← España

PS-00118-2018

1/22 Procedimiento Nº PS/00118/2018 RESOLUCIÓN: R/01621/2018 En el procedimiento sancionador PS/00118/2018, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA, S.A.U., vista la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 16/06/2017 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A., (en lo sucesivo, la denunciante) en el que expone que ENDESA ENERGÍA, S.A.U., (en lo sucesivo, ENDESA o la denunciada), entidad con la que tiene contratado el suministro de electricidad, ha utilizado sus datos personales para dar de alta a su nombre y sin su consentimiento un servicio que no ha solicitado: el servicio de Mantenimiento “OK LUZ Asistencia Plus”. La denunciante añade que, pese a que no ha realizado ninguna visita a un Punto Comercial de la entidad desde noviembre de 2016, fecha en la que dio de alta con ENDESA el suministro eléctrico para su vivienda, la entidad afirma que contrató presencialmente el Servicio de Mantenimiento el 30/05/2017 a través de un Punto Comercial de la compañía. Con el escrito de denuncia y, posteriormente, con la respuesta al requerimiento informativo de la Inspección de Datos de la AEPD, ha aportado, entre otros, los documentos siguientes: a. Anexos a la denuncia: 1.- Copia del DNI: Esta copia es un ejemplar diferente del que aporta ENDESA. Así, este documento fue expedido el 24/02/2017. El domicilio postal es el del punto de suministro y es también el mismo que ha facilitado a la AEPD. 2.- Dos cartas de ENDESA, idénticas entre sí, de fechas 15/05/2017 y 30/05/2017, que llevan la referencia contrato ***REFERENCIA.1 mediante las cuales le comunica que se han realizado modificaciones en su contrato de luz con ENDESA y le remite las nuevas condiciones generales. b. Con la respuesta a la petición de documentación adicional: 1.- Tres facturas de ENDESA a nombre de la denunciante. En dos de ellas (referencia ***REFERENCIA.2, emitida el 29/05/2017, y ***REFERENCIA.3, emitida el 21/06/2017) no figura entre los conceptos facturados el Servicio OK Luz Asistencia Plus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 cuya contratación a nombre de la denunciante constituye el objeto de la denuncia. En la factura número ***REFERENCIA.4, de 23/06/2017, cuyo periodo de facturación comprende del 29/05/2017 al 14/06/2017, sí se recoge el denominado servicio “OK LUZ Asistencia Plus” entre los conceptos por los que se factura. 2.- Escrito de ENDESA dirigido a la denunciante de fecha 08/06/2017 en el que le da la bienvenida al contrato OKLUZ Asistencia Plus. Figura el número de contrato (***CONTRATO.1); la fecha de inicio de su vigencia, 30/05/2017; la finalización de la vigencia, 29/05/2018; el precio del primer año, 34,49; el precio de renovación, 68,97 y la dirección de suministro, ***DIRECCION.1. 3.- Escrito que la denunciante dirige a ENDESA, de fecha 12/06/2017, en cuyo encabezado aparece la indicación “ATT. CLIENTE Ref. ***REFERENCIA.5”, referencia que, según dice, le fue asignada con ocasión de una reclamación telefónica. La denunciante relató en su denuncia que en noviembre de 2016 dio de alta el suministro eléctrico con ENDESA y que el 15/05/2017 recibió por correo postal copia de las Condiciones Particulares del Contrato de Suministro Eléctrico nº ***REFERENCIA.1, confirmándole las modificaciones efectuadas. Recibe la misma carta por segunda vez el 30/05/2017. Que el 09/06/2017 recibe un SMS con este mensaje: “INFO: A.A.A., su Servicio OK Luz Asistencia Plus de Home Service, contratado a través de Endesa, está activado. Cualquier duda 911774562”. A través del número de teléfono contacta con un servicio subcontratado por ENDESA que le remite a la entidad quien, a su vez, le informa de que el 30/05/2017 contrató personalmente desde un punto comercial de ENDESA el citado servicio. 4.- Escrito de ENDESA dirigido a la denunciante, de fecha 15/06/2017, que lleva la indicación “Núm. Reclamación: ***REFERENCIA.5”. ENDESA expone que “una vez analizada toda la información disponible al respecto, hemos corregido las causas que originaron esta incidencia confiando en que ésta no volverá a repetirse”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a ENDESA ENERGÍA, S.A.U. con NIF A81948077, teniendo conocimiento de los siguientes extremos que se reflejan en el Informe de Actuaciones de Investigación previa: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En fecha 16/10/2017 tiene entrada en esta Agencia la respuesta de ENDESA al requerimiento informativo de la Inspección de Datos en la que consta la siguiente información relevante a los efectos del presente expediente de investigación: A. Se solicita a ENDESA impresiones de pantalla con la información relativa a los datos personales de la denunciante que obran en sus ficheros; a los productos contratados con indicación de las fechas de alta y baja, en su caso; la relación de las facturas que se han emitido, especificando en su caso las pagadas, las pendientes de pago y las anuladas y los contactos existentes entre la entidad y la denunciante con indicación de las fechas, contenido y acciones realizadas.  La denunciada aporta dos capturas de pantalla precedidas cada una por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 rúbrica “Datos Cliente” y “Contrato”. En la primera constan el nombre, dos apellidos, NIF, los teléfonos fijo y móvil y una dirección de correo electrónico de la denunciante. Figura también como tipo de cliente “Residencial” y como “Estado”, “activo”. En la segunda, “Contrato”, se hace mención a los siguientes contratos: ---***REFERENCIA.6, “Producto” “T242A”, “TEMPO 24HORAS 2.0A”, “en vigor”, con fecha de alta 13/12/2016. Tiene asignado el número de contrato ***REFERENCIA.1. La fecha de “Inicio Versión” es 15/06/2017. ---***REFERENCIA.7, “Producto” “OKLAP”, “OKLUZ ASISTENCIA PLUS”; como “Estado” consta “Baja”. La “Fecha Alta” es “30/05/2017”. Tiene asignado el número de contrato ***REFERENCIA.8. La fecha de “Inicio Versión” es 30/05/2017. B. En relación a los productos y servicios contratados, se aportan impresiones de pantalla con datos detallados que únicamente hacen referencia al producto “T242A”, el contrato de electricidad. No aportan ninguna impresión de pantalla referente al contrato de mantenimiento. C. En relación a las facturas emitidas, aporta un listado de facturas con indicación del importe y la fecha, así como la referencia de cada una. Las tres