← España

PS-00119-2018

1/8 Procedimiento Nº: PS/00119/2018 RESOLUCIÓN R/00821/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00119/2018, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA XXI, S.L.U., vista la denuncia presentada por F.F.F., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 5 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ENDESA ENERGÍA XXI, S.L.U., mediante el Acuerdo que se transcribe: << ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ENDESA ENERGÍA XXI, S.L.U. en virtud de denuncia presentada ante la misma por D. F.F.F., y en base a los siguientes, HECHOS PRIMERO: Con fechas 07/06/2017, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito presentado por D. F.F.F. (en lo sucesivo el denunciante), en el que formula denuncia contra la entidad ENDESA ENERGÍA XXI, S.A.U. (en lo sucesivo ENDESA ENERGÍA XXI) por haber asociado su contrato de suministro de electricidad a una tercera persona, D. C.C.C. (en lo sucesivo el tercero), la cual pudo acceder a su información a través de la web de la entidad. En la denuncia se pone de manifiesto que detectó esa incidencia el 24/10/2016 y que, en la misma fecha formuló una reclamación ante ENDESA ENERGÍA XXI, siendo informado, también en dicha fecha, que la incidencia estaba subsanada. Añade que posteriormente, esta tercera persona le comunicó, mediante correo electrónico de 15/05/2017, que continuaba accediendo a su información a través de la web. Según el denunciante, en la fecha en que presentó su denuncia la situación no estaba regularizada, a pesar de haber contactado con la citada entidad en múltiples ocasiones. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las actuaciones siguientes: 1. Sobre el fichero de clientes de ENDESA ENERGÍA XXI se realizaron las siguientes comprobaciones: 1. Se solicitó acceso a los datos del denunciante, verificándose que tiene asociados dos contratos:  Contrato J.J.J. con fecha de alta 11/06/2012, fecha de baja 25/05/2017 y dirección de suministro “ B.B.B.”. La cuenta bancaria asociada a este contrato es ***CUENTA.1 y el titular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 de la cuenta es el propio denunciante.  Contrato I.I.I. con fecha de alta 13/01/1977, fecha de baja por cambio de titular el 17/06/2016 y dirección de suministro “ D.D.D.”. La cuenta bancaria asociada a este contrato, dada de alta el 13/01/1977, es ***CUENTA.2 y el titular de la cuenta es también el denunciante. Con fecha 17/06/2016 se realizó un cambio de titularidad a nombre del tercero. 2. Se solicitó acceso a los contactos y reclamaciones del denunciante, verificándose la siguiente información:  Con fecha 24/10/2016 se recibió un correo electrónico en el que informa a la entidad denunciada que sus facturas están llegando al tercero y que se están realizando cargos en una cuenta de la que éste es titular. En esta reclamación, el denunciante señala expresamente lo siguiente: “Mis facturas con toda la información que va en ellas, está llegando a otra persona que no tiene que ver nada conmigo ni con mi contrato, por tanto están ustedes vulnerando mi seguridad por incumpliendo de la ley de protección de datos. A Don C.C.C. le están llegando mis facturas en su apartado de Ml ENDESA/FACTURAS. Solicito urgentemente la retirada de estas facturas de la cuenta de Ml ENDESA de su cliente C.C.C., así como cualquier otra información que me relacione con él. Por otra parte a C.C.C., le están llegando cargos a su banco de conceptos en los que soy titular, no teniendo ninguna relación con esta persona, ni con el local del contrato de suministro eléctrico. Adjunto documentos justificativos que acreditan el incumplimiento de esta ley. 1.- Factura mía que recibe C.C.C. 2.- Comunicado del banco de C.C.C. en el que figura mi nombre como titular del contrato En caso de no solucionar estos errores urgentemente, cursaré denuncia contra su compañía ENDESA por incumplimiento de la ley de protección de datos”. Y a continuación cita los artículos 9 y 10 de la LOPD. Las actuaciones realizadas por la entidad consistieron en dar de baja la cuenta del tercero asociada al contrato del denunciante en fecha 24/10/2016. A la vista de esta documentación, los representantes de ENDESA ENERGÍA XXI manifestaron que la incidencia se solucionó parcialmente, dando de baja la cuenta pero manteniendo el acceso web a los datos del denunciante.  Con fecha 18/04/2017 se recibió una nueva reclamación del denunciante en la que señala que, accediendo con su usuario “ L.L.L.” y su contraseña “ M.M.M.” verifica que su correo de acceso es G.G.G. y que sus datos están incompletos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Esta incidencia se procesa 18/05/2017 y la actuación realizada por la entidad es dar de baja al usuario G.G.G.. 3. Se solicitó acceso a los datos del tercero, verificándose que tiene asociado el contrato con número K.K.K., con fecha de alta 18/06/2016, procedente del cambio de titularidad del contrato I.I.I.. 4. Se solicitó acceso a los contactos mantenidos con el tercero, verificándose que la totalidad de ellos son relativos a temas de facturación. 5. Se solicitó acceso al sistema de información que gestiona los usuarios web, obteniéndose la siguiente información: El correo electrónico G.G.G., fue dado de alta en fecha 11/10/2013 asociada al DNI del denunciante. Posteriormente figura una nueva alta de este correo, en fecha 28/07/2017. Esta alta se produjo después del cambio de titularidad del contrato I.I.I. y está asociada al DNI N.N.N., distinto al del denunciante. El usuario H.H.H. se dio de alta en fecha 03/06/2016, asociado al DNI del denunciante. 6. Los inspectores actuantes mostraron a los representantes de la entidad el detalle de un movimiento bancario de fecha 18/10/2016, por importe de -15,38 € realizado sobre la cuenta P.P.P. a nombre del denunciante. A la vista de esta documentación, los representantes de ENDESA ENERGÍA XXI manifestaron que corresponde a una devolución de parte de una factura y que por ello se realizó a la cuenta en la que se había realizado el cargo, aunque en esa fecha la cuenta estaba dada de baja desde el 24/10/2016 y no se cobraban facturas. 