← España

PS-00108-2014

1/19 Procedimiento Nº PS/00108/2014 RESOLUCIÓN: R/01837/2014 En el procedimiento sancionador PS/00108/2014, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía SAU y Endesa Energía XXI SLU, vista la denuncia presentada por A.A.A. y B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 1 de marzo de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia: Que ENDESA ha vinculado a su contrato los datos de otro cliente de ENDESA que aparece con su mismo NIF (***NIF.1) y cuyo nombre es C.C.C.. Que se ha dirigido en diversas ocasiones al citado operador sin que éste haya atendido su solicitud. Aporta Copia de: -- La gestión número ***NÚMERO.1 de fecha 24/12/2012 realizada ante ENDESA solicitando que desvinculen sus datos de los de C.C.C.. ENDESA responde que para ello debe hacerles llegar copia de su DNI. -- La gestión número ***NÚMERO.2 de fecha 5/1/2013 en la que ENDESA le comunica que al no ser ella titular del contrato no pueden gestionar su solicitud ya que debe ser realizada por el propio titular del contrato. -- Fax de fecha 11/1/2013 remitido por la afectada a ENDESA (***FAX.1) en el que insiste en su solicitud de desvincular sus datos de los de C.C.C. aportando copia de su DNI así como reporte de envió satisfactorio del fax. -- La gestión número ***NÚMERO.3 de fecha 17/1/2013 en la que ENDESA le comunica que “por datos incompletos” no puede atender su petición. -- La gestión número ***NÚMERO.3 de fecha 28/1/2013 en la que ENDESA le comunica nuevamente a su solicitud de fecha 27/1/2013 que “por datos incompletos” no puede atender su petición. -- La página web de ENDESA en la que figuran tres contratos vinculados: a nombre de A.A.A. (contratos nº: ***CONTRATO.1 y ***CONTRATO.2) y a nombre de C.C.C. (contrato nº ***CONTRATO.3). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección requieren información de ENDESA. Dichas actuaciones previas terminan con el informe de Inspección. TERCERO: De todo lo actuado en la investigación previa se concluyó, salvo prueba en contrario, que Endesa Energía SAU y Endesa Energía XXI SLU, como responsables de sus ficheros de clientes, realizaron tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos y vulneraron el deber de secreto que les incumbía, al permitir a la persona denunciante el acceso a los datos de otro cliente de dichas empresas. CUARTO Con fecha 01/10/13 por el Director de la Agencia Española de Protección de Datos se acuerda: 1. Iniciar procedimiento sancionador a Endesa Energía SAU y a Endesa Energía XXI SLU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

  1. c)de la citada Ley Orgánica. 2. Iniciar procedimiento sancionador a Endesa Energía SAU y a Endesa Energía XXI SLU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  2. d)de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio a Endesa Energía SAU y a Endesa Energía XXI SLU, ambas formularon alegaciones solicitando el archivo de actuaciones por no existir vulneración alguna de la normativa vigente. --- Endesa Energía SAU alega que <<< …, en la documentación que se acompaña a la denuncia consta un documento con la información contenida en la página web de “ENDESA” en el que figuran tres contratos: dos contratos a nombre de la Sra. A.A.A. (contratos n° ***CONTRATO.1 y ***CONTRATO.2) y otro a nombre de C.C.C. (contrato n° ***CONTRATO.3). Así pues, no es que “ENDESA” vinculase a ningún contrato de la Sra. A.A.A. los datos de otro cliente sino que la página web endesaonline procede a mostrar los datos asociados al DNI número NIF ***NIF.1 si bien se constata que cada contrato aparece correctamente vinculado a su titular. …, en los sistemas de Endesa Energía constan únicamente dos contratos de suministro, ambos de fecha 11/11/2005, para el suministro de gas y de electricidad a nombre de A.A.A. (NIF ***NIF.1), habiendo aportado Endesa Energía copia de dichos contratos que obran en el expediente administrativo (folios n° 78 al 81). … Endesa Energía XXI, S.L. Unipersonal es la titular del contrato de suministro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 de Don C.C.C. y, por tanto, que el Sr. C.C.C. es cliente de dicha sociedad y no de Endesa Energía. En efecto, conforme la impresión de pantalla que consta como folio n° 82 se aprecia que con fecha 1 de julio de 2009 Endesa Energía XXI, S.L. Unipersonal dio de alta al Sr. C.C.C. como cliente del suministro eléctrico, todo ello conforme lo establecido en la normativa sectorial. Consecuentemente, Endesa Energía no ha contravenido el principio de calidad de los datos regulado en el artículo 4.3 de la LOPD puesto que los datos de los que es responsable Endesa Energía — los correspondientes a la Sra. A.A.A.