últimas facturas emitidas son de fecha 21/06/2017; 23/06/2017 y 23/08/2017 D. En relación a los contactos existentes:  Desde el 28/11/2016, los contactos mantenidos entre la denunciante y ENDESA se corresponden con el contrato celebrado para su actual vivienda, por lo que están asociados al código postal 08025. Con anterioridad a esa fecha la denunciante había sido cliente de la compañía, pero en otro domicilio. Los contactos son los siguientes: ---De 28/11/2016, una gestión de contratación ---De 28/11/2016, una petición de marca en Lista Robinson ---De 09/06/2017, una “Reclamación”, como “Tipo” “Incidencias en las Ventas”; como “Subtipo” “Incorr_contrato” Lleva la referencia ***REFERENCIA.5. Existe una anotación que dice: “Titular contrato muy enfadada porque indica que le ha llegado un mensaje conforme de contrato de ok luz asistencia plus, y no es verdad. Solicitó el alta del contrato en diciembre de 2016 y no ha vuelto a tener contacto con Endesa. Aparece un pedido de contratación en un pds al que no ha ido. Está muy enfadada, va a la oficina del consumidor para denunciar. Quiere el contrato de luz como lo tenía” ---De 15/06/2017, una “Reclamación”, figura como “Tipo” “Incidencias en las Ventas”; como “Subtipo” “Incorr_contrato”. Lleva la referencia ***REFERENCIA.9. Existe una anotación que dice: “Registro (…) con fecha 15/6/17. A.A.A. con DNI (…) nos manda un escrito en el cual muestra su enfado en cuanto al servicio OK Luz (…) Abrimos reclamación nº ***REFERENCIA.9” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 ---De 04/10/2017, una “Reclamación”, como “Tipo”, “Solicitudes”, como “Subtipo”, “Ejercicio_de_derechos LOPD”. En el apartado “Estado” figura “Pendiente. Análisis”. E. Documentos contractuales: --- Aporta copia de un formulario de “Contrato de Servicios de Asistencia” que lleva el anagrama de HOME SERVICE. En la esquina superior derecha el número de “contrato de energía asociado”, ***REFERENCIA.1 y el “Código contrato OKLAN/OKLAP: ***REFERENCIA.8”. El documento está firmado con una firma “similar” a la de la denunciante. Aporta las Condiciones Generales del Contrato de Asistencia ***REFERENCIA.8 de fecha 15/05/20217. --- Aporta copia del DNI de la denunciante: Este DNI consta expedido el 19/03/2010 y tiene validez hasta 2020. El domicilio que aparece en él es “***DIRECCION.1”. F. Aporta el contrato marco suscrito entre ENDESA e INST. I. MANT. ARBUCIES, S.L., que regula las condiciones principales acordadas para la prestación de servicios o ejecución de obras durante el periodo de vigencia pactado. --- Conforme a la estipulación primera, el objeto del contrato es fijar el “marco regulatorio de la relación contractual entre ENDESA ENERGÍA y el PUNTO DE SERVICIO para la comercialización de productos y servicios de valor añadido que ENDESA ENERGÍA comercialice a través de la red de Puntos de Servicio” ---La estipulación decimotercera, “Tratamiento de datos de carácter personal de los clientes de ENDESA ENERGÍA” dice: “Teniendo en cuenta que la prestación de servicios objeto de este acuerdo se requiere necesariamente que el PUNTO DE SERVICIO acceda, en calidad de Encargado de Tratamiento – según la definición que de dicho término se contiene en la Ley Orgánica 15/1999….-, al fichero “BASE DATOS CLIENTES” del que es responsable ENDESA ENERGÍA” G. ENDESA ha aportado el documento denominado “PROCEDIMIENTO DE ACTUACIÓN DEL BACK OFFICE DE CANALES PRESENCIASLES DE VENTA, EN LA RECEPCIÓN DE LA CONTRATACIÓN DE MERCADO LIBRE GRAN PÚBLICO”. ---El objeto del documento, según él mismo específica, es la correcta operativa del back office de contratación de canales presenciales de venta en lo referente a la recepción de contratación “ML”, aclarando el documento que se entiende por tal el “documento-contrato pendiente de ser revisado por el control de calidad”. Del texto del documento extraemos por su interés el fragmento que lleva por rúbrica “Criterios Generales”. Indica que la plataforma realizará su labor reflejando todas y cada una de las etapas de la gestión y controles que se realicen con una solicitud ML (documento-contrato pendiente de ser revisado) en SCA WEB (según la nomenclatura que facilita ENDESA es el sistema de facturación y pedidos entre ENDESA y proveedores). En la descripción de los controles a seguir el documento distingue entre: a. “Envíos desde FFVV [fuerzas de ventas] sin Control de Calidad en origen (sobre SCA WEB)” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 b. “Envíos desde las FFVV con Control de Calidad en origen (sobre SCA WEB)” En la primera hipótesis, apartado a, se indica que BACK OFFICE de control de calidad realizará la llamada de calidad en el momento de recibir el sobre con las solicitudes ML y añade: “son excepción los PdS´s sin red comercial, donde la entrega del DNI eximirá de realizar dicha llamada”. H. ENDESA ha manifestado que los datos personales de la denunciante no fueron comunicados a ficheros de solvencia patrimonial. I. ENDESA aporta una impresión de pantalla en la que se hace constar que se ha procedido a la refacturación a la denunciante, eliminando el concepto de OKAP y el descuento>> (El subrayado es de la AEPD) TERCERO: Con fecha 26/03/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA ENERGÍA, S.A.U., por una presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ENDESA, mediante escrito que tuvo entrada en el Registro de la AEPD el 13/04/2018, formula alegaciones en las que solicita que no se imponga sanción alguna pues, a su juicio, la conducta que se denuncia no es antijurídica ni concurre en ella el elemento subjetivo de la culpabilidad. Con carácter subsidiario, para el caso de que la anterior pretensión no prospere, solicita una “reducción sustancial de la sanción propuesta”. En apoyo de su postura hace las siguientes alegaciones: 1. Reconoce que el 14/05/2017 dio de alta el servicio de mantenimiento de luz “OK luz” a nombre de la denunciante y aporta de nuevo la copia del “contrato de servicio de mantenimiento de electricidad rubricado por la titular” y la “copia del Documento Nacional de Identidad de la Sra. A.A.A. facilitado al momento en que se formalizó el contrato- vigente hasta el año 2020”. 2. Que la contratación se efectuó por el proveedor Instalaciones y Mantenimientos Arbucies, S.L., siguiendo las instrucciones que ENDESA le facilitó sobre identificación del cliente, estando obligado a recabar la documentación acreditativa de la identidad conforme a lo estipulado en el acuerdo marco suscrito entre ambas entidades. Que se recabó el DNI de la contratante, documento que estaba vigente hasta el año 2020. 