1/6 Procedimiento Nº PS/00170/2018 RESOLUCIÓN: R/01615/2018 En el procedimiento sancionador PS/00170/2018, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA, S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 6/4/17 tiene entrada escrito de D. A.A.A. (en lo sucesivo el denunciante), manifestando que ENDESA ha celebrado un nuevo contrato de energía por vía telefónica con una tercera persona suplantando su personalidad. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ENDESA ENERGÍA, S.A.U., teniendo conocimiento de que: * Se aporta pantallazo de sus sistemas donde se reflejan los datos relativos a nombre, apellidos, domicilios, direcciones de contacto y cuentas bancarias del Sr. A.A.A.. * Se aporta pantallazo de los servicios contratados por el denunciante. Constando como fecha de alta 19/11/14 y baja 31/1/17. * Se adjunta relación de las facturas emitidas. Se manifiesta que, con relación a las mismas, no existe ninguna deuda pendiente. Adjuntándose copia del escrito que Endesa dirige al Sr. A.A.A., de fecha 14/7/17, en el que se comunica que no existe ninguna obligación pendiente, asociada a sus datos correspondientes, al punto de suministro de ***DIRECCIÓN.1. * Se aporta grabación de la contratación, de fecha 14/11/14, realizada telefónicamente, en que una tercera persona dice contratar en nombre del denunciante, sin acreditarse que actuara en representación de este por cualquier procedimiento válido en derecho. TERCERO: Con fecha 5/4/18, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ENDESA por presunta infracción del artículo 6.1 de la LOPD; infracción tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. En dicho acuerdo de manifestaba que a los efectos previstos en el art. 64.2.f de la ley 39/15 y 127 letra
- b)del RLOPD, la sanción que pudiera corresponder será de 32.000 euros CUARTO: Notificado el acuerdo de inicio, ENDESA ENERGÍA, S.A.U. ha formulado escrito de alegaciones manifestando lo siguiente: 1º Que efectivamente el 14/11/14 se llevó a cabo un cambio de tarifa en el contrato de electricidad cuyo titular era el denunciante. Este movimiento contractual fue solicitado por tercera persona, que se identificó cómo la cónyuge del denunciante y facilitó todos los datos personales del sr. A.A.A.. Dicho extremo consta acreditado en la grabación de la llamada telefónica de fecha 14/11/17. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 2º Que como consecuencia de dicho cambio contractual se emitieron facturas correspondientes al consumo eléctrico disfrutado, habiéndose abonado regularmente las comprendidas entre el periodo de diciembre de 2014 y el mes de abril de 2016. Un total de 19 facturas cuyo importe asciende a 2.218,21 euros. 3º Que dicho cambio de tarifa fue tramitado y validado por el prestador de servicios Emergía Customer Care Colombia. Se considera por la entidad denunciada que el hecho del cambio contractual cuestionado fuera tramitado por un tercero (prestador de servicios), constando el pago regular y no cuestionado de 19 facturas a partir del 14/11/14 no cabe apreciar culpabilidad o falta de diligencia en la conducta de Endesa. Sin perjuicio que, ante el desconocimiento de los hechos posteriormente denunciados, se procediera a atender la petición del denunciante desde el momento en que éste se puo en contacto con la compañía Se hace referencia a una sentencia de la Audiencia, para apoyar la petición de archivo del presente expediente sancionador, en concreto la de 12/11/09 dictada en el recurso 684/2008, donde se constató la ausencia de infracción en un supuesto análogo, en concreto en dicho caso el denunciante no había cuestionado la contratación hasta nueve meses después de haber tenido la contratación, que era conocida por el denunciante que abonó las dos primeras facturas que fueron giradas. HECHOS PROBADOS 1º Constan en la entidad denunciada los datos del denunciante como cliente de la misma. En calidad de titular del contrato de suministro de energía identificado por el siguiente código ***COD.1 y que corresponde a su domicilio sitio en ***DIRECCIÓN.1 2º Consta grabación telefónica, de fecha 14/11/14, por la que se llevó a cabo un cambio de tarifa en el contrato de electricidad. Esta modificación contractual fue solicitada por tercera persona, que se identificó cómo la cónyuge del denunciante y facilitó todos los datos personales del sr. A.A.A. 3º Consta que como consecuencia de dicha modificación contractual se emitieron 19 facturas, durante el periodo comprendido entre diciembre de 2014 y abril de 2016, que fueron regularmente abonadas. 4º Que por parte de ENDESA se procedió a regularizar la situación una vez que el denunciante se puso en contacto con dicha entidad en diciembre de 2016. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 II Se imputa a ENDESA en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, en los ficheros de la entidad denunciada, figura el denunciante como titular del contrato de suministro de energía identificado por el siguiente código ***COD.1 y que corresponde a su domicilio sitio en ***DIRECCIÓN.1 Se ha aportado copia de una grabación telefónica, de fecha 14/11/14, por la que se llevó a cabo un cambio de tarifa en el contrato de electricidad. Esta modificación contractual fue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 solicitada por tercera persona, que se identificó cómo la cónyuge del denunciante y facilitó todos los datos personales del sr. A.A.A.. Como consecuencia de dicho cambio se emitieron facturas correspondientes al consumo eléctrico disfrutado, habiéndose abonado regularmente las comprendidas entre el periodo de diciembre de 2014 y el mes de abril de 2016. Un total de 19 facturas cuyo importe asciende a 2.218,21 euros. Posteriormente, por parte de ENDESA se procedió a regularizar la situación una vez que el denunciante se puso en contacto con dicha entidad en diciembre de 2016. Debe tenerse en cuenta que el artículo 3.