- son exactos y veraces y corresponden a la situación de la afectada. En cuanto a la vulneración del deber de secreto que se imputa también en virtud del acuerdo dictado en el presente expediente y que el artículo 10 de la LOPD impone a los responsables del fichero y del tratamiento, negamos que Endesa Energía haya contravenido el mismo. El Sr. C.C.C. no es cliente de Endesa Energía y, por lo tanto, no se encuentra en su base de datos de clientes. Así mismo, Endesa Energía tampoco es encargada del tratamiento de Endesa Energía XXI, S.L. Unipersonal por lo que es evidente que Endesa Energía no ha cometido la infracción descrita en el citado artículo. …, en lo que respecta a Endesa, en el presente supuesto NO CONCURREN EL PRINCIPIO DE ANTIJURICIDAD que conforma cualquier ilícito administrativo. …, el Sr. C.C.C. no es cliente de Endesa Energía, por lo que en el caso de que se verificase que el DNI asociado al Sr. C.C.C. no es correcto, en ningún caso tal inexactitud sería imputable a Endesa Energía. En consecuencia, en el presente caso, la actuación realizada por Endesa no vulnera el principio de calidad de datos recogido en el art. 4.3 LOPD. A mayor abundamiento y por este mismo motivo, Endesa Energía no ha contravenido el deber de secreto puesto que no ha procedido a revelar los datos de la Sra. A.A.A. a ningún tercero. …, el Sr. C.C.C. no es usuario de endesaonline puesto que no tiene activada la facturación electrónica (no tiene marcado el “check” de “FacturaE”) y, por lo tanto, no ha tenido acceso a los datos de la Sra. A.A.A.. Se ha generado una imputación a Endesa Energía que no le corresponde por falta de legitimación pasiva y ausencia de responsabilidad en los hechos imputados, lo que sin duda no puede ser considerado ajustado a derecho. …, Endesa Energía SAU no es una empresa distribuidora. Endesa Energía es una empresa que comercializa la energía en el mercado liberalizado, si bien no lo hace al Sr. C.C.C.. A este respecto, se acompaña como documento n° 1 la autorización definitiva de Endesa Energía para ejercitar la actividad de comercialización así como su inscripción en el registro correspondiente. El hecho de que la denunciante visualizase los datos del Sr. C.C.C. viene motivado porque, conforme se aprecia en la documentación del expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 administrativo, el Sr. C.C.C. está registrado en el fichero de clientes de Endesa Energía XXI, S.L. con el DNI ***NIF.1 (coincidente con el de la denunciante). >>> --- Endesa Energía XXI SLU alega que <<< El presente expediente se inicia con motivo de la denuncia formulada por B.B.B. en nombre y representación de D A.A.A. por cuanto indica que al acceder a la página web de endesaonline, junto con los datos correspondientes a los contratos de la Sra. A.A.A., aparecen los datos de una tercera persona. Esta persona es Don C.C.C.. El motivo de que la aplicación mostrase los datos del Sr. C.C.C. obedece a que tiene el mismo DNI que la denunciante. …, no ha quedado acreditado en el presente expediente que el NIF ***NIF.1 no se corresponda con el DNI del Sr. C.C.C.. Conforme es conocido y se pone de manifiesto en el artículo de prensa que obra en el expediente administrativo, se han dado casos en España de números de DNIs duplicados. …, Endesa Energía XXI pasó a prestar el suministro de energía eléctrica al Sr. C.C.C. ante la desaparición del suministro a tarifa, de conformidad con lo preceptuado en la normativa eléctrica vigente. …, Endesa Energía XXI es la empresa comercializadora de último recurso del Grupo Endesa, que suministra de manera obligatoria la energía a los consumidores que anteriormente eran suministrados por una empresa distribuidora o que carecen de un contrato en vigor con una comercializadora de mercado libre. Con la Ley 17/2007, de 4 de julio, que modifica la Ley 54/1997, de 27 de noviembre, del Sector Eléctrico, para adaptarla a lo dispuesto en la Directiva 2003/54/CE, del Parlamento Europeo y del Consejo, de 26 de junio de 2003, se crea el concepto de suministrador de último recurso que se desarrolla posteriormente en el Real Decreto 485/2009, de 3 de abril, por el que se regula la puesta en marcha del suministro de último recurso en el sector de la energía eléctrica (Real Decreto 485/2009). “Artículo 2. Designación de los comercializadores de último recurso. 