3. Niega la existencia de antijuridicidad en la conducta que se le atribuye y de culpabilidad. En este sentido indica que procedió a dar de alta el servicio de mantenimiento de luz contando con la documentación necesaria, que dotaba de veracidad el contrato. Que la compañía “recabó un Documento Nacional de Identidad que estaba en vigor hasta el año 2020, desconociendo -y sin tener manera de saberlo-, que la titular del documento identificativo había procedido a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 su renovación en una fecha anterior a la de su caducidad. Por lo tanto, la referida contratación contaba con elementos de juicio suficientes que la dotaban de apariencia de veracidad y de apariencia de prestación del consentimiento de la titular”. 4. Solicita con carácter subsidiario, para el caso de no estimar la pretensión principal, una reducción sustancial de la sanción impuesta fundada en la concurrencia, a su juicio, de las siguientes circunstancias contempladas en el artículo 45.4 LOPD en calidad de atenuantes: el apartado e), ausencia de beneficios; el apartado i), la acreditación de que con anterioridad a los hechos la entidad contaba con un protocolo adecuado de actuación siendo la infracción consecuencia de una anomalía en el correcto funcionamiento de dichos procedimientos. QUINTO: Con fecha 09/07/2018, conforme a lo dispuesto en el artículo 77 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) se abre un período de prueba en el que se acuerda la práctica de las siguientes diligencias: 1.- Incorporar al procedimiento arriba indicado la denuncia presentada por D.ª A.A.A. y su documentación adjunta así como los documentos recabados por la Inspección de Datos en el curso de las actuaciones previas de inspección, documentos todos ellos que integran el expediente E/04137/2017. 2. Dar por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio del procedimiento PS/00118/2018 presentadas por ENDESA y la documentación adjunta. 3. Se libra oficio a la Dirección General de la Policía para que informe acerca de las siguientes cuestiones: Si con ocasión de la renovación de un DNI es preceptiva la entrega o destrucción del documento que queda revocado por el nuevo y si con ocasión de la renovación del DNI ***DNI.1, del que es titular D.ª A.A.A. la Comisaría de Policía retuvo en su poder el documento inicial que se renovaba o si fue objeto de alguna medida para hacerlo inservible en la práctica. En fecha 31/07/2018 tiene entrada en el Registro de la AEPD la respuesta remitida por la División de Documentación de la Dirección General de la Policía, órgano responsable en esa Dirección General de la expedición de documentación de españoles. Explica que conforme al Real Decreto 1553/2005, de 23 de diciembre, por el que se regula la expedición del Documento Nacional de Identidad y sus certificados de firma electrónica, cuando se procede a la renovación de un DNI por caducidad o por variación de datos de su titular (supuestos contemplados en el artículo 7 del Real Decreto precitado) es de aplicación la norma del artículo 9 apartado 3 del citado texto: “Al entregar el documento renovado, se procederá la retirada del anterior para su inutilización física. Una vez inutilizado podrá ser devuelto a su titular si éste lo solicita”. Añade que la inutilización del documento de identidad se hace de diversas formas según los medios disponibles: bien mediante taladro en la zona del chip y de la numeración; bien mediante sendos cortes en esas áreas. Advierte la norma que “la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 inutilización de los soportes deberá realizarse incluso en los casos en los que no sean devueltos a sus titulares y con carácter previo a su destrucción, que se documentará en un acta. Informa que en el presente caso se ha constatado que el 22/04/2017 se llevó a cabo por el equipo de ***POBLACION.1 una renovación del citado documento motivado por el cambio de domicilio. Y que consta la devolución del soporte anterior, a solicitud de la titular, habiendo sido confirmada por la responsable del equipo que con anterioridad a su entrega el documento se inutilizó físicamente. SEXTO: Con fecha 06/09/2018, por la instructora del expediente se emitió propuesta de resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a ENDESA ENERGÍA, S.A.U., con NIF A81948077, con una multa de 32.000 € (treinta y dos mil euros) por la infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  2. c)de dicha norma.>> Como se pone de manifiesto con la lectura del escrito de la propuesta de resolución se incurrió en un error de transcripción pues todas las referencias que se hacen tanto a las normas jurídicas aplicables (Fundamentos de Derecho I y II de la propuesta de resolución), como a la calificación de los hechos (Fundamento de Derecho III de la propuesta) insisten en multitud de ocasiones en la vulneración del principio del consentimiento. SÉPTIMO: La propuesta de resolución fue notificada electrónicamente a ENDESA, siendo la fecha de “puesta a disposición” el 06/09/2018 y la “fecha de aceptación” el 07/09/2018. Así lo acredita la copia obtenida de la Carpeta ciudadana que obra en el expediente. El plazo de diez días hábiles conferido a ENDESA para presentar alegaciones a la propuesta de resolución (ex artículo 73.1 LPACAP) finalizó el 21/09/2018. En fecha 21/09/2018 tiene entrada en la sede electrónica de esta Agencia el escrito de alegaciones a la propuesta de resolución presentado por ENDESA. Comienza sus alegaciones poniendo de manifiesto que en la parte dispositiva de la propuesta de resolución se hace referencia a la imputación de una infracción del artículo 4.3 LOPD, tipificada en el artículo 44.3.
  3. c)de la citada Ley Orgánica. La entidad reitera la pretensión formulada en sus alegaciones al acuerdo de inicio pues solicita que no se imponga sanción alguna por no concurrir antijuridicidad en la conducta cuestionada ni el elemento subjetivo de la infracción. Subsidiariamente, para el caso de que tal pretensión no sea estimada solicita que se reduzca sustancialmente la sanción impuesta e invoca a tal fin la concurrencia como atenuante de la circunstancia descrita en el artículo 45.4.