- h)de la Ley Orgánica 15/1999 define que el consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.”, de lo cual se desprende la necesaria concurrencia para que el consentimiento pueda ser considerado conforme a derecho de los cuatro requisitos enumerados en dicho precepto. En definitiva, el consentimiento debe ser:
- a)Libre, lo que supone que el mismo deberá haber sido obtenido sin la intervención de vicio alguno del consentimiento en los términos regulados por el Código Civil.
- b)Específico, es decir referido a una determinada operación de tratamiento y para una finalidad determinada, explícita y legítima del responsable del tratamiento, tal y como impone el artículo 4.2 de la Ley Orgánica 15/1999.
- c)Informado, es decir que el afectado conozca con anterioridad al tratamiento la existencia de este y las finalidades para las que el mismo se produce. Precisamente por ello el artículo 5.1 de la Ley Orgánica impone el deber de informar a los interesados de una serie de extremos que en el mismo se contienen.
- d)Inequívoco, lo que implica que no resulta admisible deducir el consentimiento de los meros actos realizados por el afectado (consentimiento presunto), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento. De las características del consentimiento no se infiere necesariamente su carácter expreso en todo caso, razón por la cual en aquellos supuestos en que el legislador ha pretendido que el consentimiento deba revestir ese carácter, lo ha indicado expresamente; como sucede con los datos especialmente protegidos regulados en el art 7 de la LOPD. En el resto de las circunstancias el consentimiento puede ser tácito, ahora bien, para que este consentimiento pueda considerarse inequívoco deben existir una serie de indicios de los que puede deducirse con suficiente base que el interesado ha prestado su consentimiento para el tratamiento de sus datos. Indicios que pueden expresarse tanto en acciones como en omisiones. En el caso que nos ocupa el denunciante era el titular del contrato de suministro. Dicho contrato sufrió un cambio, con fecha 14/11/14, por tercer persona – que se identificó como cónyuge del denunciante, pero sin acreditar la representación del mismo, de lo que se deduce que no se acreditó el consentimiento del sr A.A.A. para el tratamiento de sus datos personales contraviniendo así el art.6. No obstante el hecho de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 durante 19 meses se cargara en su cuenta las facturas correspondientes al consumo eléctrico disfrutado, - derivada del cambio de tarifas: sin haberse opuesto a las mismos, implica la existencia de una legitimación del tratamiento en base a la existencia de un consentimiento tácito por parte del denunciante que no se opuso, dentro de un plazo razonable de tiempo a tal tratamiento. En consecuencia, aunque el tratamiento de los datos del denunciante por Endesa fue irregular, al no acreditarse que la tercera persona que modificó el contrato de suministro de energía a nombre del titular contara con su consentimiento, y autorización, para realizar dicha novación contractual, debe considerarse que dicho consentimiento se otorgó tácitamente por el afectado tras tener conocimiento, y a haber procedido al pago regular de 19 facturas sin haber cuestionado aquellas. El abono de una serie de facturas como indicio suficiente de un consentimiento tácito del denunciante en el tratamiento de sus datos ha sido confirmado en la Audiencia Nacional en diversas sentencias; que han estimado esa circunstancia como causa que exonera la presunta culpabilidad de la entidad denunciada. (Entre ellas, SAN de 16/04/09, de 04/06/09, 12/11/09, 03/03/11 y 12/01/12) El artículo 126.1, apartado segundo, del RLOPD establece que: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ENDESA ENERGIA SAU De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es