← España

PS-00132-2018

1/15 Procedimiento Nº PS/00132/2018 RESOLUCIÓN: R/01397/2018 En el procedimiento sancionador PS/00132/2018, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA XXI, S.L.U., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 13/11/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que ENDESA ENERGÍA, XXI, S.L.U., (en lo sucesivo, ENDESA o la denunciada) ha tratado sus datos personales sin su consentimiento pues ha dado de alta a su nombre un contrato de gas cuyo punto de suministro está ubicado en ***DIRECCION.1, vivienda en la que nunca ha residido ni es de su propiedad. Aporta con su denuncia copia, entre otros, de los documentos siguientes: -Denuncia presentada en la Policía el 27/12/2016 que versa sobre el extravío o sustracción ocurrida en la vía pública, en ***LOCALIDAD.1, el 26/12/2016, de, entre otros, los siguientes efectos: El DNI y una tarjeta de crédito de la entidad Banco Popular. El domicilio del denunciante que consta en la denuncia policial es ***DIRECCION.2. -Denuncia presentada en la Policía el 26/06/2017 en la que expone que el 03/01/2017 ENDESA le ha remitido a su antiguo domicilio de ***DIRECCION.2 una carta adjuntando contrato de suministro de gas y luz para un punto de suministro ubicado en ***DIRECCION.1, en el que nunca ha residido. -Carta con el anagrama de ENDESA que lleva fecha de 03/01/2017 dirigida al denunciante a la dirección de ***DIRECCION.2. Consta la referencia contrato ***CONTRATO.3. A través de este escrito le confirman la modificación realizada en su contrato de Gas con ENDESA. Le remiten copia escrita del contrato en el que figuran los datos del denunciante relativos a su nombre, apellidos y NIF y los datos del punto de suministro. El documento tiene fecha de 28/12/2016 y no está firmado por el cliente. En el reverso de este documento se incluyen las condiciones generales del contrato. -Varios email remitidos por facturación@abinitio.es y enviados a la dirección ***EMAIL.2 -la dirección de correo que figura en el contrato asociada al denunciante es otra, ***EMAIL.3- en los que le requieren el pago de facturas pendientes: Mensajes de fecha 09/5/2017, requiriendo una deuda de 57,22 euros; de fecha 07/06/2017 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 reclamando una deuda de 46,08 euros y de 13/06/2017 por una deuda de 339,01 euros. -Dos email remitidos por respuestasolicitudes@enel.com enviados a la dirección ***EMAIL.2 de fechas 24/05/2017 y 22/06/2017. En ambos correos, que van dirigidos al denunciante y llevan impresa la dirección del punto de suministro (***DIRECCION.1) le comunican que analizada la reclamación relativa a su disconformidad con los datos identificativos de su contrato, se ha constatado que la titularidad del contrato es correcta. -Dos recibos de La Caixa sobre los pagos efectuados con éxito siendo el medio de pago “Tarjeta” y el Concepto de pago “Recibo ENDESA ENERGÍA, S.A.U.” Los pagos se hicieron en fecha 24/05/2017 por importe de 57,22 euros y en fecha 08/06/2017 por importe de 46,08 euros. -Dos cartas de ENDESA a nombre del denunciante y dirigidas a su domicilio actual (***DIRECCION.3) de fechas 15/06/2017 y 27/07/2017: En la primera le comunican la existencia de una deuda pendiente por importe de 7,04 euros y le informan de que dispone de 15 días para atender el pago pudiendo, en caso de no abonar la deuda en el citado plazo, proceder a incluir sus datos en ficheros de solvencia patrimonial. En la segunda (de fecha 27/07/2017) responden a la reclamación formulada por el denunciante ante el Servicio Provincial de Ciudadanía y Derechos Sociales. Le comunican que “…la contratación efectuada telefónicamente el 27/12/2016 es considerada correcta ya que todos los datos personales solicitados en el momento de la contratación fueron facilitados por el comunicante, que en todo momento aseguró ser usted”. Añaden que el contrato se dio de alta el 28/12/2016 y causó baja el 05/05/2017 quedando pendiente el pago de facturas por importes de 122,26 euros y 216,75 euros. -Copia de cuatro facturas de ENDESA gas emitidas el 04/01/2017,24/04/2017,23/05/20 y 24/05/2017. En todas consta como titular el denunciante y como dirección de envío y del punto de suministro la precitada de ***DIRECCION.1. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a ENDESA ENERGÍA XXI, S.L.U., teniendo conocimiento los siguientes extremos que se detallan en el Informe de Actuaciones de Investigación: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Entre los días 15/01/2018 y el 18/01/2018, tienen entrada escritos presentados en nombre de ENDESA ENERGÍA XXI, S.L.U. en contestación a requerimiento de información. Y se anexa, entre otra, la siguiente información: 1 Contrato, fechado el 01/08/2013 y con apariencia de firma en todas sus páginas, de prestación de servicios entre ENDESA OPERACIONES Y SERVICIOS COMERCIALES, S.L. y EMERGIA CUSTOMER CARE COLOMBIA S.A.S. para, entre otros, el servicio de gestión completa de llamadas para el CAT de ENDESA. 2 Se aporta grabación en la que se realizó la modificación del contrato a raíz del cual se presentó la denuncia. En dicha grabación constan la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 a. En la primera parte de la grabación (en la que no se le indica al usuario que está siendo grabado), el usuario solicita lo siguiente: Cambio de titular de un contrato de gas y de luz que estaba a nombre de (según ha entendido este inspector –la grabación no permite escucharlo con claridad-) B.B.B. en ***DIRECCION.1. Del nuevo titular (que es el denunciante) se facilitan los siguientes datos: nombre y apellido (A.A.A.) y DNI (***DNI.1) y el siguiente IBAN: ESXX XXXX XXXX XXXX XXXX XXXX y correo: ***EMAIL.1 ***TELEFONO.1. El envío de las facturas se indica que se envíen al mismo punto del suministro (***DIRECCION.1) b. En la segunda parte: Lectura del texto legal (a partir del minuto 19:24): Se advierte de que se va a grabar la conversación y él está de acuerdo. Fecha 27/12/2016, A.A.A., con DNI ***DNI.1 solicita el cambio de titularidad del contrato de electricidad ***CONTRATO.1 correspondiente a ***DIRECCION.1 y domiciliado en la cuenta ESXX XXXX XXXX XXXX XXXX XXXX. También se confirma el cambio de titularidad del contrato de gas número ***CONTRATO.2, confirmando los mismos datos de titularidad y domiciliación. Y se informa de que recibirá una copia del contrato próximamente. 3 En el escrito se manifiesta que las llamadas se almacenan en un sistema denominado NICE, que garantiza la autenticidad, integridad y trazabilidad de las llamadas a través de un código único para las llamadas, de que sólo se pueda acceder a las grabaciones mediante usuarios que tengan autorización para ello y mediante el uso de un códec propietario de NICE que impide que las grabaciones puedan ser escuchadas o manipuladas fuera del entorno NICE (aunque lo han enviado en un formato compatible con el Reproductor de Windows Media). 4 Pantalla con los datos del denunciante presentes en los sistemas de ENDESA ENERGÍA XXI, S.L.U., en los que se observan un correo electrónico y un teléfono móvil distintos de los aportados en la llamada telefónica en la que se realizó la modificación del contrato. 5 Pantalla con los datos del contrato de GAS del mismo CUPS que aparecía en las facturas presentadas por el denunciante, en el que aparecen el 28/12/2016 como fecha de alta y el 05/05/2017 como fecha de baja. 6 Se manifiesta que el contrato a raíz del cual se presenta la denuncia tiene pendiente de pago una cantidad total de 339,35 €, correspondientes a dos facturas; y que existen otras dos facturas, por valor de 11,86 € y 9,33 €, correspondientes a ese contrato (la primera y la cuarta factura) que sí fueron abonadas. 7 Se manifiesta que el denunciante no ha sido incluido en ficheros de morosidad. Para apoyar esta manifestación, se aporta impresión de una pantalla de una aplicación de EXPERIAN en la que se realiza una búsqueda de “Bajas Online” por el NIF del denunciante en el fichero BADEXCUG, obteniendo el siguiente resultado: “No se han encontrado operaciones”.