula denuncia contra la entidad ENDESA ENERGÍA, S.A.U. (en lo sucesivo ENDESA ENERGÍA) por haber asociado su contrato de suministro de electricidad a una tercera persona, la cual en septiembre de 2016 ocupó una vivienda sita B.B.B., el mismo edificio en el que reside la denunciante. En la denuncia se pone de manifiesto que esta persona comunicó a la denunciante que venía abonando su consumo eléctrico, por lo que había solicitado la baja del contrato el día 28/04/2017. La denunciante, por su parte, formuló reclamación por estos hechos ante ENDESA ENERGÍA en fecha 03/05/2017. Desde el año 1996, la denunciante es titular de un contrato de suministro eléctrico con Gas Natural Fenosa, con el CUPS F.F.F. y el domicilio ***DIRECCIÓN.1. Y, entre otra, anexa la siguiente documentación:  Reclamación presentada ante ENDESA ENERGIA, en fecha 03/05/2017, con motivo de los hechos descritos en la denuncia.  Solicitud de baja presentada Dña. D.D.D. ante ENDESA ENERGIA, de fecha 28/04/2017, en la que consta el CUPS F.F.F..  Factura emitida a nombre de la denunciante por Gas Natural Fenosa en fecha 26/09/2016, con el CUPS F.F.F. y una dirección de suministro que coincide con el domicilio de la denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las actuaciones siguientes: 1. En su respuesta al requerimiento que le fue formulado por los Servicios de Inspección, ENDESA ENERGÍA informó lo siguiente: . En los sistemas de Información de la entidad consta el CUPS F.F.F. asociado al domicilio ***DIRECCIÓN.1 y a la cliente Dña. D.D.D., con fecha de alta 12/09/2016 y baja de 18/05/2017. El mismo CUPS figura, asimismo, asociado a la denunciante, con fecha de alta 19/05/2017 y baja de 22/05/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 . ENDESA ENERGIA manifiesta, y aporta grabación al respecto, que en fecha 09/09/2016, Dña. D.D.D. contrata con la entidad el suministro de gas y electricidad para el domicilio B.B.B. y, por error del agente, lo asocia el portal H (la dirección tiene varios portales) y al cups F.F.F., que es el que corresponde a esa dirección. A este respecto, en la grabación mencionada consta que la persona solicita contratación conjunta de suministro de luz y de gas y entre otra, figura la siguientes conversación.  Le solicitan los cups y al no conocerlo le requieren la dirección para extraerlo de la base de datos de cups.  Aporta ***DIRECCIÓN.1 código postal H.H.H.  Le preguntan si hay varios portales en dicha dirección mencionada y confirma que hay varios portales hasta la H.  El operador dice que coincide el cups en ese edificio hasta la H.  Verifican los datos para la contratación y le informan de la grabación y del artículo 5.  Fecha 9 de septiembre de 2016.  Datos D.D.D. ***DIRECCIÓN.1 código postal H.H.H.. . ENDESA ENERGIA ha remitido copia de los escritos de 31/05 y 05/12/2017, de contestación a la reclamación interpuesta por el tercero, que figura en los sistemas con fecha de 18/05/2017, en los que se reconoce la incidencia producida y se procede a la anulación de las facturas emitidas. En el último escrito se indica que la propia entidad se ha hecho cargo de los importes facturados en ese período quedando saldados los perjuicios derivados del incidente. . ENDESA ENERGIA ha remitido copia del escrito de contestación remitido a la denunciante, de fecha 05/12/2017, en el que se disculpan por la incidencia y le informan que la propia entidad se ha hecho cargo de los importes facturados en ese período, quedando saldados los perjuicios derivados del incidente. 2. Por otra parte, en relación con la entidad ENDESA ENERGÍA, los Servicios de Inspección destacaron que se trata de una gran empresa en su sector de negocio y desarrolla una actividad que requiere un tratamiento continuo de datos personales. TERCERO: Con fecha 15/03/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA ENERGÍA, por la presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
