← España

PS-00146-2018

1/13 Procedimiento Nº PS/00146/2018 RESOLUCIÓN: R/01120/2018 En el procedimiento sancionador PS/00146/2018, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA, S.A.U., vista la denuncia presentada por DÑA. C.C.C. , y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30/05/2017, tuvo entrada en esta Agencia escrito de Dña. C.C.C. (en lo sucesivo la denunciante) en el que formula denuncia contra la compañía ENDESA ENERGÍA, S.A.U. (en lo sucesivo ENDESA) por posibilitar que la misma accediera a los datos personales de otro cliente (D. E.E.E., en lo sucesivo el tercero) a través de la web de la entidad. Manifiesta al respecto que ENDESA le informó que ambos clientes tenían asociada la misma dirección de correo electrónico, por lo que corresponde a ellos solucionar aquella circunstancia. Con su denuncia, aporta, entre otra, la siguiente documentación:  Impresión de la conversación mantenida, en fecha 26/05/2017 a las 11:58, en el CHAT de ENDESA. En esta conversación, la denunciante informa sobre el acceso a los datos de D. E.E.E. y le responden que ambos tienen asociado el mismo email y por ello se solapan los usuarios. También le indican que tienen que cambiar la dirección de email.  Información obtenida a través de la url “https://www.endesaclientes.com/oficina/contratos” en fecha 26/05/2017, correspondiente al perfil del usuario “ H.H.H.”. En los detalles de este perfil, en el apartado “Datos del titular”, consta el DNI ***DNI.1 y el nombre “ E.E.E.”. Aporta, asimismo, el detalle de tres contratos asociados a perfil del usuario de la web “ H.H.H.”, correspondientes al mismo titular “ E.E.E.”, referidos a suministros en las direcciones “ ***DIRECCIÓN.5”, “ ***DIRECCIÓN.4 ” y “ ***DIRECCIÓN.1”. Como datos de contacto figura ““ E.E.E.”; en el apartado “Datos de pago” figura la cuenta bancaria ***CC.1; “Dirección de suministro” y “Dirección de envío de facturas” en “ ***DIRECCIÓN.1”; y CUPS R.R.R.. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: A. En respuesta a los requerimientos de información que le fueron realizados por los Servicios de Inspección, ENDESA informó lo siguiente: 1 En los Sistemas de Información de ENDESA constan los datos personales de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 denunciante asociados a la dirección de correo H.H.H., como titular de varios contratos de suministro eléctrico. Consta dicha dirección de correo en estado “Eliminado” con fecha 29/01/2017 y en estado “Activo” con fecha de alta 07/06/2017. En un contrato de la denunciante para un punto de suministro ubicado en ***DIRECCIÓN.2 figura el número de cuenta de domiciliación P.P.P.. 2 En los Sistemas de Información de ENDESA constan los datos de D. E.E.E. como titular de varios contratos, correspondientes a suministros en las direcciones “ ***DIRECCIÓN.5”, “ ***DIRECCIÓN.4 ” y “ ***DIRECCIÓN.1”, ninguno de ellos asociado al cups B.B.B.. Figura como dirección de correo electrónico I.I.I., con número de teléfono ***TLF.1 y dirección postal calle ***DIRECCIÓN.4 . 3 Respecto del motivo por el cual la denunciante accedió a los datos de D. E.E.E., ENDESA manifestó que la denunciante realizó una llamada el 15/12/2014 (aportó la grabación) con objeto de cambiar la titularidad de un punto de suministro a favor de D. E.E.E., ya que era el nuevo propietario de la vivienda ubicada en la calle D.D.D.. Al indicarle que para ello era preciso obtener el Certificado de Instalación Eléctrica decidió, junto con el nuevo propietario, mantener la titularidad y modificar la cuenta corriente de abono de las facturas y por tanto consintieron estar vinculados al mismo contrato de suministro. A este respecto, en la grabación aportada figura:  La persona llamante solicita cambiar de nombre de un contrato de la luz correspondiente a una vivienda que ha sido vendida.  Le indican que el cambio de titularidad debe realizarse por el comprador.  Pregunta si puede dar de baja el contrato y le informan que supone quitar el contador de la vivienda.  La persona contesta negativamente y el operador solicita nombre y DNI del actual titular para hacer comprobaciones.  Se aporta DNI del contrato actual N.N.N. y de nombre C.C.C..  Le informan que el cambio de titularidad obliga a la aportación de un boletín            C/ Jorge Juan, 6 28001 – Madrid obligatorio y que debe llamar a un instalador. Y una vez obtenido el boletín, es el nuevo titular de la vivienda el que debe llamar. La persona le pasa el teléfono al nuevo titular El operador informa al nuevo titular sobre la necesidad de un boletín para poder realizar el cambio de titularidad. Le informan que va a llegar una factura a nombre de la antigua titular y el nuevo propietario solicita pagar esa factura. Le ofertan lo posibilidad de poner sus datos como titular de cuenta bancaria … reclamación datos de facturación. El operador le solicita DNI y el nombre del titular de la cuenta bancaria. Se aporta ***DNI.1, D. E.E.E.. Le