← España

PS-00133-2018

1/25 Procedimiento Nº PS/00133/2018 RESOLUCIÓN: R/01661/2018 En el procedimiento sancionador PS/00133/2018, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA, S.A.U., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 30/05/2017 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que ENDESA ENERGÍA, S.A.U., (en lo sucesivo, ENDESA o la denunciada) ha tratado sus datos personales –entre ellos también sus datos bancarios- sin su consentimiento, toda vez que recibió en abril de 2017 dos facturas emitidas a su nombre por ENDESA, correspondientes a consumos de gas y electricidad, pese a que la empresa con la que tenía contratados estos suministros era GAS NATURAL. Anexa a su denuncia copia de los documentos siguientes: - Facturas emitidas a su nombre por ENDESA: a. De ENDESA “GAS”, de fechas 31/03/2017 (número ***FACTURA.1), por importe de 1,21 euros, y de 06/04/2017 (número ***FACTURA.2) por importe de 29,21 euros. Ambas incluyen entre los conceptos facturados, además del consumo de gas, el producto “Okgas”. La dirección de suministro es ***DIRECCION.1. b. De ENDESA “LUZ” (número ***FACTURA.3) por importe de 38,31 euros. Entre los conceptos facturados se incluyen, además del consumo eléctrico, el producto “OKluz”. La dirección de suministro es la misma que la de las facturas anteriores. - Carta que ENDESA dirigió al Instituto Galego de Consumo (Xunta de Galicia), de fecha 16/05/2017 -que lleva la referencia “***REFERENCIA.1” y el “Nº Reclamación: ***RECLAMACION.1, ***RECLAMACION.2, ***RECLAMACION.3”- mediante la que respondió a la reclamación presentada en ese organismo de consumo por el denunciante. Explica que, en ese momento, el denunciante no tiene contrato en vigor con ella y que ha procedido a revisar el proceso de contratación seguido en este caso por no cumplir sus estándares de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 calidad, habiendo cancelado todas las facturas generadas durante el tiempo de vigencia del contrato. Añade que se ha procedido a la devolución del importe cobrado por la factura ***FACTURA.4; que se ha atendido su derecho de oposición y que procederá a la cancelación y bloqueo de los datos cuando se haya cumplido el “plazo de prescripción” por posibles responsabilidades nacidas del tratamiento SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a ENDESA, teniendo conocimiento los siguientes extremos que se reflejan en el Informe de Actuaciones Previas de Inspección E/04145/2017 que parcialmente se transcribe: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN De la documentación aportada por ENDESA se obtiene la siguiente información con relevancia a los efectos de la investigación: 1. Los datos personales del denunciante –nombre, dos apellidos y NIF- figuran en los registros informáticos de la entidad. También constan en sus registros los datos de una cuenta bancaria de la que el denunciante es titular en la entidad financiera 2080. 2. El denunciante figura como titular de los siguientes contratos suscritos con ENDESA: a. El contrato de electricidad “Tempo 24horas 2.0A”, que se dio de alta el 19/03/2017 (número de contrato ***CONTRATO.1). b. El contrato “OKLUZ Asistencia Plus”, que se dio de alta el 19/03/2017 (número de contrato ***CONTRATO.2) c. El contrato de gas “Tarifa Gas Energía”, de alta el 21/03/2017 (número de contrato ***CONTRATO.3) d. El contrato “OK GAS”, de alta el 21/03/2017 (número de contrato ***CONTRATO.4) 3. En las impresiones de pantalla que aporta se deja constancia de la existencia de reclamaciones del denunciante. Cabe destacar, entre otras, las siguientes anotaciones: a. De fecha 11/05/2017, “venta incorrecta, contrato firmado por cónyuge y permanencia menos de dos meses. Todos los contratos ya están de baja b. De fecha 16/05/2017, “se envía contestación a organismo” 4. ENDESA ha remitido los siguientes documentos con el objeto de acreditar la contratación: a. Un ejemplar del “Contrato de Servicio de Asistencia” (OKLUZ Asistencia Plus), del que cabe destacar: En el apartado “Datos cliente” figura el nombre, apellidos y NIF del denunciante”. En el apartado “Datos Bancarios” y como “Titular de la cuenta” figuran exclusivamente, los datos del denunciante. En el apartado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 destinado a la firma “Cliente”, la firma de B.B.B. b. Un ejemplar del documento con la rúbrica “Tablet. Condiciones Particulares del contrato de energía y/o servicios adicionales”, del que destacamos: Como titular de los suministros de energía, electricidad y gas, aparecen los datos personales del denunciante. La última línea dice “Cónyuge/Pareja de hecho/Responsable legal” y, debajo, incluye el nombre de B.B.B. y su número de DNI. En el reverso del documento se detallan los productos contratados: el gas, la luz y los servicios de mantenimiento OKGas y OKLUZ Asistencia Plus. Al pie del documento, debajo de las rúbricas “Titular de electricidad” y “Titular de pago-luz (si distinto)” figura la firma de B.B.B.. Y más abajo la leyenda “FIRMA EL CÓNYUGE DEL TITULAR DE LUZ Y GAS”. c. Se aporta copia del DNI de B.B.B. d. Dos facturas de GAS NATURAL FENOSA en las que figura como titular el denunciante, emitidas, respectivamente, el 01/12/2016, correspondiente al suministro de gas, y el 12/02/2017, correspondiente al de electricidad. e. Se aporta un CD con la grabación de la llamada de verificación efectuada por el Distribuidor Oficial de ENDESA con motivo de la visita de un comercial. La conversación se mantuvo con quien se identificó como B.B.B., cónyuge de A.A.A.. La señora B.B.B. reconoció haber firmado los contratos de gas, mantenimiento de gas, de electricidad y de mantenimiento de electricidad y de haber facilitado al comercial los datos bancarios. 5. ENDESA declara que la contratación se efectuó a través de DISTRIBUIDOR: POSSUM 74, S.L., con NIF B70185467 y domicilio en La Coruña, calle Emilia Pardo Bazán, 29. a. Aporta el contrato marco suscrito con POSSUM, cuya estipulación 2 se ocupa de las obligaciones del prestador de servicios y de las instrucciones que la denunciada facilita al proveedor. La estipulación 9 se refiere a los documentos que ha de recabar el proveedor para acreditar la identidad del cliente b. Se aporta el documento relativo al protocolo de calidad en origen. 6. ENDESA aporta documentación relativa al expediente tramitado ante el Instituto Galego de Consumo (IGC) de Pontevedra a raíz de la reclamación formulada por el denunciante en fecha 19/04/2017. Destacan los escritos remitidos por ENDESA al IGC de fechas 16/05/2017 y 09/06/2017. 7. En la COMISIÓN NACIONAL DE LOS MERCADOS Y LA COMPETENCIA (CNMC), en virtud de la reclamación formulada por el denunciante contra ENDESA se tramitó el expediente CNS/DE/420/17. ENDESA ha aportado a este respecto únicamente el escrito con la respuesta que dio al requerimiento informativo que le hizo la CNMC.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 TERCERO: Con fecha 13/04/2018 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA ENERGÍA, S.A.U., por una presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ENDESA, mediante escrito de fecha 04/05/2018, formuló alegaciones en las que solicitó que no se impusiera sanción alguna pues en los hechos objeto de la denuncia no concurría el elemento subjetivo de la culpabilidad. Con carácter subsidiario solicitó que se procediera a una reducción sustancial de la sanción impuesta. En apoyo de sus respectivas pretensiones invocó los siguientes argumentos: La ausencia de culpabilidad de ENDESA. A ese respecto menciona que no fue esta entidad la que formalizó y verificó la contratación sino el tercero al que se lo había encomendado. Que en virtud de lo estipulado en el contrato suscrito entre ambas entidades Possum 74 estaba obligada a notificar cualquier anomalía detectada. Que no existía indicio alguno que hiciera pensar a ENDESA que la contratación no contaba con el consentimiento del titular. Y añade que “este hecho junto con la valoración de la misma documentación obrante en el presente expediente administrativo, llevaron a la Comisión Nacional de los Mercados y la Competencia … a concluir…. que se debía proceder al archivo de la reclamación por no haber quedado acreditado que haya existido una falta de consentimiento efectivo del consumidor”. Respecto a la graduación de la sanción, y para el caso de que no prospere su petición inicial, muestra su conformidad con la aplicación de la atenuante cualificada del artículo 45.5.