1. Asumirán la obligación de suministro de último recurso de energía eléctrica, en todo el territorio nacional, las siguientes empresas comercializadoras de energía: a. ENDESA ENERGÍA XXI, 5. L.” “Artículo 4. Inicio del suministro de último recurso. 1. A partir del día 1 de julio de 2009, los consumidores suministrados por un distribuidor que no hayan optado por elegir empresa comercializadora pasarán a ser suministrados por un comercializador de último recurso. Dicho comercializador sucederá a la empresa distribuidora con los derechos y obligaciones establecidos en el artículo 45 de la Ley 54/1997, de 27 de noviembre, del Sector Eléctrico.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 “Si antes del día 1 de julio de 2009, los consumidores no han procedido a formalizar un contrato de suministro con una comercializadora, automáticamente se entenderá que consienten en obligarse con el comercializador de último recurso que les corresponda de acuerdo con lo establecido en el artículo 4 del Real Decreto 485/2009, de 3 de abril, …. …, Endesa Energía XXI adquirió una cartera de aproximadamente 10 millones de clientes, entre los que se encontraba el Sr. C.C.C., subrogándose en la obligación de prestar el suministro con los mismos “parámetros técnicos y datos del anterior contrato de suministro a tarifa con el distribuidor’ Así pues, es evidente que Endesa Energía XXI no ha contravenido la normativa de protección de calidad de datos porque ha recibido y registrado los datos de sus nuevos clientes (entre los que se incluía el Sr. C.C.C.) cumpliendo lo estipulado en la normativa sectorial aplicable, en concreto, según lo previsto en el art. 4.3 de la Orden ITC/1659/2009, de 22 de junio. En este sentido, Endesa Energía XXI ha remitido al Sr. C.C.C. al menos una factura cada dos meses a partir del 1 de julio de 2009 y hasta la fecha, sin que el Sr. C.C.C. haya manifestado que el DNI reflejado en la factura (***NIF.1) no se corresponda con el suyo. En este sentido, conforme la documentación obrante en el expediente administrativo, la dirección de contacto del Sr. C.C.C. está situada en Francia y el número de teléfono que consta a efectos de contacto no es completo con lo que los intentos de mi mandante para contactar con el interesado han resultado infructuosos. …, la coincidencia en el número del DNI de la Sra. A.A.A. y del Sr. C.C.C. ha sido lo que ha ocasionado que la denunciante tuviese acceso a los datos de este último. … el acceso a los datos del Sr. C.C.C. es consecuencia inmediata de la coincidencia en el número del DNI …. La STS de 8 de febrero de 1999 ( RJ 1999, 1518 ) (Rec 9/1996 ) …, “exige para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras “. La presunta vulneración de los artículos 4.3 y 10 de la LOPD por el hecho de que la denunciante haya tenido acceso a los datos de un tercero debido a la coincidencia de ambos en el número del DNI, se trataría de un supuesto de concurso medial en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia de que la comisión de una implica necesariamente la comisión de la otra, debiendo imponerse únicamente una sanción. Esto es, el supuesto tratamiento de datos inexactos, deriva en una supuesta vulneración del deber de secreto, procediendo subsumir ambas infracciones en una, en aplicación del artículo 4.4 del Real Decreto 1398/1 993. >>> SEXTO: Con fecha 23/04/14 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, junto con los documentos generados en las actuaciones previas de Inspección y las alegaciones de las imputadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 SEPTIMO: En fecha 07/07/14, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a Endesa Energía SAU y Endesa Energía XXI SLU por infracción de los artículos 4.3 y 10 de la LOPD, tipificadas como graves en el artículo 44.3.