  4. i)LOPD. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con NIF ***DNI.1, y domicilio en calle ***DIRECCION.1, según consta en la copia del DNI que aporta, documento que tiene fecha de 24/02/2017 (folio 3), declara que ENDESA -entidad con la que tenía contratado desde noviembre de 2016 el servicio eléctrico para su vivienda- ha tratado sus datos personales sin su consentimiento pues ha dado de alta a su nombre un contrato de mantenimiento “OK LUZ Asistencia Plus” en el que ella no ha sido parte. (Folios 1 y 4) SEGUNDO: En relación con el servicio “OK LUZ Asistencia Plus” que ENDESA dio de alta a nombre de la denunciante y que es el objeto de la denuncia, obran en el expediente los documentos siguientes: A. Copia de una carta dirigida a la denunciante y a su domicilio, que lleva los anagramas de ENDESA y de Reparalia Home Servicie, de fecha de 08/06/2017, con el título “OK LUZ Asistencia Plus”. En el cuerpo de la carta se da la bienvenida a la denunciante a OKLUZ Asistencia Plus y se le ofrece la siguiente información: <<- Nombre del contrato: OKLUZ Asistencia Plus - Nº de contrato: ***CONTRATO.1 - Inicio vigencia: 30-05/2017 - Finalización vigencia: 29-05-2018 - Precio primer año: 34,49 € -Precio renovación: 68,97 € (renovación automática -Dirección protegida: ***DIRECCION.1” (Folios 14 y 15) B. Las Condiciones Generales del contrato de servicio OKLUZ asistencia plus, en las que se hace constar, además, el número del contrato, los datos del cliente y su domicilio, el servicio contratado y el precio. (Folios 16 y 17) C. La factura emitida por ENDESA a nombre de la denunciante de fecha 23/06/2017, cuyo periodo de facturación abarca del 29/05/2017 al 14/06/2017, número de factura ***REFERENCIA.4. En el “Detalle de la factura” en el apartado dedicado a “Otros conceptos” aparece el concepto “OKLUZ Asistencia Plus” (folios 44 y 45) TERCERO: Obran en el expediente, relativas al contrato de suministro eléctrico que la denunciante afirma haber contratado con ENDESA para su nueva vivienda en noviembre de 2016, las siguientes facturas emitidas a su nombre y dirigidas a su domicilio de ***DIRECCION.1, en las que es digno de destacar que ni en el apartado “Detalle de la factura”, subapartado “Otros conceptos”, ni en ningún otro, hay mención alguna al servicio OKLUZ Asistencia Plus: - C/ Jorge Juan, 6 28001 – Madrid Emitida el 29/05/2017 (Número ***REFERENCIA.2) cuyo periodo de facturación comprende del 20/04/2017 al 14/05/2017. Emitida el 21/06/2017 (Número ***REFERENCIA.3) cuyo periodo de facturación comprende del 14/05/2017 al 29/05/2017. (Folios 40 a 43) www.agpd.es sedeagpd.gob.es 9/22 CUARTO: La denunciante presentó varias reclamaciones ante ENDESA por estos hechos. La documentación aportada por ENDESA deja constancia de las siguientes:  De fecha 09/06/2017 catalogada como “Tipo” “Incidencias en las Ventas”; y como “Subtipo” “Incorr_contrato”, con referencia ***REFERENCIA.5. Asociado a ella esta anotación: “Titular contrato muy enfadada porque indica que le ha llegado un mensaje conforme de contrato de ok luz asistencia plus, y no es verdad. Solicitó el alta del contrato en diciembre de 2016 y no ha vuelto a tener contacto con Endesa. Aparece un pedido de contratación en un pds al que no ha ido. Está muy enfadada, va a la oficina del consumidor para denunciar. Quiere el contrato de luz como lo tenía”  De fecha 15/06/2017, reclamación catalogada como la anterior con la referencia ***REFERENCIA.9. Existe una anotación que dice: “Registro (…) con fecha 15/6/17. A.A.A. con DNI (…) nos manda un escrito en el cual muestra su enfado en cuanto al servicio OK Luz (…) Abrimos reclamación nº ***REFERENCIA.9” ENDESA respondió a las reclamaciones de la denunciante a través de correo postal y de email. Relativa a la reclamación ***RECLAMACION.1, dos respuestas: por carta el 12/06/2017 y por email el 15/06/2017. Relativa a la reclamación ***REFERENCIA.9, dos respuestas de fechas 21/06/2018 (remitida por carta) y de 22/06/2018 enviada por email (folios 36 a 39) QUINTO: ENDESA ha aportado impresiones de pantalla de sus ficheros informáticos relativa a los productos contratados y a los que existen a nombre de la denunciante. - Captura de pantalla bajo la rúbrica “Contrato” (folio 91) en la que se hace mención a los siguientes contratos: 1. ***REFERENCIA.6, “Producto” “T242A”, “TEMPO 24HORAS 2.0A”, - “en vigor”, con fecha de alta 13/12/2016. Tiene asignado el número de contrato ***REFERENCIA.1. La fecha de “Inicio Versión” es 15/06/2017. 2. ***REFERENCIA.7, “Producto” “OKLAP”, “OKLUZ ASISTENCIA PLUS”; como “Estado” consta “Baja”. La “Fecha Alta” es “30/05/2017”. Tiene asignado el número de contrato ***REFERENCIA.8. La fecha de “Inicio Versión” es 30/05/2017. Capturas de pantalla bajo la rúbrica “Productos y servicios contratados” (folios 93 a 97) que únicamente hacen referencia al producto “T242A”, el contrato de electricidad. SEXTO: ENDESA aporta una relación de las facturas que ha emitido a nombre de la denunciante (un total de seis facturas de fechas 21/02/2017, 24/04/2017,29/05/201721/06/2017,23/06/2017, 23/08/2017) y manifiesta que “El único servicio cuestionado es el relativo al mantenimiento de luz que estuvo dado de alta durante un periodo de diez días, con un importe de 1,53 euros- posteriormente devuelto a la denunciante”. (Folio 99) SÉPTIMO: ENDESA ha aportado en prueba de haber recabado el consentimiento de la titular de los datos en la contratación del servicio “OK Luz”, los documentos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 --- --- Un formulario de “Contrato de Servicios de Asistencia” que lleva el anagrama de HOME SERVICE. En la esquina superior derecha figura el “contrato de energía asociado” número ***REFERENCIA.1 y el “Código contrato OKLAN/OKLAP: ***REFERENCIA.8”. En la casilla del formulario que lleva por rúbrica “Datos del domicilio (misma dirección del punto de suministro de electricidad)”, consta el domicilio de la titular del contrato, que es el del punto de suministro, calle ***DIRECCION.1. En la casilla del formulario que dice “Datos del Contacto (Para el envío de comunicaciones. Rellenar aquellos campos que difieran de los datos del cliente)”, aparecen los siguientes: calle ***DIRECCION.2. El documento está firmado con una firma “similar” a la de la denunciante. Aporta copia del DNI de la denunciante: Este DNI consta expedido el 19/03/2010 y tiene validez hasta 2020. El domicilio que figura en él es “***DIRECCION.1”. En el documento aportado no se aprecia que el chip y el dato del número haya sido taladrado o cortado. (Folios 122 y 124) OCTAVO: ENDESA ha declarado que la contratación del servicio OK LUZ se realizó el 14/05/2017 por el proveedor Instalaciones y Mantenimientos Arbucies, S.L., con NIF ESB 17220419. Aporta el Contrato Marco suscrito entre ENDESA y el citado proveedor. A. Conforme a la estipulación primera del referido contrato su objeto es fijar el “marco regulatorio de la relación contractual entre ENDESA ENERGÍA y el PUNTO DE SERVICIO para la comercialización de productos y servicios de valor añadido que ENDESA ENERGÍA comercialice a través de la red de Puntos de Servicio” B. La estipulación decimotercera, “Tratamiento de datos de carácter personal de los clientes de ENDESA ENERGÍA” dice: “Teniendo en cuenta que la prestación de servicios objeto de este acuerdo se requiere necesariamente que el PUNTO DE SERVICIO acceda, en calidad de Encargado de Tratamiento –según la definición que de dicho término se contiene en la Ley Orgánica 15/1999….