  2. b)LOPD. Discrepa del criterio seguido en el acuerdo de inicio que contempló como agravantes las circunstancias
  3. e)y
  4. f)del artículo 45.4 LOPD y solicita que se aprecien como atenuantes. Respecto a la primera -Los beneficios obtenidos como consecuencia de la comisión de la infracción- argumenta que la SAN que la AEPD invoca en el acuerdo de inicio (SAN 31/03/2017, Rec. 845/2015) no justifica su aplicación en calidad de agravante sino la improcedencia de que opere como atenuante, a lo que añade que ENDESA, en el presente caso, “reembolsó” “las facturas indebidamente cobradas”. Respecto a la segunda -El grado de intencionalidad- a su juicio ha quedado acreditado que la conducta en la que se materializa la infracción imputada se efectuó por la encargada de tratamiento, Possum 74, S.L., y que la documentación recabada aparentaba que se había recabado el consentimiento del titular. Solicita además la aplicación como atenuante de la circunstancia recogida en el artículo 45.4.
  5. i)QUINTO: Con fecha 16/07/2018 se abrió un período de prueba en el que se acordó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 practicar las siguientes diligencias: 1. Incorporar al procedimiento la denuncia formulada por D. A.A.A. y la documentación adjunta, así como los documentos recabados por la Inspección de Datos en el curso de las actuaciones de investigación previa. Documentos todos ellos que integran el E/04145/2017. 2. Incorporar al procedimiento las alegaciones al acuerdo de inicio formuladas por ENDESA y la documentación anexa. SEXTO: Con fecha 21/09/2018 se formuló propuesta de resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a ENDESA ENERGÍA, S.A.U., con NIF A81948077, con multa de 40.000 euros (cuarenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  6. b)de dicha norma, de conformidad con los artículos 45.1 y 45.5.
  7. b)de la citada Ley Orgánica.>> La propuesta de resolución se notificó electrónicamente a la denunciada. En fecha 24/09/2017 se puso a disposición de la entidad en la sede electrónica y fue aceptada por ENDESA en la misma fecha. SÉPTIMO: A través de escrito remitido a esta Agencia el 24/09/2018, ENDESA solicitó una ampliación del plazo para formular alegaciones por el máximo permitido legalmente y la entrega de una copia del expediente administrativo. La petición de ampliación de plazo fue denegada en escrito de fecha 25/09/2018 que resultó notificado a ENDESA el 01/10/2018. Se dio traslado a la denunciada de la copia del expediente administrativo mediante entrega a la representante de la entidad, personada en esta Agencia a tal efecto en fecha 01/10/2018, extremo del que se dejó constancia por medio de diligencia que obra en el expediente. OCTAVO: El 08/09/2017 tienen entrada en la sede electrónica de la AEPD las alegaciones a la propuesta de resolución formuladas por ENDESA. Solicita el archivo del procedimiento sancionador por ausencia de antijuridicidad en la conducta sobre la que versa la denuncia y por no concurrir tampoco el elemento subjetivo de la culpabilidad. Con carácter subsidiario solicita una reducción sustancial de la sanción propuesta. En apoyo de sus pretensiones aduce los argumentos siguientes: - Recuerda que la contratación fue tramitada por el Proveedor Possum 74 quien se encargó de su gestión limitándose ENDESA a recibir la solicitud de contratación que previamente se había formalizado por el Proveedor. Que éste ha de cumplir con motivo de la contratación de un producto de ENDESA con determinadas obligaciones. Entre ellas menciona expresamente las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 - - - - “(
  8. i)Solicitar que le exhiban la última factura de suministro y comprobar que el titular que figura en la misma coincide con el potencial cliente. (
  9. ii)Solicitar el DNI del potencial clientes para comprobar la identidad del contratante. (iii) Recabar datos que se correspondan con la realidad de la persona y asegurarse de ello cotejándolos con los datos que figuran en el Documento Nacional de Identidad o la verificación de firmas” Que el Proveedor tiene también la obligación de verificar la solicitud que tramita mediante una grabación de calidad. Que existían numerosos indicios de que la contratación, aparentemente, era válida, entre ellos el hecho de que el domicilio del punto de suministro coincidiera con el de la señora B.B.B. que consta en su DNI o que “la contratación cuestionada se formalizar facilitando los datos personales del” denunciante. Consideraciones que llevan a la entidad a hacer esta afirmación muy signficativa a los efectos que nos ocupan: “Resulta complicado creer que la supuesta contratación fraudulenta se hubiera realizado sin el conocimiento y el consentimiento del denunciante …” (El subrayado es de la Agencia) Invoca el principio “non bis in idem” habida cuenta de que en el pronunciamiento que hizo la CNMC a raíz de la reclamación del denunciante y en el presente caso concurre “idéntico fundamento jurídico”, “el principio del consentimiento”. Añade que si la AEPD emitiera una “Resolución por la que responsabilice a Endesa Energía de haber llevado a cabo una contratación sin contar con el consentimiento del titular, estaríamos ante un supuesto de dos resoluciones esencialmente contradictorias entre administraciones – en la medida en la que una ha considerado que no existe falta de consentimiento y por el contrario, otra considera que sí” (El subrayado es de la Agencia) Subsidiariamente, para el caso de no atender su pretensión de archivo, reitera su conformidad con la aplicación del artículo 45.5.
  10. b)LOPD. Por lo que atañe a las circunstancias modificativas de la responsabilidad del artículo 45.4 LOPD hace estas reflexiones: a. En cuanto al artículo 45.4.