indican que aparece una ficha de cliente con un móvil de contacto ***TLF.1 y confirma que es correcto. Asimismo, confirma la dirección de correo G.G.G.. Le indican los documentos y datos que tiene que aportar para un cambio de titular. Le solicita el número de cuenta y aporta P.P.P.. … www.agpd.es sedeagpd.gob.es 3/13  Como domicilio de correspondencia aporta ***DIRECCIÓN.3 4 Entre los contactos con la denunciante aportados por ENDESA, figura anotada una solicitud de autorización de cuenta IBAN al número P.P.P. de fecha 15/12/2014. Como cliente consta la denunciante y como persona de contacto E.E.E.. Asimismo consta una reclamación de fecha 09/01/2015 respecto a una consulta por facturación y en la que se indica “ E.E.E. ***DNI.1 ***TLF.1 DUEÑO DEL PISO” También consta una anotación sobre el requerimiento de información de la Agencia de fecha 13/07/2017. B. Por otra parte, en relación con la entidad ENDESA ENERGÍA, los Servicios de Inspección destacaron que se trata de una gran empresa en su sector de negocio y desarrolla una actividad que requiere un tratamiento continuo de datos personales. TERCERO: Con fecha 05/04/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA ENERGÍA, por la presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
  2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción del artículo 4.3 de la LOPD sería de 10.000 euros (diez mil euros), sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de inicio, la entidad ENDESA ENERGÍA presentó escrito de alegaciones en el que solicita el archivo de las actuaciones o, subsidiariamente, la imposición de una multa por el importe mínimo previsto para las infracciones leves, conforme a las consideraciones siguientes: . La vinculación entre la denunciante y el tercero tiene origen en la llamada telefónica que ambos realizaron el 15/012/2014, durante la que consintieron estar vinculados al mismo contrato. Esa llamada se realiza por la denunciante para cambiar la titularidad a favor del tercero del contrato de suministro correspondiente a la vivienda sita en calle ***DIRECCIÓN.2, que había sido vendida. La operadora que atiende la llamada informa a la denunciante que dicho trámite debe realizarse por el nuevo titular de la vivienda (el tercero), el cual debe abonar la tasa del Certificado de Instalación Eléctrica, al tratarse de una instalación de más de 20 años. A continuación, la denunciante traslada el teléfono al tercero, que interviene en la conversación admitiendo el cambio de la cuenta bancaria de cargo. El resultado es que ambos consienten que la titularidad del contrato quede a nombre de la denunciante y el tercero como titular del pago, por lo que no puede entenderse incumplido el artículo 4.3 de la LOPD. . Para el supuesto de que no se atienda la petición de ausencia de tipicidad, ENDESA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 ENERGÍA alega que tampoco concurre el elemento subjetivo de la culpabilidad, necesario para que se produzca la responsabilidad sancionadora. . Subsidiariamente, solicita una reducción de la sanción en atención a las siguientes circunstancias, que han de ser añadidas a las ya consideradas por la Agencia en el acuerdo de apertura del procedimiento: . La ausencia de beneficios obtenidos como consecuencia de la infracción (artículo 45.4.e), valorada por la Agencia en numerosas resoluciones. . Por la aplicación de la letra
  3. j)del artículo 45.4 de la LOPD, que permite apreciar cualquier circunstancia que sea relevante para determinar el grado de antijuridicidad y culpabilidad, en atención al consentimiento prestado por los intervinientes en la conversación telefónica aludida. Aporta copia de la grabación correspondiente a dicha conversación. QUINTO: Con fecha 22/05/2018, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad ENDESA ENERGÍA, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  4. c)de la LOPD, una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada a ENDESA ENERGÍA la citada propuesta, el plazo concedido a la misma para formular alegaciones transcurre sin que en esta Agencia se haya recibido escrito alguno. HECHOS PROBADOS 1. En los Sistemas de Información de ENDESA constan los datos personales de la denunciante asociados a la dirección de correo H.H.H., como titular de varios contratos de suministro eléctrico. Entre ellos figura el correspondiente a un punto de suministro ubicado en ***DIRECCIÓN.2 , en el que consta anotado el número de cuenta de domiciliación P.P.P.. 2. En los Sistemas de Información de ENDESA constan los datos de D. E.E.E. como titular de varios contratos, correspondientes a suministros en las direcciones “ ***DIRECCIÓN.5”, “ ***DIRECCIÓN.4 ” y “ ***DIRECCIÓN.1”, ninguno de ellos asociado al cups B.B.B.. Figura como dirección de correo electrónico I.I.I., con número de teléfono ***TLF.1 y dirección postal calle ***DIRECCIÓN.4 . 