>> TERCERO: Con fecha 23/05/2018 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA ENERGÍA XXI, S.L.U., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Obra en el expediente el documento que confirma que ENDESA recibió la notificación del acuerdo de inicio en fecha 24/05/2018. El documento, que está firmado digitalmente y procede de la aplicación denominada Carpeta Ciudadana, certifica “el acceso, en calidad de titular y a fecha 24/05/2018, a la notificación con concepto ESCRITO remitida por la Agencia Española de Protección de Datos el día 23/05/2018”. Consta como número de registro 2018016497414 y la fecha 24/05/2018 08:24:11. QUINTO: El acuerdo de inicio del expediente sancionador que nos ocupa, PS/132/2018, notificado a ENDESA el 24/05/2018, contenía las siguientes previsiones en su parte dispositiva: El punto 3 alude al acuerdo de incorporar al expediente sancionador, a efectos probatorios, “la denuncia interpuesta y documentación, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones previas, así como el Informe de Actuaciones de Investigación Previa; documentos todos ellos que integran el expediente E/06931/2017.” El punto 5 alude al acuerdo de notificar el inicio del procedimiento sancionador a ENDESA ENERGÍA XXI, S.L., informándole expresamente de su derecho a formular alegaciones en el procedimiento y “otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes,..” El párrafo segundo del punto 5 indicó lo siguiente: “Asimismo, de conformidad con los artículos 64.2.
  2. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución”. (El subrayado es de la Agencia) SEXTO: Con fecha 18/10/2018 -transcurridos casi cinco meses desde la fecha en la que la AEPD notificó a la denunciada el acuerdo de inicio del expediente sancionador, exactamente cuatro meses y veinticuatro días- tiene entrada en el Registro de este organismo un escrito de ENDESA mediante el que formula alegaciones y aporta dos documentos invocando a tal efecto el artículo 53.1.
  3. e)y 76.1 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) Uno de los documentos es la copia de la escritura notarial de apoderamiento otorgado por ENDESA a favor de varios Letrados, entre ellos quien interviene en el procedimiento que nos ocupa en nombre de la entidad. El documento 2 es un CD con una grabación. Es exactamente la misma grabación que ENDESA facilitó a la Inspección de Datos en respuesta al requerimiento que le hizo en fecha 12/12/2017. El escrito de ENDESA respondiendo al requerimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 informativo de la Inspección tuvo entrada en el registro de la AEPD el 15/01/2018, y aportó como documentación adjunta a él, entre otra, el mencionado CD, que identificó entonces como documento número 9 (obra al folio 156 del expediente administrativo) En el escrito que ENDESA ha presentado en la AEPD el 18/10/2018, con carácter preliminar, reconoce que efectivamente en fecha 24/05/2018 la Agencia le remitió el acuerdo de inicio y que en esa fecha fue recibido en el Registro del Grupo ENDESA. Añade que por las circunstancias que relata no tuvo acceso al acuerdo de inicio ni, por tanto, posibilidad de formular alegaciones en el plazo otorgado para ello. En tal sentido detalla que el Grupo ENDESA, al que pertenece la denunciada, ENDESA ENERGÍA XXI, tiene externalizado el servicio de recepción y reparto de notificaciones provenientes de Administraciones u Órganos Judiciales (departamento denominado “Registro) a través de un proveedor externo, la empresa Grupo Sifu. Indica que el “24/05/2018, día en que se notificó y descargó el referido Acuerdo” “por un error totalmente ajeno a mi representada” el citado acuerdo no fue remitido a la Asesoría Jurídica por lo que no tuvo conocimiento de la incoación del procedimiento y no pudo tampoco formular alegaciones. Completa sus explicaciones indicando que “hasta el día 2 de octubre” no ha tenido acceso a este acto administrativo. Al margen de la cuestión preliminar y centrándose en los hechos objeto de la denuncia, ENDESA solicita que se proceda al archivo del procedimiento, por ausencia de antijuridicidad en la conducta presuntamente infractora y por ausencia del elemento subjetivo de la infracción y, subsidiariamente, una reducción “sustancial de la sanción propuesta”. Aduce en defensa de sus pretensiones los argumentos siguientes: 1. Respecto a los hechos: Subraya la circunstancia de que el denunciante hubiera extraviado la cartera que contenía no sólo el DNI sino también una tarjeta de crédito/débito de Banco Popular. Destaca que, como informó a la Inspección de Datos, de las cuatro facturas que se emitieron a nombre del denunciante, se abonaron la primera y la cuarta. Y añade que este conjunto de elementos fue suficiente para dotar de una apariencia de veracidad la contratación efectuada a nombre del denunciante. 