  3. c)y
  4. d)de dicha norma, con multas de 50.000 € (cincuenta mil euros) para cada infracción y cada entidad, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. OCTAVO: Notificada la propuesta de resolución sancionadora a Endesa Energía SAU y a Endesa Energía XXI SLU, ambas formularon alegaciones solicitando el archivo de actuaciones por no existir vulneración alguna de la normativa vigente, ratificándose en sus manifestaciones anteriores. --- Endesa Energía SAU alega que <<< La Agencia no individualiza ni personaliza las supuestas conductas infractoras sino que atribuye las mismas indistintamente a las referidas sociedades, ... para concluir proponiendo sancionar a ambas entidades, por los mismos hechos, con dos multas que ascienden a un total 100.000 €. Así pues, son constantes las imprecisiones y la falta de concreción y motivación de la propuesta de resolución. En concreto, en el Fundamento de Derecho III de la propuesta, la Agencia, en alusión a lo preceptuado en el art. 4.3 de la LOPD, se limita a indicar que: El instructor no motiva porqué Endesa Energía o Endesa Energía XXI, S.L. son responsables, ni en qué medida, ni concreta los hechos cometidos por cada entidad que contravienen la norma. Endesa Energía ha identificado, en todo momento, correctamente a su cliente en base a la documentación contractual suscrita por la misma y que se ha aportado a este procedimiento por lo que no acertamos a entender esta afirmación. … ha acreditado disponer del contrato de suministro de energía eléctrica v gas natural suscritos con la denunciante, sin que los datos contenidos en los mismos y registrados en su base de datos hayan sido cuestionados de contrario, coincidiendo. además, con los que la misma ha indicado en su denuncia ante la Agencia. …, Endesa Energía no puede modificar los datos del Sr. C.C.C. puesto que no era su cliente y desconocía los datos del mismo. … la Agencia está atribuyendo a Endesa Energía responsabilidad por los hechos supuestamente cometidos por Endesa Energía XXL S.L. ya que el dato supuestamente inexacto es el referido al Sr. C.C.C. (cliente de Endesa Energía XXI). El responsable del fichero que contiene los datos supuestamente inexactos y revelados a la reclamante es Endesa Energía XXI SLU. no Endesa Energía SAU, por lo que no es admisible la imposición a esta de sanción alguna puesto que no ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 contravenido ni el art. 4.3 de la LOPD ni el art. 10 de la LOPD …, el Sr. C.C.C. no es cliente de Endesa Energía, por lo que en el caso de que se verificase que el DNI asociado al Sr. C.C.C. no es correcto, en ningún caso tal inexactitud sería imputable a Endesa Energía. ... por este mismo motivo. Endesa Energía no ha contravenido el deber de secreto puesto que no ha procedido a revelar los datos de la Sra. A.A.A. a ningún tercero ni los del sr. C.C.C. a la reclamante puesto que este sr. no es cliente suyo. Se ha generado una imputación a Endesa Energía que no le corresponde por falta de legitimación pasiva v ausencia de responsabilidad en los hechos imputados, lo que sin duda no puede ser considerado ajustado a derecho. Para que pueda afirmarse la responsabilidad es imprescindible que pueda imputarse el hecho constitutivo de la infracción a una persona física o jurídica (principio de personalidad). En otras palabras, como quién denuncia es cliente de mi mandante, pese a que los datos que Endesa Energía tiene registrados en relación a la misma son exactos y aunque mi mandante no haya vulnerado el deber de secreto en relación a los mismos, la Agencia decide imputar a esta sociedad unas infracciones de las cuales Endesa Energía no es responsable. …, la propuesta de resolución resulta totalmente arbitraria y adolece de una falta total de fundamentación … por cuanto se basa en meras suposiciones del instructor. Resulta patente que el concepto de CONCURSO MEDIAL es objeto de aplicación al caso que nos ocupa, pues de no haber tenido lugar la supuesta inexactitud en el número de DNI del Sr. C.C.C., la Sra. A.A.A. no hubiera accedido a los datos de dicho señor; razón por la que a efectos sancionadores supone la necesaria aplicación del art. 4.4 del Real Decreto 1398/1993, de 4 de agosto. … un mismo hecho deriva en dos infracciones dándose la circunstancia de que la comisión de una implica necesariamente la comisión de la otra, debiendo imponerse únicamente una sanción. Esto es. el supuesto tratamiento de datos inexactos, deriva en una supuesta vulneración del deber de secreto, procediendo subsumir ambas infracciones en una. En el remoto supuesto de que la Agencia considere que la conducta de Endesa Energía es merecedora de reproche jurídico -cuestión que negamos rotundamentedebería, en atención a lo previsto en el artículo 45.5 de la LOPD (apartados a v c), proceder a establecer la cuantía de la sanción aplicando la escala relativa a las infracciones leves. En el presente caso, concurren varias circunstancias de las descritas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 artículo 45.4 de la LOPD, en concreto, los siguientes: - El volumen del tratamiento (art. 45.4 b). Los