3. D. E.E.E. adquirió de Dña. C.C.C. una vivienda sita en calle ***DIRECCIÓN.2 4. Con fecha 15/12/2014, D. E.E.E. y Dña. C.C.C. contactaron telefónicamente con la entidad ENDESA para formalizar el cambio de titularidad del contrato de suministro eléctrico de la vivienda reseñada en el Hecho Probado Tercero. Durante esta llamada, las dos personas citadas consintieron que Dña. C.C.C. permaneciera como titular del contrato y D. E.E.E. como persona de contacto. Asimismo, modificaron la cuenta de cargo y los datos de facturación, facilitando al efecto el número de cuenta bancario de D. E.E.E. como cuenta de cargo y el domicilio de éste como domicilio de correspondencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 5. Con fecha 26/05/2017, la denunciante accede a su perfil a través del Área de Clientes habilitada en la web de ENDESA, en la URL “https://www.endesaclientes.com/oficina/contratos”, correspondiente al usuario “ H.H.H.”. Según la información aportada sobre los detalles de dicho perfil, en el apartado “Datos del titular” consta el DNI ***DNI.1 y el nombre “ E.E.E.”. Asimismo, el perfil del usuario de la web “ H.H.H.” tiene asociados tres contratos correspondientes al mismo titular “ E.E.E.”, referidos a suministros en las direcciones “ ***DIRECCIÓN.5”, “ ***DIRECCIÓN.4 ” y “ ***DIRECCIÓN.1”. Como datos de contacto figura ““ E.E.E.”; en el apartado “Datos de pago” figura la cuenta bancaria ***CC.1; “Dirección de suministro” y “Dirección de envío de facturas” en “ ***DIRECCIÓN.1”; y CUPS R.R.R.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa en el presente procedimiento a la entidad ENDESA una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En este caso, consta acreditado que en los sistemas de información de ENDESA correspondientes a los clientes de la entidad, consta una ficha de cliente de la denunciante como titular de varios contratos de suministro eléctrico, con la dirección de correo electrónico “ H.H.H.”; así como una distinta relativa a D. E.E.E. como titular de varios contratos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 correspondientes a suministros en las direcciones “ ***DIRECCIÓN.5”, “ ***DIRECCIÓN.4 ” y “ ***DIRECCIÓN.1”. Figura como dirección de correo electrónico I.I.I., con número de teléfono ***TLF.1 y dirección postal calle ***DIRECCIÓN.4 . Por otra parte, ha quedado acreditado que, con fecha 26/05/2017, la denunciante accedió a su perfil a través del Área de Clientes habilitada en la web de ENDESA, en la URL “https://www.endesaclientes.com/oficina/contratos”, asociado al usuario “ H.H.H.”, comprobando que en el apartado “Datos del titular” consta el DNI ***DNI.1 y el nombre “ E.E.E.”, y que dicho perfil tiene asociados tres contratos correspondientes al mismo titular “ E.E.E.”, referidos a suministros en las direcciones “ ***DIRECCIÓN.5”, “ ***DIRECCIÓN.4 ” y “ ***DIRECCIÓN.1”. Como datos de contacto figura ““ E.E.E.”; en el apartado “Datos de pago” figura la cuenta bancaria ***CC.1; “Dirección de suministro” y “Dirección de envío de facturas” en “ ***DIRECCIÓN.1”; y CUPS R.R.R.. Por tanto, resulta que los datos personales y de suministros correspondientes a D. E.E.E. fueron indebidamente asociados, en el Área de clientes habilitada en la web de ENDESA, al usuario “ H.H.H.”, que corresponde al perfil de la denunciante. ENDESA ha manifestado que la denunciante y D. E.E.E. consintieron que sus datos estuvieran vinculados. Se refiere la citada entidad a la gestión realizada por ambos en relación con el contrato de suministro correspondiente a una vivienda que D. E.E.E. adquirió de la denunciante, para el que convinieron que ésta permaneciera como titular del contrato de suministro formalizado con ENDESA y aquél como persona de contacto. Sin embargo, esta circunstancia no justifica la inexactitud de los datos registrados en los ficheros de la entidad, en los que se asocia al perfil de la denunciante no sólo el contrato correspondiente a la vivienda en cuestión, sino el resto de contratos cuya titularidad pertenece a D. E.E.E.. Por tanto, los datos personales de la denunciante figuraron registrados en los sistemas de información de ENDESA asociados a los de un tercero, lo que constituye una vulneración del principio de calidad de datos. La entidad ENDESA es responsable del sistema de información en el que constan registrados los clientes y, en consecuencia, responsable de los hechos constitutivos de la infracción a lo dispuesto en el artículo 4.3 y 4 de la LOPD. Dicha entidad actuó con falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “...un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, ENDESA incumplió el mandato legal de que los datos respondan con exactitud a la situación real de los afectados, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. A este respecto, la Audiencia Nacional en su Sentencia de 21/05/2007, referida a un supuesto de error en el DNI asociado a un cliente, declaró: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso -artículo 44.3.