  11. e)explica que tanto el tenor literal de la disposición como la jurisprudencia en ningún caso consideran que la aplicación del artículo 45.5.b, excluya la aplicación del 45.4.e. Y añade en defensa de su pretensión -ya formulada en las alegaciones al acuerdo de inicio- de que se estime como atenuante que ENDESA “reembolsó las facturas que fueron cargadas en la cuenta” del denunciante pudiendo haberse limitado a regularizar la situación del denunciante con la compañía. b. Solicita la aplicación en calidad de atenuante del artículo 45.4.f, por la absoluta ausencia de intencionalidad. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 HECHOS PROBADOS PRIMERO: A.A.A. con DNI ***DNI.1 y domicilio en ***DIRECCION.1, manifiesta que ENDESA ha tratado sus datos personales sin su consentimiento, incluido el dato de la cuenta bancaria, ya que, pese a no ser cliente de esa entidad sino de GAS NATURAL, ha recibido en abril de 2017 facturas por el consumo de gas, por importe de 29,21 euros, y de luz, por importe de 38,31 euros. Añade que le han cargado recibos en su cuenta bancaria. (Folios 2 y 3) SEGUNDO: Obran en el expediente, aportadas por el denunciante, tres facturas emitidas por ENDESA en las que constan como datos del destinatario el nombre, dos apellidos y la dirección postal del denunciante. Las tres facturas identifican al titular del contrato -en el apartado “Datos del Contrato” - con el nombre, dos apellidos y NIF del denunciante. Como dirección del suministro consta el domicilio del denunciante, ***DIRECCION.1. (Folios 4 a 10) En las tres facturas se indica que la forma de pago es la domiciliación bancaria en la cuenta corriente XXXX XXXX XX XXXXX*****, de la que el denunciante es titular. Extremo que ENDESA reconoce en el escrito de alegaciones que dirigió a la CNMC, folio 115. - Factura número ***FACTURA.1, emitida el 31/03/2017, por importe de 1,21 euros correspondiente al contrato de suministro de gas número ***CONTRATO.3. Entre los conceptos facturados se incluye el servicio de mantenimiento Okgas. (Folios 4 y 5) - Factura ***FACTURA.2, emitida el 06/04/2017, por importe de 29,21 euros correspondiente al contrato de suministro de gas número ***CONTRATO.3. Entre los conceptos facturados se incluye el servicio de mantenimiento Okgas. (Folios 6 y 7) - Factura ***FACTURA.3, emitida el 06/04/2017, por importe de 38,31 euros, correspondiente al contrato de suministro de luz número 0***CONTRATO.1. Entre los conceptos facturados se incluye el servicio de mantenimiento OKLUZ Asistencia Plus. (Folios 8 a 10) TERCERO: El denunciante formuló reclamación contra ENDESA, por estos hechos, ante el Instituto Galego de Consumo (IGC) de la Xunta de Galicia el 19/04/2017 que dio lugar al expediente ***REFERENCIA.1. (Folios 2 y 3) El IGC trasladó la reclamación del denunciante a ENDESA que en escrito de fecha 16/05/2017 formuló alegaciones y le informó de estos extremos: 1. Que el denunciante no tenía en esa fecha (16/05/2017) ningún contrato en vigor con ENDESA relativo al punto de suministro sito en su domicilio de ***DIRECCION.1. Que tampoco importes pendientes de pago. 2. Los contratos que ENDESA dio de alta asociados al denunciante fueron los siguientes: a. Contrato número ***CONTRATO.3, por el concepto de “Suministro de gas”, que se dio de alta el 21/03/2017 y de baja el 31/03/2017. b. Contrato número ***CONTRATO.4, de “ Suministro de mantenimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 OKGAS”, de alta el 21/03/2017 y de baja el 27/04/2017. c. Contrato número ***CONTRATO.1, de “Suministro eléctrico”, de alta el 19/03/2017 y de baja el 01/04/2017 d. Contrato número ***CONTRATO.2, de “Suministro de mantenimiento OKLUZ” de 19/03/2017, de baja el 01/04/2017. 3. Que una vez revisado el proceso de contratación seguido en este caso la denunciada ha concluido que no cumple “con nuestros estándares de calidad”, motivo por el que han “procedido a la cancelación de todas las facturas generadas durante el tiempo de vigencia de dichos contratos”. 4. Que ha efectuado la devolución por transferencia, a la cuenta bancaria XXXX XXXX XX XXXXX*****, de 10,09 euros correspondientes a la factura ***FACTURA.4 (cuya copia no ha sido facilitada por el denunciante) 5. Que ha atendido los derechos de oposición y cancelación ejercidos por el denunciante. (Folios 11 y 12) CUARTO: Obran en el expediente capturas de pantalla de los sistemas informáticos de ENDESA en las que constan los datos personales del denunciante -nombre, apellidos, NIF, cuenta bancaria y domicilio- asociados a la contratación de los siguientes productos: a. El contrato de electricidad “Tempo 24horas 2.0A”, que se dio de alta el 19/03/2017 (número de contrato ***CONTRATO.1). b. El contrato “OKLUZ Asistencia Plus”, que se dio de alta el 19/03/2017 (número de contrato ***CONTRATO.2) c. El contrato de gas “Tarifa Gas Energía”, de alta el 21/03/2017 (número de contrato ***CONTRATO.3) d. El contrato “OK ***CONTRATO.4) (Folios 62 y 65 a 68) GAS”, de alta el 21/03/2017 (número de contrato QUINTO: En el curso de la investigación previa se solicitó a ENDESA que aportara la copia del contrato que supuestamente suscribió con ella el titular de los contratos, el denunciante, y la documentación que recabó para acreditar su identidad (folios 14 y 17) La denunciada remitió a la AEPD a tal efecto los documentos siguientes: 1. Documento denominado “Contrato de servicios de asistencia” (folio 82). a. Se detalla que el producto contratado es el servicio “OKLUZ Asistencia Plus”. b. Los “Datos del Cliente” se corresponden con los datos personales del denunciante identificado por su nombre, dos apellidos y NIF. c. Figuran los datos del punto de suministro de electricidad y la dirección de correspondencia, idénticos entre sí, que son los del domicilio del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 d. Constan también los veinte dígitos de la cuenta bancaria de domiciliación del pago. e. El documento aparece firmado en el apartado “Cliente” por “B.B.B.”. (Folio 82) 2. Documento con la indicación “Tablet” denominado “Condiciones particulares del contrato de energía y/o servicios adicionales” del que destacamos estos aspectos relevantes: a. En el apartado “Titularidad de los suministros de energía” -reflejados en los subapartados electricidad y gas- figuran los datos personales del denunciante. En la última línea de ese apartado consta esta indicación: “Cónyuge/Pareja de hecho/Responsable legal” y, debajo, incluye el nombre de B.B.B. y su número de DNI, ***DNI.2. (Folio 83) (El subrayado es de la AEPD) b. En los apartados “Puntos de suministro y dirección de correspondencia” consta el domicilio del denunciante. En el apartado “Datos bancarios” el número de cuenta y la identidad del titular, el denunciante. (Folio 83) c. En el reverso del documento se indican los productos contratados: el gas, la luz y los servicios de mantenimiento OKGas y OKLUZ Asistencia Plus. (Folio 84) d. Al pie del documento, debajo las indicaciones “Titular de electricidad” y “Titular de pago-luz (si distinto)” consta la firma de B.B.B.. Y, debajo, esta nota: “Fecha firma: 24/02/2017 FIRMA EL CÓNYUGE DEL TITULAR DE LUZ Y GAS”. (Folio 84) )(El subrayado es de la AEPD) 3. Documento denominado “Anexo de precios G.P. condiciones económicas” en cuya casilla “Firma cliente” consta la firma de B.B.B. (Folio 86) 4. Documento con el anagrama de ENDESA en su esquina superior izquierda, el código “TF 9128” y el “Código 408345371” con fecha de 24/2/2017. (Folio 85) Este documento aparece firmado en la casilla “Firma Cliente Luz” por B.B.B. seguida de la indicación “cónyuge”. A