beneficios obtenidos como consecuencia de la comisión de la infracción (art. 45.4.e). No se ha obtenido beneficio alguno. - El grado de intencionalidad (art. 45.4 f). >>> --- Endesa Energía XXI SLU alega que <<< El hecho de que la denunciante visualizase los datos del Sr. C.C.C. viene motivado porque, conforme se aprecia en la documentación del expediente administrativo, el Sr. C.C.C. está registrado en el fichero de clientes de mi mandante con el DNI ***NIF.1 (coincidente con el de la denunciante), por lo que al darse la reclamante de alta en la aplicación de endesaonline, la aplicación le muestra los datos asociados a dicho DNI (incluyendo los del Sr. C.C.C.). … la aplicación endesaonline muestra los datos asociados al número de DNI. La Agencia no individualiza ni personaliza las supuestas conductas infractoras sino que atribuye las mismas indistintamente a Endesa Energía, S.A. Unipersonal y a Endesa Energía XXI, prescindiendo de los más elementales principios de nuestro derecho sancionador, para concluir proponiendo sancionar a ambas entidades por los mismos hechos con dos multas que ascienden a 100.000 €. El instructor no motiva porqué Endesa Energía o Endesa Energía XXI, S.L. son responsables, ni en qué medida, ni concreta los hechos cometidos por cada entidad que contravienen la norma, etc. En el supuesto remoto de que la Agencia considere que la conducta de Endesa Energía XXI es merecedora de reproche jurídico, debería, en atención a lo previsto en el artículo 45.5 de la LOPD (apartados a v c). proceder a establecer la cuantía de la sanción aplicando la escala relativa a las infracciones leves. En el presente caso, concurren varias circunstancias de las descritas en el artículo 45.4 de la LOPD, en concreto, los siguientes: (art. 45.4 e). - El volumen del tratamiento (art. 45.4 b). Los beneficios obtenidos como consecuencia de la comisión de la infracción El grado de intencionalidad (art. 45.4 f). Por consiguiente, es patente que en el caso de que la Agencia considere que ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 quedado plenamente probada la comisión de las infracciones imputadas a Entiesa Energía XXI. cuestión que en modo alguno compartimos, deberá fundamentarlo con el rigor que exige el derecho sancionador y proceder a imponer una única sanción conforme la doctrina del concurso medial, estableciendo la escala prevista para las infracciones leves. >>> De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 01. 11/11/05, la persona denunciante (A.A.A.) suscribió con Endesa Energía SAU un contrato de suministro de gas natural y otro de electricidad (haciendo constar en ambos su DNI ***NIF.1) para su vivienda en (C/.................1) – Madrid. 02. 01/07/09, alta en la base de datos de Endesa SA del contrato (***CONTRATO.3) de suministro de electricidad a nombre C.C.C. para la vivienda de (C/.................2) (Hu), con dirección postal en (C/.................3)Francia, DNI ***NIF.1 y como ET “EE_XXI”. Figura de baja el 22/12/11. 03. 23/12/12, la persona denunciante (A.A.A.) presenta reclamación (nº ***NÚMERO.1) en la página web “endesaonline” de Endesa SA con el siguiente contenido: <<< Sigue apareciendo en mis datos de cliente el contrato: Empresa: ENDESA Línea de negocio: Electricidad Mercado: Mercado Libre TUR Dirección: ÚNICA, Nº 0 Otros datos de la dirección: CASA A Población: GRASA Cf.: ******, que no es mío. Ruego lo corrijan, teniendo en cuenta que se está vulnerando la LOPD. >>> 04. 24/12/12, Endesa por correo electrónico comunica a la denunciante: <<< Tras realizar las comprobaciones oportunas hemos detectado que tanto la Sra. A.A.A. como el Sr. C.C.C. están registrados en la base de datos de Endesa con el mismo DNI ***NIF.1. Para desvincular el contrato de suministro número ***CONTRATO.3 de la cuenta online de la Sra. A.A.A. necesitamos que nos haga llegar como archivo adjunto copia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 del DNI de la Sra. A.A.A.. >>> 05. 05/01/13, Endesa por correo electrónico comunica a la denunciante: <<< Tras recibir su solicitud con número ***NÚMERO.2 nos ponemos en contacto con usted, informándole que una vez comprobado que usted no es el titular del contrato, no podemos gestionar su solicitud. Informarle, en este sentido, que debe solicitárnoslo el propio titular del contrato. >>> 06. 08/01/13, la persona denunciante (A.A.A.) accede como cliente a endesaonline y en el apartado mis contratos, figura información de dos contratos a su nombre y otro (***CONTRATO.3) a nombre de C.C.C., con dirección de correspondencia (C/.................3)Francia y de suministro (C/.................1), Huesca; como titular de la cuenta bancaria no consta DNI. En el apartado titular del contrato figura el DNI y la dirección electrónica de la denunciante. 07. 