-, al fichero “BASE DATOS CLIENTES” del que es responsable ENDESA ENERGÍA…” (Folio 144) NOVENO: La División de Documentación de la Dirección General de la Policía (Ministerio del Interior) ha informado que el 22/04/2017 se realizó una renovación del DNI de la denunciante “con motivo de un cambio de domicilio” y explica que, conforme al artículo 9.3, en relación con el artículo 7, del Real Decreto 1553/2005, que regula la expedición del Documento Nacional de Identidad y sus certificados de firma electrónica, al entregar el documento renovado se procede a la retirada del anterior para su inutilización física, pudiendo, una vez que ha sido inutilizado, ser devuelto a su titular si así lo solicita. Añade que la forma de inutilizar estos soportes es practicada “en función de los medios disponible, bien mediante taladro en las zonas del chip y de la numeración bien mediante sendos cortes sobre tales áreas” (folio 237) FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD -que integran el Título II de la citada Ley Orgánica- constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para (…); cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; (…). Paralelamente el artículo 4 de la LOPD, relativo a la calidad de los datos, dice en el punto 2: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. (El subrayado es de la AEPD) Estos preceptos debe integrarse con la definición que la LOPD ofrece en su artículo 3, apartados a),
  6. c)y h), respectivamente, de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La infracción del principio del consentimiento se tipifica en el artículo 44.3.
  7. b)LOPD que dispone: “Son infracciones graves: (…) “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. III A tenor del artículo 6 de la LOPD el tratamiento de datos personales exige recabar el consentimiento de su titular; consentimiento que la ley obliga a que sea “inequívoco”, esto es, que no admita duda o equivocación. El principio del consentimiento o autodeterminación recogido en el artículo 6 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos e implica la necesidad de recabar del afectado su consentimiento inequívoco para que sus datos personales puedan ser objeto de tratamiento. A través del consentimiento al tratamiento de sus datos personales el titular ejerce de forma efectiva el poder de control y de disposición sobre ellos. En esa línea el Tribunal Constitucional, en su STC 292/2000, de 30 de noviembre (Fundamento Jurídico 7), señala que “(…)Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD exige que sea el titular de los datos quien otorgue su consentimiento inequívoco al tratamiento, pues a él, y no a un tercero, le corresponde el poder de disposición sobre éstos. Con toda claridad el artículo 3.
  8. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. El tratamiento de los datos personales sin contar con el consentimiento inequívoco de su titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho fundamental pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El apartado 2 del artículo 6 LOPD dispensa de la necesidad de recabar el consentimiento del afectado cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento. Esto, porque el consentimiento para tratar los datos personales está implícito en el consentimiento otorgado a la contratación, pero, únicamente, en la medida en que el referido tratamiento sea el preciso para la ejecución del contrato y si quien facilita los datos personales con ocasión de la contratación ha sido efectivamente su titular. IV La denuncia que nos ocupa versa sobre el tratamiento de los datos personales de la denunciante efectuado por ENDESA sin su consentimiento; tratamiento que consistió en incorporar a sus ficheros sus datos personales asociados a la contratación del servicio de mantenimiento de luz “OK Luz” que ella niega haber celebrado así como en la emisión de una factura a su nombre. A. El tratamiento de los datos personales de la afectada asociada al referido servicio se encuentra debidamente acreditado en el expediente. Destacan en ese sentido tres documentos a los que se hace referencia en el Hecho Probado segundo. Por una parte, la carta que ENDESA remitió a la denunciante dándole la bienvenida al servicio OK LUZ Asistencia Plus, que lleva fecha de 08/06/2017. En ella, además, le facilita toda la información referente a ese nuevo contrato: el número de contrato, ***CONTRATO.1; el inicio de su vigencia, el 30/05/2017; el precio y la “dirección protegida”, calle ***DIRECCION.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 Por otra, la factura número ***REFERENCIA.4, de 23/06/2017, cuyo periodo de facturación comprende del 29/05/2017 al 14/06/2017 y que incluye entre los conceptos facturados el servicio “OK LUZ Asistencia Plus”. Obran en el expediente otras facturas que ENDESA emitió a nombre de la denunciante con anterioridad en las que los conceptos facturados no incluyen el servicio controvertido sino únicamente los servicios que la denunciante había contratado con ENDESA en noviembre de 2016. Nos referimos a las facturas de fechas 29/05/2017 y 21/06/2017, que nada dicen sobre el servicio OK LUZ (ver Hecho Probado tercero) ENDESA afirma que este tratamiento trae causa de un contrato de mantenimiento que la denunciante celebró en un punto de venta físico con el proveedor Instalaciones y Mantenimientos Arbucies, S.L. Extremo que la denunciante ha negado declarando que desde el mes de noviembre de 2016, fecha en que suscribió el contrato de luz para su vivienda, no ha vuelto al punto de venta físico. La Audiencia Nacional viene considerando que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia. Reiteradamente ha manifestado que el responsable del tratamiento de datos de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de Derecho Cuarto dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD) ENDESA remitió a esta Agencia durante las Actuaciones de Investigación Previa, dos documentos a fin de acreditar que con ocasión de la celebración del contrato de asistencia OK LUZ que atribuye a la denunciante obró con la diligencia a la que viene obligada por la normativa de protección de datos con objeto de garantizar la identidad de la persona que otorga el consentimiento a la contratación: Un formulario del