2. Alega que está ausente el elemento subjetivo de la infracción. Declara que la AEPD en procedimientos anteriores ha entendido que no cabe considerar que el responsable del tratamiento haya obrado con dolo o negligencia al dar de alta la contratación siempre y cuando se aporte la grabación que verifique dicho acto. Menciona en tal sentido la Resolución dictada por la AEPD el 17/03/2016. Cita también la SAN de 20/02/2018(Rec. 368/2016) Insiste en que, en el supuesto que nos ocupa, ENDESA no sólo conservó y aportó a la AEPD la grabación de la contratación efectuada a nombre del denunciante, sino que se llegaron a pagar dos facturas, lo que reforzó la apariencia de veracidad. Concluye que de ningún modo está presente el elemento subjetivo de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 culpabilidad sin el cual no nace responsabilidad sancionadora. 3. Subsidiariamente, para el caso de no atender la pretensión principal, el archivo del expediente, solicita la aplicación del artículo 45.5.
  4. a)LOPD en relación con las atenuantes descritas en los apartados
  5. f)y
  6. j)del artículo 45.4 LOPD. HECHOS PROBADOS PRIMERO: Obran en el expediente, aportadas por el denunciante, cuatro facturas expedidas por ENDESA, correspondientes al suministro de luz y gas, en las que constan el nombre, dos apellidos y NIF del denunciante en el aparatado destinado a los datos del titular del contrato. El punto de suministro está radicado en ***DIRECCION.1 (Folios 5 a 12) SEGUNDO: Obran en el expediente, aportadas por el denunciante, copia de dos denuncias que presentó en la Comisaría de Policía de ***LOCALIDAD.1: - En la primera de ellas, de fecha 27/12/2016, denuncia el “extravío o sustracción” de diversos efectos, entre otros, su DNI y su tarjeta de crédito/débito del Banco Popular. (Folios 13 y 14) - En la segunda, de fecha 26/06/2017, el denunciante manifiesta que, en fecha 03/01/2017, recibió en el que era hasta unos meses antes su domicilio, radicado en ***DIRECCION.2, una carta de ENDESA adjuntando un contrato de suministro de luz y gas en un domicilio sito en ***DIRECCION.1 en el que nunca ha residido. Expone también que ha recibido diversos requerimientos de ABINITIO reclamándole el pago, en nombre de ENDESA, de facturas pendientes correspondientes todas ellas al suministro de la finca de ***DIRECCION.1. TERCERO: Obra en el expediente, recabado por la Inspección de Datos, un CD facilitado por ENDESA que contiene una grabación de la conversación telefónica mantenida entre la entidad y quien se identifica con el nombre, apellidos y NIF del denunciante, en la que éste solicita un cambio de titularidad de los contratos de luz y gas del punto de suministro correspondiente a ***DIRECCION.1. CUARTO: La grabación, de 23´ 22´´ de duración, contiene dos partes. En la primera el trabajador de ENDESA, identificado como C.C.C., pregunta a su interlocutor en qué puede ayudarle. El interlocutor (el cliente) le comunica que desea cambiar la titularidad de los contratos de luz y gas. Se recaban los datos personales del cliente, NIF, nombre y dos apellidos (datos que pertenecen al denunciante); la dirección del punto de suministro (***DIRECCION.1) y el nombre de la persona que figura como titular: B.B.B.. Más adelante se interroga al cliente si tiene algún otro contrato con ENDESA, se le pide que facilite los datos bancarios de domiciliación del pago de facturas y se rectifica el email. En la segunda parte de la grabación tras leer un texto legal e informarle de que la conversación va a ser grabada se confirma el cambio de titularidad y los datos facilitados. QUINTO: La grabación no hace referencia en ningún momento ni al consentimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 D.D.D. para llevar a cabo el cambio de titularidad de los contratos a su nombre ni a que el nuevo titular actúa en ese acto con el consentimiento de esta persona. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. II La Ley 39/2015, del Procedimiento Administrativo Administraciones Públicas (LPACAP) dispone en su artículo 64.2: Común de las “El acuerdo de iniciación deberá contener al menos: (…)