continuación hay una casilla marcada con un aspa que precede a la siguiente leyenda impresa: “Autorizo la domiciliación bancaria como cotitular de la Cuenta Corriente de pago y cónyuge del deudor (Sólo en los casos de firma del cónyuge)” (El subrayado es de la AEPD) La firma está ubicada debajo de un texto que dice: <<Mediante la firma de esta orden de domiciliación, el deudor autoriza al acreedor a enviar instrucciones a la entidad del deudor para adecuar su cuenta y a la entidad para efectuar los adeudos en su cuenta siguiendo las instrucciones del acreedor>> (Folio 85) 5. Copia del DNI de B.B.B. (Folios 88 y 89) 6. CD con la grabación de la llamada de verificación de la contratación efectuada por el Distribuidor Oficial de ENDESA con motivo de la visita de un comercial. La interlocutora se identifica como B.B.B., cónyuge de A.A.A., el denunciante, y reconoce haber firmado los cuatro contratos y haber facilitado al comercial los datos bancarios para la domiciliación del pago de las facturas. SEXTO: Las impresiones de pantalla de sus ficheros que ENDESA ha aportado dejan constancia de que el denunciante formuló ante ella diversas reclamaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 relacionadas con los hechos objeto de la denuncia ante la AEPD (Folios 76 a 78) SÉPTIMO: El denunciante presentó reclamación ante la Comisión Nacional de los Mercados y la Competencia (CNMC) por los hechos que nos ocupan, que dio lugar a que ese organismo tramitara el expediente CNS/DE/420/17. La CNMC le dio traslado del expediente CNS/DE/420/17 y ENDESA, en su escrito de alegaciones, hizo estas manifestaciones: a. Que el 24/04/2017 recibió un escrito del IGC que le trasladaba la disconformidad del reclamante con la contratación y la solicitud de baja de los contratos sin coste alguno para el usuario. Indica que pese a entender “conforme la contratación realizada” cursó la baja del contrato de mantenimiento de gas con fecha 27/04/2017, pues los restantes tres contratos se habían dado de baja por cambio de comercializadora en fecha anterior. Añade: “..pese a tener debidamente acreditada la contratación, por deferencia comercial, esta mercantil procedió a anular el cobro de las facturas emitidas durante la vigencia de los citados contratos, y se procedió a tramitar por transferencia la devolución a favor del cliente de los importes cobrados…” (Folios 114 y 115) b. En el punto III del escrito informativo dirigido a la CNMC ENDESA manifestó: “…en relación a la suscripción de un contrato por el cónyuge en el que consta como parte el marido por ser éste el que figura como titular de la instalación en dicho punto de suministro debe interpretarse como válida a todos los efectos. En este sentido son varias las cuestiones que vienen a confirmar esta cuestión: ..”. Seguidamente invoca los artículos 93, 1322 y 1378 del Código Civil (Folio 115) OCTAVO: La CNMC, acordó en fecha 22/09/2017, el archivo de la reclamación formulada por D. A.A.A. frente a ENDESA, por cambio de comercializadora sin consentimiento, “por no haber quedado acreditado que haya existido una falta de consentimiento efectivo del consumidor, sin perjuicio de que en el ejercicio de las competencias que (..) tiene legalmente atribuidas, deban ser tenidos en cuenta esta reclamación, así como los hechos que resultan acreditados tras su tramitación en ulteriores expedientes y/o actuaciones que puedan ser llevados a cabo por esta Comisión”. (Folio 118) (El subrayado es de la AEPD) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37 g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 El artículo 6 LOPD, bajo la rúbrica “Consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal (…) se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; ..” Este precepto debe integrarse con la definición que la LOPD ofrece en su artículo 3, apartados a),
  12. c)y h), respectivamente, de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La infracción del principio del consentimiento se tipifica en el artículo 44.3.
  13. b)LOPD que dispone: “Son infracciones graves: (…) “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. III En el expediente sancionador que nos ocupa se atribuye a ENDESA la comisión de una infracción de la LOPD, artículo 6.1, materializada en haber tratado los datos personales del denunciante – su nombre, dos apellidos, NIF, domicilio y datos bancarios- sin su consentimiento asociados al alta de cuatro contratos en los que no ha sido parte: Contrato de electricidad “Tempo 24horas 2.0A”; contrato “OKLUZ Asistencia Plus”; contrato de gas “Tarifa Gas Energía” y contrato “OK GAS”. Respecto a la infracción del artículo 6.1 de la LOPD, de la que se responsabiliza a ENDESA, corresponde hacer estas consideraciones. A. A tenor del artículo 6 de la LOPD el tratamiento de datos personales exige recabar el consentimiento inequívoco de su titular; consentimiento que la ley obliga a que sea “inequívoco”, esto es, que no admita duda o equivocación. El principio del consentimiento o autodeterminación recogido en el artículo 6 LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos e implica la necesidad de recabar del afectado su consentimiento inequívoco para que sus datos personales puedan ser objeto de tratamiento. A través del consentimiento al tratamiento de los datos personales que otorga el titular éste ejerce de forma efectiva el poder de control y de disposición sobre ellos. En esa línea el Tribunal Constitucional, en su STC 292/2000, de 30 de noviembre (Fundamento Jurídico 7), señala que “(…)Estos poderes de disposición y control sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD exige que sea el titular de los datos quien otorgue su consentimiento inequívoco al tratamiento, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
  14. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. El tratamiento de los datos personales sin contar con el consentimiento inequívoco de su titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho fundamental pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El apartado 2 del artículo 6 LOPD dispensa de la necesidad de recabar el consentimiento del afectado cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento. Esto, porque el consentimiento para tratar los datos personales está implícito en el consentimiento otorgado a la contratación, pero, únicamente, en la medida en que el referido tratamiento sea el preciso para la ejecución del contrato y si quien facilita los datos personales con ocasión de la contratación ha sido efectivamente su titular. Sobre la necesidad de que, cuando el tratamiento de los datos se realiza en el marco de una contratación, sea el titular de los datos tratados quien haya otorgado el consentimiento a la contratación, pues sólo así el tratamiento estaría amparado en el artículo 6.2 LOPD, se ha pronunciado la Audiencia Nacional, Sala de lo Contencioso Administrativo, en SAN de 17/03/2017 (Rec.1732/2015) que ENDESA conoce bien pues fue ella parte demandante. Sentencia que se hace eco de otras de este Tribunal en idéntico sentido -las SSAN de 19/12/2012 (Rec. 530/2011) y de 24/02/2015 (Rec. 341/2013)- y en la que afirma que no es suficiente el consentimiento prestado en una contratación por los parientes o personas de confianza del titular de los datos. En su Fundamento de Derecho segundo dice: << (…) tal y como establece la Ley, es necesario el consentimiento del titular de los datos de carácter personal, y ello también se debe aplicar, por tanto en los casos de datos facilitados por parientes, como ha resuelto esta Sala, entre otras en la Sentencia (…) de 6 de octubre de 2011 -recurso nº 342/2010-,en la que se dice: “La aportación de datos por un pariente o persona de confianza de aquél no puede entenderse como suficiente a la hora de entender prestado el consentimiento…lo relevante es el consentimiento del titular de los datos”. (…)>> (El subrayado es de la AEPD) B. La documentación que obra en el expediente demuestra que ENDESA incorporó a sus ficheros y trató los datos personales del denunciante (nombre, dos apellidos, NIF, domicilio y cuenta bancaria) como titular de cuatro contratos (Hechos probados tercero y cuarto). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 El tratamiento de los datos se inició, a tenor de la información que facilitan los documentos que integran el expediente, en fecha 24/02/2017. Es esa la fecha que aparece en el documento que, con la indicación “Tablet” y el nombre “Condiciones particulares del contrato de energía y/o servicios adicionales”, obra en los folios 83 y 84. En el reverso, folio 84, junto a la firma de D.ª B.B.B. figura “Fecha firma: 24/02/2017” (Hecho probado quinto apartado 2.d,) Respecto a la fecha en la que ENDESA puso fin al tratamiento ilegítimo de los datos personales del denunciante tomamos en consideración la carta que ENDESA remitió al IGC, de fecha 16/05/2017, en la que afirma que ha atendido su derecho de cancelación y añade que en fecha 12/05/2017 ha realizado una devolución del importe de 10,09 euros por transferencia a la cuenta de la entidad 2080 de la que el denunciante era titular. Por ello, pese a que los contratos a nombre del denunciante se habrían dado de baja en fecha 27/04/2017, por ENDESA, el relativo al servicio de mantenimiento de gas, y en fechas 01/04/2017 y 31/03/2017, por cambio de comercializadora, respectivamente, los de suministro eléctrico, de gas y del servicio de mantenimiento de gas, se estima que el tratamiento de los datos del denunciante sin legitimación para ello por parte de ENDESA se mantuvo hasta el 12/05/2017. El denunciante ha negado reiteradamente haber contratado con la denunciada. Además, ha declarado que era cliente de otra entidad, Gas Natural Fenosa, extremo que confirman las facturas emitidas a su nombre por esa comercializadora que ENDESA ha aportado al expediente en su respuesta al requerimiento informativo de la Inspección de Datos, toda vez que se recabaron del cónyuge del denunciante al tiempo de la contratación. El denunciante ha negado haber suscrito con ENDESA los contratos cuya titularidad le atribuye en la reclamación que interpuso contra ella ante el Instituto Galego de Consumo el 19/04/2017 (hecho probado tercero); en la reclamación que formuló ante la Comisión Nacional de los Mercados y la Competencia (hecho probado séptimo) y en la presentación de diversas reclamaciones ante la propia ENDESA. A tal fin nos remitimos a las impresiones de pantalla aportadas por la denunciada que obran en los folios 76 a 78. La Audiencia Nacional viene considerando que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia. Reiteradamente ha manifestado que el responsable del tratamiento de datos de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de Derecho Cuarto dice “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD) C. Durante las Actuaciones de Investigación Previa ENDESA facilitó a esta Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 diversos documentos con el fin de acreditar que, con ocasión de la celebración de los contratos cuya titularidad atribuye al denunciante, había actuado con la diligencia a la que venía obligada por la normativa de protección de datos a fin de garantizar la identidad de la persona que otorgó el consentimiento a la contratación. Esta documentación, que se detalla en el hecho probado quinto, consistió en la copia de varios documentos en los que siempre aparece como titular el denunciante -identificado por su nombre, dos apellidos y NIF-. También consta como titular de la cuenta bancaria de domiciliación de las facturas que se emitieran por los servicios prestados por ENDESA. Sin embargo, todos los documentos –a pesar de que en ellos figure como titular de los contratos y de la cuenta bancaria el denunciante- se encuentran firmados por D.ª B.B.B.. Su firma y su número de DNI aparecen en las casillas destinadas a la firma cliente -tal es el caso de los documentos que obran en los folios 82 y 86, Condiciones del Servicio de Asistencia y Anexo de precios G.P., respectivamente-, o bien aparecen en los apartados que los formularios de la contratación destinan expresamente a la firma del “cónyuge del titular”. Este último aspecto es de una extraordinaria relevancia a los efectos que nos ocupan. Hemos de destacar que, como consta en el hecho probado quinto, apartado 2, el documento denominado “Condiciones particulares del contrato de energía y/o servicios adicionales”, que va precedido de la indicación “Tablet” y que obra en el folio 83, y enmarcado en el apartado “Titularidad de los suministros”, contiene una leyenda encima del espacio en el que se recoge la firma de la señora B.B.B. que dije así: “Cónyuge/Pareja de hecho/Responsable legal”. No puede obviarse que tal documento lleva el anagrama de ENDESA en la esquina superior izquierda y en el lateral izquierdo la indicación Endesa Energía, S.A. Unipersonal, el domicilio, el CIF y los datos de la inscripción en el Registro Mercantil de la compañía. Este mismo documento, en su reverso (folio 84) recoge bajo la indicación de “Titular de pago-luz (si distinto)” la firma de la señora B.B.B. y debajo, después de la fecha de firma, esta indicación: “… FIRMA EL CÓNYUGE DEL TITULAR DE LUZ Y GAS”. (El subrayado es de la AEPD También aparecen en otros formularios utilizados en la contratación referencias a la firma del cónyuge del titular de los datos. Así, el documento que obra al folio 85, que también lleva el anagrama de ENDESA -descrito en el hecho probado quinto punto 4se refiere a la posibilidad de que quien lo firme sea el cónyuge del titular ya que dice “(Sólo en los casos de firma del cónyuge)” Tampoco aporta ENDESA la copia del DNI del denunciante. El documento acreditativo de la identidad que aportan es la copia del DNI de la esposa del denunciante, que fue, como se ha indicado, quien firmó los diferentes documentos. Este documento -la copia del DNI del cónyuge del titular de los datos- es irrelevante a efectos de acreditar el consentimiento del titular para el tratamiento de sus datos personales. La misma consideración cabe hacer de otro de los documentos que ENDESA aporta, la grabación de una conversación en la que la señora B.B.B. declara C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 que ha consentido la contratación de los servicios de ENDESA y ha facilitado su DNI y los datos de domiciliación bancaria. En definitiva, ENDESA trató los datos personales del denunciante sin legitimación para ello -desde el 24/02/2017 hasta al menos el 12/05/2017- pues no ha podido acreditar que obtuviera el consentimiento del afectado pese a que correspondía a la entidad la carga de la prueba. D. El tratamiento de los datos personales del afectado no puede, en el presente caso, ampararse en el artículo 6.2 LOPD, pues quien otorga el consentimiento a la contratación es la señora B.B.B., de tal modo que el único tratamiento de datos legítimo realizado por ENDESA es el de los datos de la citada señora. En ningún caso puede sostenerse que el tratamiento de los datos del denunciante por ENDESA es legítimo conforme al artículo 6.2 LOPD ya que ello exigiría acreditar que fue él -el denunciante y no su cónyuge- quien otorgó el