  2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción del artículo 4.3 de la LOPD sería de 10.000 euros (diez mil euros), sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de inicio, la entidad ENDESA ENERGÍA presentó escrito de alegaciones en el que solicita el archivo de las actuaciones o, subsidiariamente, la imposición de una multa por el importe mínimo previsto para las infracciones leves, conforme a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 consideraciones siguientes: . El código CUPS de la denunciante se asoció al contrato de suministro solicitado por una tercera persona durante la llamada telefónica realizada por ésta para solicitar dicha contratación, atendida por una agente comercial perteneciente a la red de teleoperadores de Digitex Informática, S.L. Durante esa conversación se asignó a la contratante el CPS correspondiente a una la vivienda con la misma numeración pero de un portal distinto. . Se trata de un error humano e involuntario cometido por una agente comercial encargada de la gestión que dio lugar al mismo. Este error en la anotación de un dato ha sido considerado por la AEPD en otros precedentes que se resolvieron con archivo de las actuaciones (E/02521/2013, E/00216/2008), los cuales se remiten a la Sentencia de la Audiencia Nacional de 17/03/2004. . Para el supuesto de que no se atienda la petición de ausencia de antijuridicidad, alegan que tampoco concurre el elemento subjetivo de la culpabilidad, necesario para que se produzca la responsabilidad sancionadora, como ya consideró la Agencia en el precedente señalado con el número E/04344/2016. . Subsidiariamente, solicita una reducción de la sanción en atención a las siguientes circunstancias, que han de ser añadidas a las ya consideradas por la Agencia en el acuerdo de apertura del procedimiento: . La entidad procedió de forma diligente a regularizar la situación en abril de 2017, en el mismo momento en el que las perjudicadas pusieron en su conocimiento los hechos acontecidos (artículo 45.5.b). . La ausencia de beneficios obtenidos como consecuencia de la infracción (artículo 45.4.e), por cuanto reembolsó la cantidad total facturada. QUINTO: Con fecha 28/05/2018, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad ENDESA ENERGÍA, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  3. c)de la LOPD, una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEXTO: Con fecha 12/06/2018, se recibió escrito de la entidad ENDESA ENERGÍA en el que formula la misma petición contenida en su escrito de alegaciones a la apertura del procedimiento, conforme a los mismos argumentos reseñados en el Antecedente Cuarto. Así, reitera que la gestión que dio lugar a la confusión no fue atendida por la propia ENDESA ENERGÍA, sino por un agente comercial de Digitex Informática, S.L., que cometió un error humano al asociar el CUPS de la vivienda de la denunciante a la contratación de un tercero, según se acredita mediante la grabación aportada. Señala nuevamente la existencia de precedentes análogos en los que la Agencia ha apreciado el error humano e involuntario para eximir de responsabilidad, que no difieren del presente caso, en contra de lo señalado en la propuesta. Considera que lo determinante es la cuestión de fondo que concurre en todos ellos, es decir, el cruce de datos que nace del error indicado cometido por un tercero. En este caso, la Propuesta se separa del criterio observado en aquellos precedentes sin motivar el cambio de criterio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 En cuanto a la graduación de la sanción, entiende que la regularización llevada a cabo debe considerarse como una atenuante privilegiada recogida en el apartado