  8. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El subrayado es de la AEPD) El artículo 73.1, de la LPACAP establece que “1.Los trámites que deban ser cumplimentados por los interesados deberán realizarse en el plazo de diez días a partir del siguiente al de la notificación del correspondiente acto, salvo que en el caso de que en la norma correspondiente se fije plazo distinto”. Corresponde seguidamente hacer estas consideraciones: I. ENDESA no sólo no formuló alegaciones al acuerdo de inicio en el plazo de diez días hábiles que establece el artículo 73.1 LPACAP y que le fue expresamente concedido en dicho acuerdo, sino que su primer escrito ha tenido entrada en esta Agencia el 18/10/2018 transcurridos casi cinco meses de los seis de duración máxima del procedimiento. II. El acuerdo de inicio contenía un pronunciamiento claro y preciso sobre la responsabilidad de ENDESA. (
  9. i)Los documentos recabados durante las actuaciones de investigación previa por la Inspección de Datos ofrecían pruebas suficientes para acreditar la infracción imputada en el acuerdo de inicio. Por otra parte, de estos documentos, uno de ellos -la grabación de la conversación telefónica en la que quien se identifica con los datos del denunciante hace un cambio de titularidad en el contrato de gas con ENDESA- es idéntico al único documento que la denunciada ha aportado a la Agencia con su aludido escrito de 18/10/2018. (
  10. ii)La conducta en la que se materializa la infracción del principio del consentimiento de la que ENDESA es responsable quedó claramente delimitada en el acuerdo de inicio del expediente: El Fundamento de Derecho II del citado acuerdo, párrafo segundo, decía: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 <<Sin embargo, a tenor de la documentación que obra en el expediente, se aprecia que ENDESA se ha limitado a cambiar de titular a requerimiento del llamante, sin comprobar si el titular original del contrato (D.ª D.D.D.) consiente la modificación efectuada ni la titularidad de otros datos, como la cuenta bancaria de domiciliación de los recibos. Todo ello evidencia una falta absoluta de la diligencia que está obligada a observar en la contratación a fin de dar cumplimiento a las obligaciones que le impone la normativa de protección de datos de carácter personal. >> (iii) El acuerdo de inicio fijó, a la luz de la documentación que obraba en el expediente – documentación que es la misma que consta en la actualidad toda vez que la única prueba documental aportada por ENDESA con su reciente escrito de 18/10/2018 es un CD idéntico al que había facilitado a la Inspección en las actuaciones previas- las circunstancias modificativas de la responsabilidad que se estimaban concurrentes y en atención a las cuales se fijó una sanción de 70.000 euros. III. En consideración a lo expuesto y visto el tiempo transcurrido sin que se hubieran formulado las alegaciones al acuerdo de inicio, esta Agencia había tomado la decisión de dictar resolución sancionadora directa, al amparo de la previsión del ya citado artículo 64.2.
  11. f)LPACAP. Cabe citar al hilo de lo anterior un detalle que la representación de ENDESA ha omitido en su prolija explicación sobre las circunstancias que le han impedido conocer hasta el 2 de octubre que existía un acuerdo de inicio de expediente sancionador. Lo que le lleva a investigar ante su organización y ante la empresa que gestiona el “Registro” la existencia de una notificación de la AEPD que no llegó a la Asesoría Jurídica fue la pregunta formulada a esa Letrada con ocasión acudir a esta Agencia a recoger documentación de otro expediente sobre cuál era la razón por la que habían decidido no formular alegaciones. IV. Tomando en consideración que tal y como se expone en los punto I y II precedentes, en el supuesto que nos ocupa concurrían todas las condiciones objetivas que la LPACAP exige para poder formular directamente una resolución, y visto que el escrito presentado por ENDESA ha sido debidamente analizado, que en él no se formula petición de prueba alguna y de que el único documento aportado ya obraba en el expediente recabado por la Inspección de esta Agencia (el otro, es un poder notarial de ENDESA a su Letrado), se estima ajustado a Derecho aplicar la previsión del artículo 64.2.