consentimiento a la contratación, lo que evidentemente no ha sucedido. Al hilo de lo anterior, en respuesta a la alegación de ENDESA de que la CNMC en su resolución de archivo del expediente entendió acreditado que no “hubiera existido una falta de consentimiento efectivo del consumidor”, hemos precisar que el ámbito competencial de la AEPD se circunscribe al derecho fundamental a la protección de datos de carácter personal y que el consentimiento al tratamiento de los datos personales es independiente del consentimiento otorgado a una determinada contratación, pues solo tiene transcendencia en tanto quede acreditado que quien otorga el consentimiento es también el titular de los datos. Nada impide que la señora B.B.B., que además de consumidora fue quien consintió la contratación, pero facilitando sin autorización para ello los datos de un tercero, pueda ser considerada parte contratante. Cuestión de naturaleza civil/mercantil que no concierne a esta Agencia. E. El artículo 43.1 de la LOPD sujeta a responsabilidad sancionadora a los responsables del fichero y a los encargados de tratamiento. Es claro que en el supuesto analizado ENDESA es la responsable del fichero al que se incorporaron los datos del denunciante y del tratamiento efectuado. Es ella quien decide sobre la finalidad, contenido y uso de los datos personales incluidos en sus ficheros y viene obligada a obrar con diligencia en el cumplimiento de la normativa de protección de datos con ocasión del tratamiento que realiza: incorporar nuevos datos a sus ficheros, mantenerlos en ellos y girar facturas contra sus titulares, entre otros. F. El nacimiento de responsabilidad sancionadora presupone la existencia de culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor, esto, porque las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición (STC 76/1999) En el asunto analizado no sólo concurre el elemento subjetivo de la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 -extremo que ENDESA niega en sus alegaciones al acuerdo de inicio, hasta el punto de que la pretendida ausencia del elemento subjetivo de la infracción se esgrime como argumento central para solicitar el archivo de las actuaciones- sino que apreciamos una gravísima falta de diligencia de la entidad que tiene una consecuencia directa en la determinación del importe de la sanción a imponer (ex artículo 45.4.
  15. f)La grave falta de diligencia en la que, a juicio de esta Agencia, incurre ENDESA se evidencia de las circunstancias que pasamos a detallar. Como se recoge en los Fundamentos Jurídicos precedentes los formularios de ENDESA que utiliza su encargada de tratamiento, el Distribuidor Possum 74, S.L., prevén expresamente la posibilidad de que quien figure como titular de un contrato no sea la persona que lo firma, pues admiten ser firmados por el cónyuge sin hacer referencia a algún otro requisito, como podría ser la acreditación documental de su autorización expresa para ese acto. El formulario de ENDESA que obra en el folio 83 admite que el documento sea firmado por un tercero que no sea el titular de los datos tratados sino, alternativamente, el “Cónyuge/Pareja de hecho/Responsable legal”. Se refieren también a la firma del cónyuge los documentos contractuales que obran en los folios 84 y 85. A tenor del documento que obra en el folio 83 -recordemos que ese formulario incluye el anagrama de ENDESA, el nombre de la sociedad, el NIF, el domicilio y los datos registrales de la sociedad- se evidencia que para la denunciada la firma del “cónyuge” de titular de los datos, quien figura como parte contratante, es por sí sola bastante para legitimar el tratamiento. Idéntica valoración puede hacerse de la leyenda que existe en el folio 84 -que dice “Firma el cónyuge del titular de luz y gas”- o de la leyenda que sigue a una casilla incluida en el documento que obra al folio 85, que incorpora el anagrama de ENDESA, y que dice: “Sólo en los casos de firma del cónyuge”. Esta descripción documental pretende poner de relieve que en la actividad que ENDESA realiza, al menos en el supuesto que nos ocupa, se tratan datos personales facilitados por quien no es su titular vinculándolos a la titularidad de contratos cuyo consentimiento no han otorgado ellos sino la persona de su entorno que los proporciona, en este caso el cónyuge. En conexión con lo anterior hemos de referirnos al contrato que ENDESA suscribió con el Distribuidor que intervino en la contratación -Possum 74, S.L.,- , el Contrato Marco ZCCS 5300014042, con fecha de inicio 13/04/2016, que aportó como documento 15 adjunto a su respuesta al requerimiento informativo de la Inspección de Datos. Las estipulaciones del contrato refuerzan aún más, si cabe, la responsabilidad de ENDESA en los hechos analizados. La estipulación 3.1.3. del contrato precitado menciona entre las obligaciones asumidas por ENDESA la de “proporcionar al Prestador de Servicios la documentación necesaria en relación con los Productos de Energía y/o los Productos o Servicios de Terceros para la prestación de los Servicios” (El subrayado es de la AEPD). Paralelamente, entre las obligaciones del prestador de servicios, estipulación 2.1.7., se alude a la entrega a ENDESA de toda la documentación acreditativa del contrato realizado al cliente y, en la estipulación 2.1.5., a la prohibición de utilizar la marca o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 logo de ENDESA en ningún documento relacionado con la actividad comercial desplegada “salvo autorización expresa de Endesa Energía y bajo la supervisión de ésta”. (El subrayado es de la AEPD) El criterio que reiteradamente ha seguido la Audiencia Nacional, Sala de lo Contencioso Administrativo, en asuntos análogos al que se examina -contrataciones efectuadas por compañías del sector energético en las que quien otorga el consentimiento y firma el contrato es uno de los cónyuges, pero facilita los datos de su consorte como titular de aquél sin que la entidad recabe su consentimiento- ha sido muy clara. La Audiencia Nacional ha afirmado taxativamente que “…el legítimo interés comercial de la sancionada no puede prevalecer frente al derecho fundamental a la protección de datos de la denunciante, sin el consentimiento de ésta pues, en principio, tal derecho prevalece sobre el puro interés económico de la empresa”. Pueden traerse a colación las SSAN de 24/02/2015 (Rec. 341/2013), en la que fue parte demandante Madrileña Suministros de Gas, S.L., y la SAN de 02/06/2015 (Rec. 371/2013) en la que la demandante fue Galp Energía España, S.A.U. En ambos casos -como en otras sentencias dictadas por la A.N.- se subraya que el cónyuge del titular de los datos, por este sólo hecho y sin que exista una autorización en tal sentido, no está legitimado para facilitar los datos personales de aquél en la contratación de un servicio, por más que el servicio contratado redunde en interés de ambos. La SAN de 02/06/2015 (Fundamento de Derecho quinto), a propósito del alegato de la entidad demandante -que expuso que había sido el esposo de la denunciante quien contrató telefónicamente, que además residía en la misma vivienda y que con su actuación realizó un acto de “administración ordinaria” amparado en el Código civil, por lo que concluía que el tratamiento de datos realizado era lícito- se pronunció en estos términos: “Aunque este hecho sea cierto y no se cuestione seriamente en la Resolución, sí se rechazan los efectos que pretende la demandante; ello es así porque el consentimiento inequívoco (artículo 6.1 LOPD), ha de ser prestado por el afectado o interesado que es, como dice el artículo 3.