  4. b)del artículo 45.5 de la LOPD; y que no se ha tenido en cuenta como atenuante la ausencia de beneficios, tal como se consideró en la Resolución 1233/2017, en la que se graduó la sanción en un importe de 1.800 euros. HECHOS PROBADOS 1. Desde el año 1996, la denunciante es titular de un contrato de suministro eléctrico con Gas Natural Fenosa, con el CUPS F.F.F. y el domicilio ***DIRECCIÓN.1 2. Con fecha 09/09/2016, Dña. D.D.D. contactó telefónicamente con la entidad ENDESA ENERGIA para contratar el suministro eléctrico en su vivienda sita en B.B.B.. Se comprueba, mediante la grabación correspondiente a esta llamada, que Dña. D.D.D. facilitó correctamente los datos correspondientes a su domicilio. 3. En los sistemas de Información de ENDESA ENERGÍA consta el CUPS F.F.F. asociado al domicilio ***DIRECCIÓN.1 y a la cliente Dña. D.D.D., con fecha de alta 12/09/2016 y baja de 18/05/2017. 4. Con fecha 28/04/2017, Dña. electricidad. D.D.D. solicitó la baja del contrato de suministro de 5. Con fecha 03/05/2017, Dña. D.D.D. formuló reclamación ante ENDESA ENERGÍA señalando que suministro eléctrico que abona regularmente corresponde al consumo de la vivienda de la denunciante. 6. ENDESA ENERGIA respondió la reclamación de Dña. D.D.D. mediante escritos de 31/05 y 05/12/2017, en los que se reconoce la incidencia producida y se procede a la anulación de las facturas emitidas. En el último escrito se indica que la propia entidad se ha hecho cargo de los importes facturados en ese período quedando saldados los perjuicios derivados del incidente. 7. ENDESA ENERGIA respondió la reclamación de la denunciante mediante escrito de 05/12/2017, en el que se disculpan por la incidencia y le informan que la propia entidad se ha hecho cargo de los importes facturados en ese período. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa en el presente procedimiento a la entidad ENDESA ENERGIA una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En este caso, consta acreditado que en los sistemas de información de ENDESA ENERGIA correspondientes a los clientes de la entidad, consta una ficha de cliente de Dña. D.D.D. como titular de un contrato de suministro eléctrico asociado al CUPS correspondiente a la vivienda de la denunciante. Esa incidencia se produce a pesar de que Dña. D.D.D., en el momento de la contratación, facilitó correctamente los datos correspondientes a su domicilio. Fue la propia entidad ENDESA ENERGIA la que asoció dicho contrato al punto de suministro correspondiente a la denunciante, por lo que la inexactitud de los datos se produce en su ámbito de responsabilidad. Esta circunstancia no se modifica por el hecho de que interviniera en los hechos un comercial de una tercera empresa contratada por ENDESA ENERGIA para realizar esa labor, la cual actúa por cuenta de esta entidad como prestadora de un servicio. Los datos personales y de suministro correspondientes a la denunciante fueron indebidamente asociados a los de Dña. D.D.D., sin que exista ninguna causa que lo justifique. Y como resultado de la inexactitud de los datos referida, durante nueve meses Dña. D.D.D. abonó el suministro eléctrico consumido por la denunciante. Por tanto, los datos personales de la denunciante figuraron registrados en los sistemas de información de ENDESA ENERGIA, de la que no es cliente, asociados a los de un tercero, lo que constituye una vulneración del principio de calidad de datos. La entidad ENDESA ENERGIA es responsable del sistema de información en el que constan registrados los clientes y, en consecuencia, responsable de los hechos constitutivos de la infracción a lo dispuesto en el artículo 4.3 y 4 de la LOPD. ENDESA ENERGIA, por la actividad que desarrolla, conoce la importancia de asociar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 correctamente el CUPS a los contratos de suministro que formaliza, así como el los efectos que se derivan de la inexactitud de este dato, por lo que le es exigible un cuidado especial al respecto. Dicha entidad actuó con falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “...un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, ENDESA ENERGIA incumplió el mandato legal de que los datos respondan con exactitud a la situación real de los afectados, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. A este respecto, la Audiencia Nacional en su Sentencia de 21/05/2007, referida a un supuesto de error en el DNI asociado a un cliente, declaró: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso -artículo 44.3.