contrato de Servicios de Asistencia -que lleva el anagrama de Home Service e incorpora como “contrato de energía asociado” el número del contrato de electricidad que la denunciante había suscrito en noviembre de 2016 con esa entidad (Nº ***REFERENCIA.1)- en el que constan los datos personales de la denunciante, entre ellos su domicilio actual, que coincide con el punto de suministro, y el domicilio antiguo. El documento se encuentra firmado. La copia del DNI de la denunciante que, según manifiesta se había recabado de ella con ocasión de la firma del contrato. Sin embargo, de la documentación que obra en el expediente y del resultado de las pruebas practicadas, se concluye que no puede atribuirse valor probatorio a la copia del DNI de la denunciante que ENDESA ha aportado. La copia del DNI que ENDESA ha remitido a esta Agencia con la pretensión de probar que actuó diligentemente en el cumplimiento de la obligación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 identificar a la persona que facilita como propio los datos personales, carece por completo de virtualidad para acreditar ese extremo. Esto es, que, efectivamente, recabó de la denunciante al tiempo de la contratación -a través de la empresa que actuó como su encargada de tratamiento- la copia de su DNI. De ser cierto que, como ENDESA argumenta en sus alegaciones, el punto de venta recabó y obtuvo de la denunciante la copia del DNI al tiempo de la contratación del servicio OK LUZ, el documento de identidad que la denunciante podría habría exhibido en esa ocasión no sería nunca el que la denunciada nos ha remitido en prueba del consentimiento. En tal caso, ese ejemplar de su DNI debería tener necesariamente cortados o troquelados tanto el chip como el número de identidad, circunstancias que no constan en la copia del documento que se ha facilitado a esta Agencia Recordemos que la denunciante explicó en su denuncia que había contratado el servicio eléctrico con ENDESA, personándose para ello en un punto físico de venta, en noviembre de 2016 (fecha que coincide con la de alta registrada en los ficheros de la denunciada), a raíz de un cambio de domicilio. Cuando la señora A.A.A. interpone denuncia ante esta Agencia aporta la copia de su DNI que figura expedido el 24/02/2017 y que contiene el domicilio actualizado, es decir la calle ***DIRECCION.1 que es también el punto de suministro del contrato de servicio eléctrico suscrito en noviembre de 2016. Sin embargo, el DNI de la denunciante que ENDESA nos remite en prueba de que la afectada había otorgado el consentimiento a un contrato celebrado el 15/05/2017 no es el documento que en esa fecha estaba vigente; documento que había sido expedido el 24/02/2017, si nos atenemos a la fecha que figura en ese documento o el a 24/02/2017 sin nos atenemos a la fecha que menciona en su escrito la Dirección General de la Policía, datos que a todas luces es un error. Por el contrario, la copia del DNI que ENDESA nos remite se corresponde con la que necesariamente tuvo que haber facilitado la denunciante a la entidad cuando en noviembre de 2016 celebró con ella el contrato en el que sí es parte. El DNI vigente entonces, en el que aún figuraba la dirección antigua de la denunciante pues todavía no lo había actualizado, calle ***DIRECCION.2, no podía ser utilizado en la fecha en la que supuestamente se celebra el contrato de mantenimiento que es objeto de la denuncia. Ese DNI, en tal fecha no estaba en condiciones de ser empleado, pues había sido inutilizado convenientemente. El Real Decreto 1553/2005, de 23 de diciembre, que regula la expedición del documento nacional de identidad y de sus certificados de firma electrónica, en su artículo 7, “Renovación”, dispone: “2. Independientemente de los supuestos del apartado anterior se deberá proceder a la renovación del Documento Nacional de Identidad en los supuestos de variación de los datos que se recogen en el mismo, en cuyo caso será preciso aportar, además de lo establecido en el apartado anterior, los documentos justificativos que acrediten dicha variación”. Por otra parte, el artículo 9.3 del citado Real Decreto señala que “al entregar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 Documento renovado, se procederá a la retirada del anterior para su inutilización física. Una vez inutilizado podrá ser devuelto a su titular si éste lo solicita”. La División de Documentación de la Dirección General de la Policía, órgano responsable en esa Dirección General de la expedición de documentación de españoles, indica en su respuesta a las pruebas practicadas que cuando se procede a la renovación de un DNI por caducidad o por variación de datos de su titular (supuestos contemplados en el artículo 7 del Real Decreto precitado) es de aplicación la norma del artículo 9 apartado 3 del citado texto. Añade que la inutilización del documento de identidad se hace de diversas formas según los medios disponibles: bien mediante taladro en la zona del chip y de la numeración; bien mediante sendos cortes en esas áreas. Advierte la norma que “la inutilización de los soportes deberá realizarse incluso en los casos en los que no sean devueltos a sus titulares y con carácter previo a su destrucción, que se documentará en un acta. Por lo que respecta al DNI del que es titular la denunciante, la División de Documentación de la precitada Dirección General ha informado que se llevó a cabo, por el equipo de ***POBLACION.1, el 22/04/2017, una renovación del DNI de la denunciante motivada por el cambio de domicilio. Ha añadido que consta la devolución del soporte anterior, a solicitud de su titular, habiendo sido confirmada por la responsable del equipo que con anterioridad a su entrega el documento se inutilizó físicamente. En definitiva, en la fecha en la que supuestamente la denunciante contrata el servicio OK LUZ ya le había sido expedido su nuevo documento de identidad, de modo que en cumplimiento de la normativa que regula esta materia el DNI “antiguo” había sido convenientemente inutilizado. Así pues, no existe prueba alguna de que la afectada hubiera otorgado el consentimiento a la contratación ni de que ENDESA hubiera desplegado la diligencia mínima exigible para acreditar la identidad de la persona que consiente la celebración de un contrato. Se añade a lo expuesto que la firma que consta en el formulario de contratación del servicio OK LUZ no se corresponde con la firma de la denunciante haciendo un mero cotejo visual y utilizando como término de comparación los dos ejemplares de DNI de la denunciante (el antiguo y el renovado) que obran en el expediente, así como el escrito de la denuncia que presentó en esta Agencia. Recordemos que incumbe a quien trata los datos de un tercero la carga de acreditar que ha recabado el consentimiento inequívoco de su titular o, al menos, que han adoptado las medidas que exige el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6. Muy