  16. e)“la persona física titular de los datos que son objeto de tratamiento a que se refiere el apartado
  17. c)del presente artículo” de la propia LOPD. Así, aun cuando no se ponga en duda la realización del contrato por el marido de la interesada, no es él el titular de los datos personales de su esposa ni este hecho exime al responsable del fichero de recabar el consentimiento del propio interesado, que es quien únicamente puede prestarlo y que, en este caso, no se obtuvo. Esta conclusión no quedada desvirtuada por el hecho de que el artículo 1384Cc, enmarcado en el régimen económico de la sociedad de gananciales otorgue validez a “los actos de administración de bienes y los de disposición de dinero o de títulos valores por el cónyuge a cuyo nombre figuren o en cuyo poder se encuentren”, que no alcanza al uso o cesión de los datos personales del otro cónyuge que son, por su esencia, personales del mismo”. (El subrayado es de la AEPD) G. Así las cosas, a la luz de la exposición precedente, resulta que ENDESA no desplegó la diligencia que es exigible, de acuerdo con la actividad que desarrolla, para cumplir las obligaciones que le impone la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 Grave falta de diligencia que no se concreta en una mera ausencia de controles sobre la documentación contractual que le facilitaba la empresa Distribuidora con objeto de detectar posibles casos de falta de legitimación en el tratamiento de los datos, sino que va más allá: el protocolo de contratación que ofrece a la Distribuidora a través de los formularios que le facilita son un ejemplo de grave incumplimiento de las obligaciones que en materia de protección de datos le impone la LOPD. Recordemos una vez más que, conforme al contrato marco que regula su relación con la Distribuidora, es ENDESA quien le facilita los formularios de contratación y que, en todo caso, aquellos documentos en los que aparezca el anagrama de la compañía (todos a los que nos hemos referido) exigen la autorización expresa de la entidad y están sometidos a su supervisión. No cabe, por tanto, como se alega por la representación de la denunciada, sostener que está ausente el elemento subjetivo de la infracción y pretender que los hechos acaecidos sean responsabilidad de la encargada de tratamiento. Sobre el principio de culpabilidad en el marco del procedimiento sancionador (al que expresamente se refiere la Ley 40/2015 en su artículo 28) resultan muy esclarecedoras las consideraciones que ofrece la SAN de 30/05/2015 (Rec. 163/2014) con relación al modo de atribución de la responsabilidad a las personas jurídicas. En el Fundamento de Derecho segundo, después de recordar que la responsabilidad puede ser exigida a título de dolo o culpa, comprendiendo esta última la imprudencia, negligencia o ignorancia inexcusable, y desterrando en todo caso la responsabilidad objetiva, dice: <<No obstante, el modo de atribución de la responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>> La SAN precitada conecta la reprochabilidad, a una persona jurídica, de una determinada conducta, con el hecho de que aquella hubiera o no dispensado una eficaz protección al bien jurídico protegido por la norma. Y a la luz de la exposición precedente, en particular a tenor de los formularios de contratación que empleó, resulta acreditado que ENDESA, omitió por completo toda diligencia para cumplir la obligación que le impone el artículo 6 LOPD. En definitiva, la conducta de ENDESA, materializada en el tratamiento de los datos personales del denunciante sin su consentimiento –nombre, dos apellidos, NIF, domicilio y datos bancarios- vinculados al alta de cuatro contratos vulnera el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 6.1 de la LOPD. Actuación subsumible en el tipo sancionador del artículo 44.3.
  18. b)de la citada norma. IV Parece necesario hacer una breve mención a algunas de las manifestaciones de ENDESA formuladas en sus alegaciones a la propuesta de resolución. Comenzaremos indicando que la entidad hace una total abstracción de las consideraciones recogidas en la propuesta de resolución a través de las cuales se concreta cuál es la conducta infractora y el motivo de haber apreciado que existe por parte de ENDESA una grave falta de diligencia. La denunciada dio de alta cuatro contratos a nombre del denunciante y no ha aportado prueba o indicio alguno del que se infiera que recabó su consentimiento para el tratamiento realizado. Se equivoca la entidad cuando afirma en su escrito de alegaciones que “Resulta complicado creer que la supuesta contratación fraudulenta se hubiera realizado sin el conocimiento y el consentimiento del denunciante …” (El subrayado es de la Agencia) No estamos en el asunto que nos ocupa ante una contratación fraudulenta -esto es, ante un supuesto en el que un tercero se hace pasar por el titular de los datos-. Todo lo contrario. ENDESA recabó de la señora B.B.B. el “supuesto consentimiento” para tratar los datos del denunciante como titular de un contrato; recabó la copia del DNI de la citada señora y efectuó una grabación de validación en la que la señora confirma haber facilitado los datos personales del denunciante. Como se expone en los Fundamentos Jurídicos precedentes la grave falta de diligencia en la que ENDESA incurre consistió en tratar datos personales facilitados por quien no es su titular vinculándolos a la titularidad de contrato cuy consentimiento no han otorgado ellos sino la persona de su entorno que los proporciona, en el presente caso su cónyuge. Esta grave falta de diligencia nada tiene que ver con los controles sobre la documentación contractual, razón por cual, como se dijo en su momento, son irrelevantes la copia del DNI de la señora B.B.B. o la grabación de su conversación telefónica que ENDESA nos facilitó. Esta grave falta de diligencia se refiere al protocolo de contratación que ofrece la Distribuidora a través de los formularios que ENDESA le facilita y que, como ha quedado acreditado, dan por bueno que un tercero próximo al titular de los datos (su cónyuge) otorgue el consentimiento al tratamiento cuando no hay referencia alguna a la existencia de un apoderamiento o representación y siendo así que corresponde al titular otorgar el consentimiento al tratamiento de los datos que le conciernen. La denunciada invoca el principio “non bis in idem” habida cuenta de que en el pronunciamiento que hizo la CNMC a raíz de la reclamación del denunciante y en el presente caso concurre, a su juicio, “idéntico fundamento jurídico”, “el principio del consentimiento”. Sin embargo, el fundamento jurídico de la resolución dictada por la CNMC en ningún caso puede ser idéntico al de la resolución que la Agencia dicte. Esto, porque C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 tal fundamento no consiste en el consentimiento, sino en el consentimiento a la contratación en un caso y en el consentimiento al tratamiento de los datos personales en otro; por la misma razón que el bien jurídico protegido no es coincidente: mientras en el procedimiento sancionador que nos ocupa el bien jurídico protegido es un derecho fundamental, a la protección de los datos personales, en la resolución de la CNMC el bien jurídico está relacionado con los derechos de los consumidores del sector energético. V El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)El volumen de negocio o actividad del infractor.
  23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Para ello es necesario que concurra bien una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el precepto cita. Al igual que en el acuerdo de inicio del expediente y en la propuesta de resolución, estimamos aplicable la atenuante cualificada del artículo 45.5.