  12. f)de la LPACAP sin que ello implique infracción del procedimiento legalmente previsto ni menoscabo del derecho de defensa amparado por nuestra Constitución. III El artículo 6 LOPD, bajo la rúbrica “Consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal (…) se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; ..” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 El precepto debe integrarse con la definición que la LOPD ofrece en su artículo 3, apartado
  13. c)de “tratamiento de datos”: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. El principio del consentimiento o autodeterminación recogido en el artículo 6 LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos e implica la necesidad de recabar del afectado su consentimiento inequívoco para que sus datos personales puedan ser objeto de tratamiento. A través del consentimiento al tratamiento de sus datos personales el titular ejerce de forma efectiva el poder de control y de disposición sobre ellos. En esa línea el Tribunal Constitucional, en su STC 292/2000, de 30 de noviembre (Fundamento Jurídico 7), señala que “(…)Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD tipifica como infracción grave, en el artículo 44.3.b, la vulneración del principio del consentimiento, precepto que dispone: “Son infracciones graves: (…) “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV Se atribuye a ENDESA en el presente expediente sancionador una infracción del principio del consentimiento, artículo 6.1 LOPD. A. En el acuerdo de inicio del procedimiento sancionador, cuyo Antecedente segundo detalla el resultado de la investigación previa, se constata que obraba en el expediente, aportado por ENDESA, un CD con una grabación de la conversación telefónica mantenida entre el trabajador de ENDESA y quien facilitó como propios los datos personales del denunciante (nombre, dos apellidos y NIF) y, como tal, solicitó un cambio de titularidad a su nombre de un contrato que una tercera persona tenía suscrito con la compañía. La titular del contrato correspondiente al punto de suministro de ***DIRECCION.1, era D.ª D.D.D.. Como conoce bien ENDESA esta Agencia, respetuosa con el principio de culpabilidad y de acuerdo con la doctrina de la Audiencia Nacional, viene manteniendo que cuando el tratamiento de datos de un tercero se efectúa habiendo observado el responsable del tratamiento la diligencia que es exigible, atendidas las circunstancias que concurren, no se origina ninguna responsabilidad sancionadora. El nacimiento de responsabilidad sancionadora presupone la existencia de culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor, esto, porque las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición (STC 76/1999) En congruencia con lo expuesto se ha considerado que cuando el tratamiento de los datos tiene lugar con ocasión de una contratación en la que un tercero suplanta la identidad del afectado, si la contratación se celebra telefónicamente es, con carácter general, suficiente para entender desplegada la diligencia mínima exigible que se aporte una grabación de la conversación telefónica mantenida entre la compañía que trata los datos y la persona que otorga el consentimiento a la contratación y facilita como suyos los datos personales del afectado. Así pues, resultaba evidente que la infracción imputada a ENDESA en el acuerdo de inicio no estaba relacionada con el tratamiento de los datos personales del denunciante sino con los de la persona que figuraba en los registros de ENDESA como titular del punto de suministro de ***DIRECCION.1: los datos de D.D.D.. Muy claramente en el Fundamento II del citado acuerdo se decía: <<Sin embargo, a tenor de la documentación que obra en el expediente, se aprecia que ENDESA se ha limitado a cambiar de titular a requerimiento del llamante, sin comprobar si el titular original del contrato (D.ª D.D.D.) consiente la modificación efectuada ni la titularidad de otros datos, como la cuenta bancaria de domiciliación de los recibos. Todo ello evidencia una falta absoluta de la diligencia que está obligada a observar en la contratación a fin de dar cumplimiento a las obligaciones que le impone la normativa de protección de datos de carácter personal. > B. A tenor del artículo 3.