esclarecedora resulta en tal sentido la SAN de 29/04/2010, en la que el Tribunal, (Fundamento de Derecho SEXTO) señaló que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Por otra parte, se ha de destacar que el contrato de suministro eléctrico que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 denunciada suscribió con ENDESA en noviembre de 2016 legitima a esa entidad, exclusivamente, para el tratamiento de sus datos que sea necesario para el desarrollo y ejecución de aquél, pero en ningún caso para tratar los datos con una finalidad distinta como lo sería la enmarcada en un nuevo contrato. Consecuencia del principio de finalidad o pertinencia, manifestación del principio de calidad del dato, que se plasma en el artículo 4.2 LOPD a tenor del cual los datos personales objeto de tratamiento no pueden ser utilizados para una finalidad distinta de aquella para la cual se recabó el consentimiento. Así las cosas, consta acreditado que ENDESA trató los datos personales de la afectada asociados a un contrato que ella niega haber celebrado -servicio de asistencia OK LUZ- y que la entidad no ha probado el consentimiento de la afectada a la contratación que permita amparar el tratamiento en el artículo 6.2 LOPD. Esto último exigiría demostrar que la persona que otorgó el consentimiento a la contratación y la denunciante eran la misma persona, extremo que tampoco ha quedado probado. B. El nacimiento de responsabilidad sancionadora presupone la existencia de culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor, esto, porque las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición (STC 76/1999) En el asunto analizado concurre el elemento subjetivo de la infracción pues a la luz de los hechos probados no es aceptable el argumento de ENDESA conforme al cual su encargada de tratamiento obró diligentemente y recabó el documento acreditativo de su identidad a la persona que facilitó como propios los datos de la afectada. La única prueba de tal conducta que obra en el expediente es la copia de un documento que en esa fecha estaba físicamente inutilizado en la forma que describe la Dirección General de la Policía. Sobre el principio de culpabilidad en el marco del procedimiento sancionador (al que expresamente se refiere la Ley 40/2015 en su artículo 28) resultan muy esclarecedoras las consideraciones de la SAN de 30/05/2015 (Rec. 163/2014) con relación al modo de atribución de la responsabilidad a las personas jurídicas. La SAN conecta la reprochabilidad, a una persona jurídica, de una determinada conducta, con el hecho de que aquella hubiera o no dispensado una eficaz protección al bien jurídico protegido por la norma. Y en el presente caso, la documentación aportada no acredita que ENDESA hubiera actuado diligentemente en el cumplimiento de la obligación impuesta por el artículo 6.1 LOPD. La conducta de ENDESA, materializada en el tratamiento de los datos personales de la denunciante sin su consentimiento –nombre, dos apellidos, NIF y domiciliovinculados al alta de un contrato a su nombre vulnera el artículo 6.1 de la LOPD. Infracción tipificada como grave en el artículo 44.3.
  9. b)LOPD que dispone: “Son infracciones graves, (..) d)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 los dispuesto en esta Ley y sus disposiciones de desarrollo”. V Hacemos mención a continuación a los argumentos que la denunciada ha esgrimido en defensa de su pretensión de archivo de las actuaciones. En sus alegaciones a la propuesta de resolución ha reiterado lo manifestado en las alegaciones al acuerdo de inicio en las que afirmó que no existía antijuridicidad en la conducta cuestionada ni tampoco concurría el elemento subjetivo de la infracción. Insiste en recordar que la contratación efectuada a nombre de la denunciante “no fue directamente tramitada por Endesa Energía, sino por un proveedor externo” y que su actuación se limitó a “a activar la solicitud de alta del servicio recibida a través de los sistemas comerciales, contando con una serie de documentos que dotaban a la contratación a nombre de la Sra. A.A.A. con apariencia de veracidad y consentimiento”. Y por lo que atañe al elemento subjetivo de la infracción recuerda que el contrato formalizado a nombre de la denunciante estaba acompañado de una copia del DNI en vigor hasta el año 2020. Trae a colación el criterio de la AEPD y la doctrina reiterada de la Audiencia Nacional conforme a la cual se considera ajustado a la LOPD el tratamiento de los datos cuando existe un contrato firmado y se aporta la copia del DNI. Pues bien, la documentación que obra en el expediente demuestra que ENDESA incorporó a sus ficheros y trató los datos personales de la denunciante como titular de un contrato de servicios. Por otra parte, que el artículo 43.1 de la LOPD sujeta a responsabilidad sancionadora a los responsables del fichero y a los encargados de tratamiento. Y es claro que en el supuesto analizado ENDESA es la responsable del fichero al que se incorporaron los datos de la denunciante y responsable del tratamiento efectuado. Es ella quien decidió sobre la finalidad, contenido y uso de los datos personales incluidos en sus ficheros y venía obligada por ello a obrar con diligencia en el cumplimiento de la normativa de protección de datos, con ocasión del tratamiento que realiza: incorporar nuevos datos a sus ficheros, mantenerlos en ellos y girar facturas contra sus titulares, entre otros. No cabe, por tanto, pretender eximirse de responsabilidad en el tratamiento efectuado. Como ha quedado expuesto, la documentación que obra en el expediente no acredita que ENDESA hubiera obrado con la diligencia mínima que le exige el cumplimiento de las obligaciones impuestas por la normativa de protección de dato de carácter personal. Ello, porque la copia del DNI de la denunciante aportada por ENDESA no pudo, en ningún caso, ser recabada de la denunciante al tiempo de la contratación, por lo que no cabe concluir a la luz de tal documento que ENDESA, a través de su encargada de tratamiento, hubiera actuado diligentemente. No se pone en duda que es imposible de todo punto conocer si un DNI, como el que obra en el expediente, vigente hasta 2020, ha sido o no renovado. La cuestión relevante a los efectos que nos ocupan es que, a la luz de lo informado por la Dirección General de la Policía, desde finales de abril de 2017 (antes si nos atenemos a la fecha que consta en el documento) ese DNI estaba físicamente inutilizado, de forma tal que si hubiera sido cierto que se recabó de la denunciante en fecha 14/05/2017 no podría presentar el aspecto que tiene en la copia aportada. Ese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 documento en todo caso estaría troquelado o cortado en dos puntos fundamentales, el número y el chip. Y fácilmente puede colegirse que en esas condiciones el punto de venta de ENDESA no lo habría admitido como medio de acreditación de la identidad. Con carácter subsidiario se ha solicitado una reducción importante de la cuantía de la sanción. El escrito de alegaciones al acuerdo de inicio solicitó que se apreciara la concurrencia de las circunstancias del artículo 45.4 LOPD, apartados