7. A la vista de toda esta documentación los representantes de la entidad manifestaron que para darse de alta en el servicio web de la entidad es necesario aportar un número de contrato y un nif (información que viene en la factura) y asociarlo a una cuenta de correo electrónico. En este caso concreto, las facturas del contrato I.I.I., asociado al denunciante, se remitían a la dirección D.D.D., que es el domicilio del tercero. Posteriormente, el tercero, al darse de alta como usuario web, facilitó el número de contrato asociado al nombre y DNI del denunciante, información que como se ha indicado anteriormente se encontraba en las facturas que recibía, junto con su cuenta de correo electrónico G.G.G.. De este modo, el tercero tuvo acceso a toda la información del denunciante, hasta que fue dado de baja el usuario G.G.G. en fecha 18/05/2017 como consecuencia de una reclamación. 2. Por otra parte, en relación con la entidad ENDESA ENERGÍA XXI, los Servicios de Inspección destacaron que se trata de una gran empresa en su sector de negocio y desarrolla una actividad que requiere un tratamiento continuo de datos personales. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 PRIMERO: Sin perjuicio de lo que resulte en el procedimiento, los hechos expuestos, que resultan de haber asociado los datos personales y contratos de suministro del denunciante a un tercero, según los detalles que constan expuestos en los Antecedentes, podrían suponer la comisión por parte de ENDESA ENERGÍA XXI, S.A.U. de una infracción a lo dispuesto en el artículo 4.3 de la LOPD, según el cual “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, que considera como tal “
  2. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: Los hechos expuestos, en la medida en que se posibilitó el acceso a los datos del denunciante por parte de un tercero, también pueden suponer la comisión, por parte de ENDESA ENERGIA XXI, S.L.U., de una infracción del artículo 10 de la LOPD, que señala que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, tipificada como grave en el artículo 44.3
  3. d)de dicha norma, que considera como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” sancionable con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45 de la citada Ley Orgánica. TERCERO: Los hechos constatados, consistentes en asociar los datos del denunciante a los de un tercero, así como el acceso por parte de éste a la información relativa al denunciante, constituyen la base fáctica para fundamentar la imputación a ENDESA ENERGIA XXI, S.L.U. de las infracciones de los artículos 4.3 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, el tratamiento de datos personales del denunciante asociados a los de otro cliente deriva, a su vez, en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción prevista para la infracción del artículo 4.3 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. CUARTO: Tras las evidencias obtenidas en la fase de investigación previa, sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 45.5 LOPD, que procede aplicar la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en este caso, por la concurrencia del supuesto previsto en el punto
  4. a)de dicha artículo, según el cual: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
  5. f)y
  6. i)del artículo 45.4 de la LOPD: el grado de intencionalidad apreciado, por cuanto los hechos denunciados se producen como resultado de una falta leve de diligencia (criterio f); y la acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos (criterio i). Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave paro sancionarse conforme a las multas establecidas para las infracciones leves. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal, pues la actividad que desarrolla exige un continuo tratamiento de datos de carácter personal (criterio c); el volumen de negocio del infractor, al tratarse de una gran empresa en su sector de negocio habituada al tratamiento de datos personales (criterio d); así como el perjuicio causado al denunciante. Asimismo, se tiene en cuenta especialmente el tiempo transcurrido desde que ENDESA ENERGÍA XXI tuvo conocimiento de la incidencia sin que la misma llevase a cabo las acciones oportunas para su regularización, habiendo sido necesarias dos reclamaciones del denunciante formuladas en fechas 24/10/2016 y 18/04/2017. Ello a pesar de que en la primera de las reclamaciones el denunciante describió correctamente los hechos y advirtió que se estaba vulnerando la seguridad de sus datos personales, por cuanto la información relativa a su contratos y facturación se estaba facilitando a otro cliente tercero a través del área de clientes “Mi Endesa”. Teniendo en cuenta los criterios de graduación expresados, se determina el importe de la sanción en la cuantía de 20.000 euros por la infracción del artículo 4.3 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a la entidad ENDESA ENERGÍA XXI, S.L.U. con NIF O.O.O., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  7. c)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 2. NOMBRAR como Instructor a E.E.E., y Secretario a A.A.A. indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el/la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
  8. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
  9. b)del RLOPD, la sanción que pudiera corresponder sería de 20.000 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a la entidad ENDESA ENERGÍA XXI, S.L.U. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
  10. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
  11. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 4.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 4.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 12.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (16.000 euros o 12.000 euros), de acuerdo con lo previsto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00119/2018 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
  12. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno.>> SEGUNDO: En fecha 24/04/2018 la entidad ENDESA ENERGÍA XXI, S.L.U. ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 23/04/2018 tuvo entrada en esta Agencia escrito de la entidad ENDESA ENERGÍA XXI, S.L.U., en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la citada norma; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  13. d)e
  14. i)y 38.4 d),
  15. g)y
  16. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00119/2018, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA XXI, S.L.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.