  14. c)LOPD son un tratamiento de datos las operaciones y procedimientos, sean o no automatizados, que permitan “modificar” o “cancelar” datos personales. La conversación grabada en el CD que obra en el expediente evidencia que los datos de D.D.D. figuraban en los ficheros de ENDESA como titular de los contratos de suministro de gas y luz para la vivienda ubicada en la precitada ***DIRECCION.1. Asimismo, se evidencia a la luz de esa grabación, que ENDESA no sólo no exige, sino que ni siquiera hace alusión a ello, que la anterior titular consienta el tratamiento de sus datos que está implícito en el cambio de titularidad que se gestiona. Ni tan siquiera se interroga al nuevo titular acerca de si actúa con el conocimiento y autorización de la titular precedente. La actuación de ENDESA evidencia además que carece de un protocolo de actuación acorde con un tratamiento de datos personales ajustado a las previsiones de la LOPD y norma de desarrollo. Se pone de este modo de manifiesto la absoluta falta de diligencia observada por la entidad con ocasión del cambio de titularidad de dos contratos en el que procedió a tratar los datos personales de su hasta entonces clienta sin recabar su consentimiento ni obtener indicio alguno sobre cuál podría ser su voluntad. Sobre el principio de culpabilidad en el marco del procedimiento sancionador (al que expresamente se refiere la Ley 40/2015 en su artículo 28) resultan muy esclarecedoras las consideraciones que ofrece la SAN de 30/05/2015 (Rec. 163/2014) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 con relación al modo de atribución de la responsabilidad a las personas jurídicas. En el Fundamento de Derecho segundo, después de recordar que la responsabilidad puede ser exigida a título de dolo o culpa, comprendiendo esta última la imprudencia, negligencia o ignorancia inexcusable, y desterrando en todo caso la responsabilidad objetiva, dice: <<No obstante, el modo de atribución de la responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>> La SAN precitada conecta la reprochabilidad, a una persona jurídica de una determinada conducta, con el hecho de que aquella hubiera o no dispensado una eficaz protección al bien jurídico protegido por la norma. La conducta descrita vulnera el principio del consentimiento, artículo 6.1 LOPD, siendo subsumible en el tipo infractor del artículo 44.3.
  15. b)de la citada norma V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el presente caso, a tenor de los hechos declarados probados, no se estima la concurrencia de ninguna de las circunstancias descritas en el artículo 45.5 LOPD, por lo que en la graduación de la sanción a imponer se toman en consideración, exclusivamente, las contempladas en el artículo 45.4 LOPD. Se estima que la sanción a imponer ha de graduarse de acuerdo con los siguientes criterios del articulo 45.4 LOPD: -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c). La actividad empresarial de ENDESA, por su propia naturaleza, exige un continuo tratamiento de datos personales de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006), exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. - “El volumen de negocio o actividad del infractor” (apartado d). Señalar a este respecto que es un hecho notorio, sobre el que no es necesaria prueba, que ENDESA tiene la condición de gran empresa dentro del sector en el que desarrolla su actividad empresarial. - “El grado de intencionalidad” (apartado,
  31. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Se aprecia en este caso una muy grave falta de diligencia de ENDESA que no ha acreditado tener previsto un protocolo de actuación en los cambios de titularidad de los contratos que recabe de algún modo el consentimiento para el tratamiento de los datos de quien hasta entonces figura como cliente suyo y titular del contrato. - “La reincidencia por comisión de infracciones de la misma naturaleza” (apartado g). Precepto que ha de integrarse con la norma del artículo 29.3. d, de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. Al hilo de lo anterior indicar que ENDESA ha sido sancionada por infracción del artículo 6.1 LOPD, entre otras ocasiones, en las resoluciones dictadas en los PS/480/2017 y PS/416/2017. Todas ellas firmes en vía administrativa. En consideración a lo expuesto, en tanto no se estima aplicable la atenuante cualificada del artículo 45.5 LOPD y dado que concurren como agravantes las circunstancias de los apartados c, d, f y g, del artículo 45.4 LOPD, se acuerda imponer por la infracción del artículo 6.1 LOPD una sanción de 60.000 euros, cuantía próxima al mínimo previsto en el artículo 45.2 para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 PRIMERO: IMPONER a la entidad ENDESA ENERGÍA XXI, S.L.U., con NIF B82846825, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de la LOPD, una multa de 60.000 euros (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA XXI, S.L.U., TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  32. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  33. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.