  10. e)e
  11. i)y en las alegaciones a la propuesta se reitera la petición en relación a esta última circunstancia alegando a tal fin que en la contratación se recabó un documento que ofrecía apariencia de veracidad, lo que evidencia que la entidad tiene implementado y aplica un correcto protocolo en materia de protección de datos. Como se expone seguidamente consideramos que ninguna de las circunstancias invocadas en las distintas fases del procedimiento puede ser estimadas. A propósito de la circunstancia descrita en el apartado
  12. e)del artículo 45.4 LOPD, ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción, se señaló que en la SAN de 17/04/2018 (Rec. 254/2017 el Tribunal rechazó la pretensión de la parte demandante de que se estimara como atenuante el artículo 45.4. e), por no haber existido beneficios, argumentando lo siguiente (Fundamento Jurídico tercero): “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. (El subrayado es de la AEPD) También la SAN de 31/03/2017 (Rec. 845/2015), que desestimó el recurso interpuesto por la entidad sancionada por la AEPD, en su fundamentación jurídica ratifica la aplicación de esta circunstancia en calidad de agravante e indica: “En cuanto a la ausencia de beneficios, circunstancia prevista en el apartado
  13. e)del artículo 45.4, tampoco puede aceptarse; la propia operadora de telefonía ha señalado que se cargaron en la cuenta del denunciante dos facturas por importe conjunto de 45,22 euros, por un servicio que ha quedado acreditado no había sido contratado y, además, sin que tal abono pueda considerarse la existencia de un consentimiento tácito cuando ha quedado acreditado no haber adoptado la diligencia exigida en la Contratación.” Razonamiento que es perfectamente extrapolable al asunto que nos ocupa. Por lo que respecta a la circunstancia del artículo 45.4.
  14. i)LOPD, se mantiene el criterio de la propuesta de resolución -toda vez que el argumento que la denunciada esgrime en su escrito de alegaciones no puede prosperar por ser incompatible con los presupuestos de esta resolución- en el que se señalaba lo siguiente: Tampoco cabe apreciar como atenuante el artículo 45.4.
  15. i)LOPD. En el supuesto examinado la empresa distribuidora de ENDESA, que celebra presencialmente contrato en nombre de esa entidad, ha aportado la copia de un DNI que su cliente había facilitado varios meses antes. Se añade a lo expuesto dos circunstancias que no permiten afirmar que el protocolo de ENDESA en este tipo de contrataciones sea tal que justifique la atenuante invocada: El distribuidor tiene acceso a la base de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 clientes de ENDESA y, exclusivamente en este tipo de contrataciones, no se ha implementado medida alguna (llamada telefónica de confirmación) para confirmar el consentimiento otorgado. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente caso se aprecia la concurrencia de la atenuante cualificada del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 artículo 45.5
  31. b)LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. En tal sentido se toma en consideración que ENDESA en su respuesta al requerimiento informativo de la Inspección de Datos de octubre de 2017 remitió una impresión de pantalla sobre la “refacturación” al denunciante y sobre la eliminación del concepto facturado referente al servicio de mantenimiento OK LUZ. La documentación aportada evidencia que ENDESA emitió a la denunciante por el servicio objeto de la controversia una única factura y que su importe fue reintegrado a la denunciante. Esta conducta que se ajusta al criterio fijado por la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, a tenor de la cual sólo puede hablarse de reacción diligente cuando la entidad infractora procede, con la primera noticia que tiene sobre la posible existencia de una irregularidad en su actuación, a poner fin a la situación irregular provocada. El efecto jurídico que deriva de la aplicación del artículo 45.5 LOPD es la imposición de la sanción con arreglo a la escala que precede inmediatamente en gravedad a aquella en la que se integra la considerada en el presente caso. Por ello, siendo la vulneración del artículo 6.1 LOPD una infracción grave, habrá de acudirse a la escala de sanciones prevista para las infracciones leves en el artículo 45.1 LOPD: de 900 euros a 40.000 euros. Por otra parte, a efectos de graduar la cuantía de la sanción, se toma en consideración que a la luz de la documentación aportada por ENDESA en el trámite de alegaciones al acuerdo de inicio el servicio OK LUZ contratado a nombre de la denunciante estuvo activo quince días, pues figura de baja en fecha 15/06/2017. En la determinación del importe de la sanción se aprecia la concurrencia en calidad de agravantes de las circunstancias descritas en el artículo 45.4 de la LOPD que se detallan: - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,). La actividad empresarial de ENDESA, por su propia naturaleza, lleva implícita el tratamiento de datos de carácter personal lo que le obliga a extremar la diligencia en el cumplimiento de la normativa de protección de datos. - “El volumen de negocio o actividad del infractor” (apartado d,). Basta señalar sobre este particular que es un hecho notorio, por lo que no precisa prueba, que ENDESA tiene la condición de gran empresa del sector en el que opera. - “La reincidencia por comisión de infracciones de la misma naturaleza”, apartado g): Precepto que ha de integrarse con la norma del artículo 29.3. d, de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. Citamos a estos efectos las resoluciones dictadas en los procedimientos sancionadores PS 426/2017 -firmada por la Directora de la AEPD el 11/01/2018- y PS 480/2017 -firmada el 01/02/2018-. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 Habida cuenta de que se aprecia la concurrencia de la circunstancia del artículo 45.5.
  32. b)LOPD, que no se aprecian atenuantes contempladas en el artículo 45.4 LOPD y que se estiman como agravantes las circunstancias de los apartados c),
  33. d)y
  34. g)del artículo 45.4 LOPD, se acuerda imponer a ENDESA ENERGÍA, S.A.U., una sanción de 24.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA, S.A.U., con NIF A81948077, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b), una multa de 24.000 € (veinticuatro mil euros), de conformidad con lo establecido los artículos 45.1 45.5.
  35. b)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  36. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  37. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.