  34. b)LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. La aplicación de esta circunstancia se justifica en que, tal y como se expuso en el acuerdo de inicio, consta acreditado que ENDESA respondió en fecha 16/05/2017 al Instituto Galego de Consumo –ante quien el denunciante había presentado una reclamación- y le comunicó que había procedido a cancelar las facturas emitidas, a devolver el importe cobrado por dichas facturas y a bloquear los datos personales del afectado. El efecto jurídico que deriva de la aplicación del artículo 45.5 LOPD es la imposición de la sanción de acuerdo con la escala prevista para las infracciones que preceden en gravedad a la infracción realmente cometida, por lo que la sanción que corresponde imponer en el presente caso –en el que se atribuye a ENDESA la comisión de una infracción grave, artículo 6.1 LOPD- deberá estar comprendida dentro de los márgenes que el artículo 45.1 LOPD fija para las infracciones leves: de 900 a 40.000 Por lo que respecta a las circunstancias del artículo 45.4 LOPD que se han de tomar en consideración para graduar el importe de la sanción, se indica lo siguiente: En sus alegaciones al acuerdo de inicio ENDESA discrepó del criterio seguido respecto a las circunstancias de los apartados
  35. e)y
  36. f)del artículo 45.4 LOPD, que se calificaron como agravantes, y solicitó que se apreciaran ambas como atenuantes. Razonó entonces -para la aplicación en calidad de atenuante del apartado e- que la SAN que la AEPD invocó en el acuerdo de inicio (SAN 31/03/2017, Rec. 845/2015) no justifica su aplicación como agravante sino la improcedencia de que opere como atenuante, y añadió que ENDESA “reembolsó” “las facturas indebidamente cobradas”. Este mismo argumento se esgrime en la propuesta de resolución además de subrayar que ni el tenor literal de la disposición ni la jurisprudencia consideran en ningún modo que el artículo 45.5.b, excluya la aplicación del artículo 45.4.
  37. e)Pues bien, a propósito de estos alegatos, se reconoció en la propuesta de resolución que, efectivamente, no existe justificación a tenor de la SAN de 31/03/2017 (Rec. 845/2015) invocada por esta Agencia para valorar esa circunstancia como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 exponente de una mayor antijuridicidad de la conducta o de la culpabilidad de la entidad. No obstante lo anterior, tampoco puede prosperar la pretensión de que se aplique como atenuante. Y a estos efectos -a la pretensión de que sea aplicada como atenuante- es extrapolable el razonamiento de la SAN de 17/04/2018 (Rec. 254/2017) en la que el Tribunal rechazó la pretensión de la parte demandante, sancionada por la AEPD, de que se estimara como atenuante el artículo 45.5.
  38. e)LOPD por ausencia de beneficios. Argumenta (Fundamento Jurídico tercero) que “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. (El subrayado es de la AEPD) Este es también el espíritu de la SAN de 31/03/2017. Respecto a la circunstancia del artículo 45.4.
  39. f)tampoco puede prosperar la pretensión de la denunciada. A lo expuesto en el acuerdo de inicio se añaden ahora los razonamientos recogidos en el Fundamento Jurídico precedente a los que nos remitimos. Asimismo, señalar que en la propuesta de resolución se respondió a ENDESA a su petición de que se estimara como atenuante el artículo 45.4.
  40. i)LOPD. Se indicó entonces que esta norma se refiere a un supuesto en el que haya quedado acreditado que el protocolo de la entidad es ajustado a la LOPD, o, en otras palabras, que ese protocolo es un ejemplo de comportamiento diligente en el cumplimiento de las obligaciones que le impone la normativa de protección de datos pero que, puntualmente, y sin culpa de la entidad, ha existido un error y se ha vulnerado el derecho del titular de los datos. Nos remitimos a los Fundamentos Jurídicos anteriores, en particular a las consideraciones sobre los formularios de contratación de la denunciada, como explicación de que no existe justificación alguna para apreciar a favor de ENDESA la atenuante del citado apartado. Así pues, en aras a graduar el importe de la sanción, no se aprecia la concurrencia de ninguna de las circunstancias atenuantes descritas en el artículo 45.4 LOPD y se aprecian en calidad de agravantes, las que pasamos a detallar: -“El carácter continuado de la infracción”, apartado a): Circunstancia que es de aplicación en aquellos casos en los que la infracción cometida tenga carácter permanente, naturaleza que la Audiencia Nacional atribuye a la infracción del artículo 6 de la LOPD. ENDESA trató los datos personales del afectado sin legitimación para ello durante más de dos meses, vinculados a cuatro contratos y emitió a su nombre cuatro facturas, dos de luz y dos de gas. - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial desarrollada por la denunciada exige, por su propia naturaleza, un continuo tratamiento de datos de carácter personal de los clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 - “El volumen de tratamientos efectuados” (apartado b). Los datos personales del denunciante tratados sin su consentimiento han sido nombre, dos apellidos, NIF, datos bancarios y domicilios y se han vinculado a cuatro contratos a su nombre. - “El volumen de negocio o actividad del infractor” (apartado d,). Constituye un hecho notorio, por lo que no precisa prueba, que ENDESA ENERGÍA, S.A., es por su volumen de negocio una de las principales empresas del sector. - “El grado de intencionalidad” (apartado,
  41. f)Expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “(…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. La circunstancia del artículo 45.4 LOPD opera en el presente caso, atendidas las circunstancias que concurren, como una agravante muy cualificada. No estamos únicamente ante una grave falta de diligencia en el momento de la contratación, manifestada en que no se recabó el consentimiento del titular de los datos objeto de tratamiento a cuyo nombre se da de alta el contrato. Es preciso añadir que el propio formulario utilizado en la contratación por el Distribuidor de ENDESA que intervino en ella es un ejemplo de falta de diligencia y propicia que se produzcan vulneraciones del principio del consentimiento como la que aquí acontece. Esto, porque el formulario de la contratación contempla expresamente la posibilidad de que el cónyuge del titular de los datos y titular del contrato lo firme sin que ese documento -ni por lo que se ha constatado tampoco el protocolo de actuación exigido por la denunciada- prevea que es necesario en esos supuestos, para que se pueda entender otorgado el consentimiento por el titular de los datos, que el cónyuge del titular que lo firma en su nombre cuente con su autorización expresa y así lo acredite documentalmente. -“La reincidencia por comisión de infracciones de la misma naturaleza” (apartado g): Precepto que ha de integrarse con la norma del artículo 29.3.
  42. d)de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. A tal efecto cabe recordar que la AEPD ha sancionado a ENDESA en las resoluciones dictadas en los procedimientos sancionadores PS/480/2017, PS/426/2017 y PS/359/2017. - “La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas” (apartado h). Los hechos probados y la documentación que obra en el expediente acreditan cumplidamente que, como consecuencia de la conducta irregular de ENDESA, el denunciante se vio obligado a presentar varias reclamaciones ante la entidad, a acudir al IGC y a la CNMC. Asimismo, puesto que ENDESA efectuó el cambio de comercializadora sin su consentimiento, se vio obligado a hacer las gestiones precisas para volver con la comercializadora deseada. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA, S.A.U., con NIF A81948077, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  43. b)de la LOPD, una multa de 40.000€ (cuarenta mil euros), de conformidad con lo establecido los artículos 45.1 y 45.5.
  44. b)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  45. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  46. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.