  6. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos han sido recogidos con el consentimiento de los afectados y para asegurase también, antes de remitir los datos a un fichero de solvencia profesional, de la calidad del dato y de su exactitud, es decir que el número de documento nacional de identidad facilitado se corresponde realmente con el de la persona deudora cuyos restantes datos de carácter personal se facilitan. Pues bien, es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En este sentido el Tribunal Supremo viene entendiendo que existe imprudencia siempre que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999”. En contra de lo señalado por ENDESA ENERGIA en sus alegaciones a la propuesta, los precedentes invocados por la misma, considerando la naturaleza del error advertido en cada caso, no son coincidentes con el analizado en el presente procedimientos. Uno de los casos citados por dicha entidad se refiere a un error al teclear la cuenta de cargo del reintegro solicitado por un tercero; en otro de ellos se asocia la línea telefónico de un cliente a otro por una incidencia relativa a los datos ya existentes en el sistema de información de la entidad en cuestión, concretamente, el relativo al DNI; y en el último de ellos se denuncia la utilización del datos relativo a la dirección de correo electrónica del denunciante, la cual había sido facilitada por el propio afectado a través del servicio de atención al cliente de la entidad. III Los hechos expuestos, en relación con el registro de los datos personales relativos a la denunciante asociados a un cliente tercero de ENDESA ENERGIA, según los detalles expuestos, suponen la comisión por parte de la citada entidad de una infracción del artículo 4.3 de la LOPD. La vulneración de lo dispuesto en el artículo 4 de la LOPD aparece tipificada en el artículo 44.3.
  7. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
  8. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
  9. c)de la LOPD por parte de ENDESA ENERGIA, que trató datos inexactos de la denunciante y del tercero. Esta inexactitud de los datos tratados supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. Este principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. IV El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción, permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 expresión “especialmente cualificada”) y concretos”. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  25. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Tras las evidencias obtenidas, se considera, de conformidad con el art. 45.5 de la LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  26. a)de dicha artículo, según el cual: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
  27. f)y
  28. i)del artículo 45.4 de la LOPD: el grado de intencionalidad apreciado, por cuanto los hechos denunciados son resultado de una falta leve de diligencia (criterio f); y la acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor (criterio i). Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave paro sancionarse conforme a las multas establecidas para las infracciones leves. En relación con la aplicación de este precepto, ENDESA ENERGIA solicita que se tenga en cuenta la regularización llevada a cabo como una atenuante privilegiada. Sin embargo, la atención de esta pretensión no modifica en nada el planteamiento anterior, que ya considera el presente supuesto como merecedor de la aplicación de la regla contenida en el citado artículo 45.5 de la LOPD. Además, la circunstancia señalada por aquella entidad se considera como una atenuante para la graduación de la sanción, a los efectos previstos en el artículo 45.4, según se expone a continuación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 En cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta, por un lado, la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal, pues la actividad que desarrolla exige un continuo tratamiento de datos de carácter personal que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa (criterio c); el volumen de negocio del infractor, al tratarse de una gran empresa en su sector de negocio (criterio d); y por otro lado, la regularización llevada a cabo por la entidad responsable (criterio j). Solicita, asimismo, ENDESA ENERGIA que se considere como atenuante la ausencia de beneficios, dado que se hizo cargo de los importes facturados. No obstante, esta circunstancia se entiende como parte de la regularización ya valorada. Finalmente, ENDESA ENERGIA se refiere a un precedente en el que se impuso una sanción de 1.800 euros, considerando la ausencia de beneficios. Sin embargo, no tiene en cuenta dicha entidad el resto de circunstancias expresadas, que difieren del supuesto invocado, como son la alta vinculación de la actividad de ENDESA ENERGIA con el tratamiento de datos y su volumen de negocio. Teniendo en cuenta los criterios de graduación expresados, se determina el importe de la sanción en la cuantía de 10.000 euros por la infracción del artículo 4.3 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA, S.A.U. con NIF I.I.I., por una infracción del artículo 4.3 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3.
  29. c)de la LOPD, una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  30. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  31. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.