10/01/13, la persona denunciante (A.A.A.) remite a Endesa por fax remitiendo copia de su DNI con el siguiente mensaje: <<< Conforme al correo electrónico que me remitieron el día 24/12/12, relativo a mi solicitud de eliminación de los datos de D. C.C.C. de mi cuenta de cliente, en el que me informaban d la necesidad de enviar una copia de mi DNI, adjunto les adjunto copia del mismo. No obstante, les rogaría que, igualmente, se pongan en contacto con el Sr. C.C.C. para poder determinar si sus datos son también correctos o incorrectos. Por último, y teniendo en cuenta que en estos momentos puedo acceder a datos privados del Sr. C.C.C., les pediría que realicen las gestiones necesarias con la máxima urgencia, y que, en caso de que hubiera algún problema con el presente fax se me notifique, dado que se está incumpliendo por su parte con la normativa aplicable de protección de datos. Pueden contactar conmigo a través del correo electrónico: .......@hotmail.es o bien por teléfono móvil en el ***TEL.1. >>> 08. 17/01/13, Endesa por correo electrónico comunica a la denunciante: <<< Su solicitud, no ha podido ser gestionada con éxito, ya que los datos que nos ha facilitado son incompletos, en este caso tendría que enviarnos nuevamente una nueva solicitud con los datos cumplimentados correctamente para poder darle información. >>> 09. 07/07/14, en la página web de endesaonline como prestadores del servicio a efectos de la sociedad de la información (art. 10 de la Ley 34/2002 de 11 de julio) figuran Endesa Energía SAU y a Endesa Energía XXI SLU con el mismo domicilio y dirección de correo electrónico donde acudir (Endesa a todos los efectos). FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Endesa Energía SAU (socio único Endesa SA) y Endesa Energía XXI SLU (socio único Endesa Energía SAU) son las personas jurídicas responsables de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por las imputadas relacionados con las exigencias del principio de la calidad de datos contenidos en el artículo 4.3 y el deber de secreto en el 10 de la LOPD. Aunque la mayoría de los documentos aportados y de las manifestaciones lo han sido por la sociedad matriz (Endesa SA) hemos de circunscribirnos a la actuación de las imputadas exclusivamente. A. La persona denunciante tenia contratado el suministro de gas y electricidad con Endesa cuando al acceder a sus datos en endesaonline pudo observar que sus datos personales, además de figurar en sus contratos, también lo estaban (DNI y dirección e-mail) en el contrato de electricidad de una tercera persona y podía acceder a los datos personales de ésta. B. La persona denunciante formula queja en endesaonline y no recibe respuesta satisfactoria, a pesar de los diversos intentos. Formula denuncia ante la AEPD. C. A requerimiento de la Inspección de Datos, Endesa SA informa a la Agencia que efectivamente la denunciante tiene contratado el suministro de gas y electricidad de su vivienda con Endesa Energía SAU y la tercera persona el suministro de electricidad con Endesa Energía XXI SLU desde el 01/07/09. Que ambas personas figuran con el mismo número de DNI. D. Para acreditar las contrataciones de la denunciante aporta copias de los contratos suscritos. Para el contrato de la tercera persona solo copias de las pantallas de su base de datos. No aporta contrato ni copia del DNI que acredite el número de ese documento identificativo, a pesar de que dicho contrato procede de la suministradora de electricidad del grupo Endesa hasta el 01/07/09. E. En la página web de endesaonline como prestadores del servicio figura las dos empresa implicadas como responsables de la prestación de ese servicio online. En consecuencia son las responsables de lo que se muestra al acceder como usuario cliente a esa página web. La denunciante accedió a los datos personales de un cliente tercero. F. C/ Jorge Juan, 6 28001 – Madrid Probablemente se accede a los datos de ese cliente tercero porque los www.agpd.es sedeagpd.gob.es 12/19 datos que figuran asociados a su contrato no son exactos: ni el número de DNI ni la dirección de e-mail que figuran en la base de datos son del titular, son de la persona denunciante. G. La razón de porque en endesaonline aparezcan de esa forma los datos es porque es una aplicación común de ambas empresas, por medio de la cual se accede a los ficheros de ambas empresas. Razón que se suma a la de responsables de la prestación del servicio. En conclusión ambas imputadas como gestores de los respectivos contratos de los hechos de referencia son responsables de que los datos personales sean exactos conforme al principio de calidad de datos. Igualmente han actuado sin tener en cuenta su deber de secreto profesional sobre los datos de sus clientes. III El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En este caso, trataron los datos de la persona denunciante, número de DNI y dirección electrónica, asociándolos a los de otra persona. Y siguieron haciéndolo a pesar de las quejas y documentación aportada por la denunciante. No ha acreditado que el número de DNI de la tercera persona es el que figura en su base de datos. Tratamiento inexacto en la gestión del contrato. Este comportamiento, supone una vulneración del principio de calidad de datos, recogido en el artículo 4.3 de la LOPD, al incorporar a sus ficheros datos inexactos y que no respondían con veracidad a la situación actual de la denunciante y que encuentran su tipificación en el artículo 44.3.