  6. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos han sido recogidos con el consentimiento de los afectados y para asegurase también, antes de remitir los datos a un fichero de solvencia profesional, de la calidad del dato y de su exactitud, es decir que el número de documento nacional de identidad facilitado se corresponde realmente con el de la persona deudora cuyos restantes datos de carácter personal se facilitan. Pues bien, es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En este sentido el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999”. III Los hechos expuestos, en relación con el registro de los datos personales relativos a D. E.E.E. asociados al perfil de cliente de la denunciante, según los detalles expuestos, suponen la comisión por parte de la citada entidad de una infracción del artículo 4.3 de la LOPD. La vulneración de lo dispuesto en el artículo 4 de la LOPD aparece tipificada en el artículo 44.3.
  7. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 “Son infracciones graves:
  8. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
  9. c)de la LOPD por parte de ENDESA, que trató datos inexactos de la denunciante y del tercero, plenamente amparada por el derecho regulado en la normativa expuesta. Esta inexactitud de los datos tratados supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. Este principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. IV El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan del acceso efectuado por parte de la denunciante a los datos personales de un tercero, a través del Área de Clientes habilitada por ENDESA en su web. Por tanto, procede analizar el cumplimiento por parte de la entidad ENDESA del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que ENDESA vulneró este deber de confidencialidad en relación con los datos de D. E.E.E., concretamente, los relativos a los contratos de suministros que éste tiene suscritos con aquella entidad, con detalle de las direcciones de suministro, los cuales fueron accedidos por la denunciante al haberse incorporado tales datos a la ficha de cliente de ésta, según ha quedado expuesto. Esta información no puede ser facilitada a terceros, salvo consentimiento del afectado o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de otro cliente. V Los hechos constatados, consistentes en asociar los datos un tercero a los de la denunciante, así como el acceso por parte de aquella a la información relativa al tercero, constituyen la base fáctica para fundamentar la imputación a ENDESA de las infracciones de los artículos 4.3 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, el tratamiento de datos personales del denunciante asociados a los de otro cliente deriva, a su vez, en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción prevista para la infracción del artículo 4.3 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. VI El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción, permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  25. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5 de la LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  26. c)del citado artículo para supuestos en los que “pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción”. D. E.E.E. adquirió una vivienda de la denunciante y convinieron que ésta permaneciera como titular del contrato de suministro formalizado con ENDESA y aquél como persona de contacto. Esta circunstancia justifica la vinculación de los datos personales de ambos en el contrato de suministro correspondiente y pudo tener alguna influencia en la comisión de las infracciones declaradas, aunque, obviamente, no resulta suficiente para exonerar de responsabilidad a ENDESA por cuanto no justifica la inclusión de todos los contratos de D. E.E.E. y los domicilios asociados en el perfil de la denunciante. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta, por un lado, la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal, pues la actividad que desarrolla exige un continuo tratamiento de datos de carácter personal que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa (criterio c); el volumen de negocio del infractor, al tratarse de una gran empresa en su sector de negocio habituada al tratamiento de datos personales (criterio d); así como la falta de diligencia mostrada en la respuesta a la reclamación inicial formulada por la denunciante, considerando que fue necesario que la misma reiterase dicha reclamación para que la incidencia fuera subsanada (criterio j); y por otro lado, la acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos (criterio i); el volumen de tratamientos implicados en la infracción, por cuanto la misma únicamente afectó a los datos personales de las personas reseñadas en los Hechos Probados (apartado b); y la ausencia de beneficios (criterio e). Teniendo en cuenta los criterios de graduación expresados, procede la imposición de una sanción en la cuantía de 10.000 euros, por la infracción del artículo 4.3 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA, S.A.U. con NIF *****8077 por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  27. c)de la LOPD, una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  28. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES93 2100 8981 6302 0001 1719, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  29. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.