  6. c)de la citada Ley Orgánica. IV El artículo 44.3.
  7. c)de la LOPD, considera infracción grave: “
  8. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” Se imputa a las imputadas la infracción tipificada en el citado artículo por su responsabilidad en los hechos declarados probados. Es a ellas a quien corresponde adoptar las medidas adecuadas para la perfecta identificación de sus clientes. En este caso, la cuestión que se suscita es si la entidad denunciada empleo o no una diligencia razonable a la hora de tratar los datos de su cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 En definitiva, no actuaron con la diligencia debida al no comprobar con precisión la exactitud de los datos de identidad de la persona a cuya vivienda debía suministrar electricidad. Y no modificaron su posición a pesar de las reclamaciones Por ello, debe considerarse que ha vulnerado la LOPD. En este caso, ha incurrido en las infracción descrita ya que ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, que encuentran su tipificación en el artículo 44.3.
  9. c)de la citada Ley Orgánica. V El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a “el responsable del fichero y a quienes intervengan en cualquier fase del tratamiento…”, recogido en el artículo 10 de la LOPD, comporta que éstos no puedan revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de marzo, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el presente caso partimos del hecho de que datos personales de un cliente tercero son puestos a disposición de la persona denunciante sin tener el consentimiento de la persona titular de los datos. La actuación es imputable a las entidades denunciadas como titulares de las prestaciones de la aplicación endesaonline, que incurren en una infracción al deber de secreto que exige el artículo 10 de la LOPD. Ambas deben tener en cuenta su obligación de guardar y proteger los datos de sus clientes. El hecho indica que las entidades responsables del fichero incumplieron su deber de secreto a través de la acción, omisión o negligencia de algunos de sus empleados. VI El artículo 44.3.
  10. d)de la LOPD establece que es infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” Los datos personales contenidos en los documentos, a los que tuvo acceso la denunciante están incorporados a los ficheros de clientes de cada una de las sociedades imputadas, son accesibles a través de la aplicación común ensesaonline. Datos personales sobre los cuales las imputadas tenían el deber de guardar el secreto que exige el artículo 10 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 VII El artículo 45. LOPD, dispone que: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Los hechos declarados probados han sido tipificados como constitutivos de dos infracciones graves, por lo tanto corresponde a cada una de ellas una sanción por un importe comprendido en el tramo del apartado 2 trascrito. VIII El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  11. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  12. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  13. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  14. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  15. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» No se han acreditado circunstancias que permitan la aplicación del 45.5. IX. El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)infracción. Los beneficios obtenidos como consecuencia de la comisión de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora” Para que el importe de la sanción pueda ser fijado han de ser examinadas las circunstancias a que se refiere el apartado trascrito: A. El carácter continuado de la infracción queda fuera de duda, pues los datos personales de la denunciante han sido tratados de forma irregular durante varios años, desde que las imputadas son titulares de los contratos de suministro de la cliente denunciante y el cliente tercero al que tuvo acceso, hasta la fecha. B. La vinculación de la actividad de las entidades infractoras con la realización de tratamientos de datos de carácter personal es constante e intensa, puesto que son empresas pertenecientes a un grupo trasnacional que tiene como actividad la prestación de servicios de energía, principalmente. Tienen un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tienen, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. C. En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre las infractoras. D. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que los empleados no tuvieran intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. F. La imputada ha sido objeto de expedientes sancionadores por infracciones similares. G. Los procedimientos implantados no han sido efectivos, y todo hace C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contemplados por el 45.4 de la LOPD no es favorable a las imputadas. La valoración de todas las circunstancias permite graduar cada una de las sanciones por importe de 50.000 euros. X. En lo que se refiere a la alegación, efectuada por la representante de ambas imputadas, relativa al concurso de infracciones, el artículo 4.4 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, establece que “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. A este respecto, hay que citar los razonamientos de las Sentencias de la Audiencia Nacional siguientes: SAN de 13/05/2011 argumenta que “considera la Sala que tal concurso medial tampoco concurre en el caso examinado, pues precisamente tal artículo 4.4 del Real Decreto 1398/1993 exige para su aplicación, una necesaria derivación de una infracción respecto de otra u otras y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, y sólo en tal caso puede seguirse la consecuencia propia del concurso medial y es que únicamente se imponga la sanción correspondiente a la infracción más grave cometida. En el caso examinado ninguna de las contravenciones administrativas sancionadas es un medio para la perpetración de la otra, se da por el contrario la circunstancia de que ambas pueden realizarse con independencia absoluta, porque protegen principios diferentes, e un caso el consentimiento inequívoco que exige todo tratamiento de datos personales (artículo 6.1 de la Ley 15/41999) y, en otro, la calidad de dichos datos, personales (artículo 4.3 de la citada LO), a fin de salvaguardar el poder de disposición del titular de dichos datos, que integra el derecho fundamental a la protección de los datos.” Por su parte, la SAN de 16/05/2011 señala que “la STS de 08/02/1999 (recurso 9/1996) interpreta dicho precepto en el sentido que ‘exige para la aplicación del concurso medial una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que indispensable que las unas no puedan cometerse sin ejecutar las otras’.” Igualmente es de reseñar la SAN 843/2010 de 25/02/2010 que argumenta: “Resta por analizar sí puede subsumirse en el artículo 9 o 10 de la LOPD un hecho diferente, cual es que, tras haber descargado un tercero copia de la base de datos de usuarios registrados en www.portalatino.com, la recurrente no realizó actividad alguna, pese a que era consciente del riesgo de una posible revelación o publicidad del fichero, hasta que tuvo conocimiento de que el 6 de octubre de 2004 el hacker había hecho público el fichero en internet. Sólo después de tal actuación, Portal Latino desactivó todos los accesos al portal y puso los hechos en conocimiento de la policía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 La recurrente, como responsable del fichero, seguía siendo garante de los datos de los usuarios que se habían incorporado al mismo. Es cierto, como indica la recurrente, que no tenía el control sobre la página web en la que un tercero volcó el fichero, pero también es cierto que un comportamiento adecuado y activo de la misma pudo impedir o, al menos, minimizar el riesgo real de revelación de los datos personales de los usuarios. Es decir, su comportamiento omisivo (no advirtiendo de la fuga a los usuarios, no presentando denuncia, no cambiando la contraseña etc.) facilitó o, al menos, no obstaculizó la revelación de los datos por un tercero. Las razones aducidas por la demandante para explicar la tardanza en adoptar un comportamiento activo para impedir que se hiciese público el fichero en Internet no son convincentes. La recurrente manifiesta que no denunció los hechos ni adoptó las medidas requeridas a tal situación por tratarse de un hecho restringido a una persona y a una tercera entidad, cuya actividad era la seguridad informática, a las que habla advertido que debían cesar en la posesión y uso del fichero y abstenerse de cualquier otra acción de dicha índole. La confianza en el resultado de tal advertencia no está basada en dato objetivo alguno y, obviamente, los destinatarios de la misma no se sintieron vinculados. La recurrente, como garante de los datos personales de terceros que figuraban en sus ficheros, no tuvo la diligencia exigible sino que propició la revelación como cooperador necesario por omisión. Siendo ello así, la Sala entiende cometida, como también recoge la resolución impugnada, la infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
  26. g)de la citada norma, es decir la vulneración del deber de guardar secreto sobre datos personales incorporados a ficheros, produciéndose la conducta típica descrita por la Agencia en los Fundamentos Jurídicos Vil y VIII de su resolución, cuestionados y contestados por la parte actora en el Fundamento Jurídico 3 apartado C de la demanda.” La infracción de deber de secreto es independiente de los datos inexactos en el tratamiento y pudo ser evitada. Debe significarse que Endesa, incluso tras la subsanación por la denunciante de la copia del DNI solicitada el 05/01/13, desatiende el problema creado por la propia empresa requiriendo el 17/01/13 la presentación de una nueva solicitud, propiciando por omisión la revelación como cooperador necesario en el sentido expuesto en la sentencia citada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Endesa Energía SAU las siguientes sanciones: 1. Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  27. c)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 2. Por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  28. d)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad Endesa Energía XXI SLU, las siguientes sanciones: 1. Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  29. c)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. 2. Por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  30. d)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a Endesa Energía SAU, Endesa Energía XXI SLU y a A.A.A. y B.B.B.. CUARTO: Advertir a las sancionadas que las sanciones impuestas deberán hacerlas efectivas en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.