PS-00181-2019

1/32  Procedimiento Nº: PS/00181/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11/05/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en adelante, la reclamante) mediante el que formula reclamación contra IBERDROLA CLIENTES, S.A.U., con NIF A95758389 (en adelante, la reclamada o IBERCLI). La reclamación se funda en el tratamiento que la reclamada ha hecho de los datos personales de la reclamante sin legitimación: ha dado de baja su contrato de electricidad con Iberdrola Comercialización de Último Recurso (IBERCUR); ha dado de alta varios contratos vinculados a sus datos personales y los ha comunicado a una tercera empresa -la gestora de cobros CONECTA- que le ha requerido el pago de deudas generadas por uno de los contratos en los que ella no ha sido parte. Acompaña a su escrito de reclamación y al escrito denominado “ampliación de denuncia”, que entró en el Registro de la AEPD el 16/07/2018, entre otros, los documentos siguientes: - Copia de su DNI y de un documento de la AEAT que acredita que el domicilio del punto de suministro es el domicilio de la reclamante. - El contrato de suministro de electricidad que la reclamante había suscrito con IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U., (en adelante, IBERCUR) el 31/10/2010, contrato número 366266032. En ese contrato figuran el nombre, dos apellidos y NIF de la reclamante; su domicilio, que coincide con el del punto de suministro ***DIRECCIÓN.1; su dirección electrónica ***EMAIL.1; su teléfono móvil, ***TELÉFONO.1 y los veinte dígitos de su cuenta bancaria en la entidad ***ENTIDAD.1, cuenta finalizada en ***CUENTA.1 También el CUPS de electricidad de su vivienda, ES0021000011763787LC. - Copia de los siguientes contratos que se dieron de alta por IBERCLI a nombre de la reclamante y que ella niega haber celebrado: 1. Contrato número 610761973 de suministro eléctrico (forma parte del denominado “contrato plan libre Iberdrola”) en el que es parte IBERCLI. El número de CUPS que consta en el documento es ES0021000011763787LC. Como fecha de inicio del contrato figura el 06/03/2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/32 * Vinculados a este número de contrato aporta estos documentos: - Las facturas de fechas 14/03/2018, número 211803140102239489, de 29,27 euros y de 22/06/2018, número 21180622090000002, de 193,70 euros. - Carta que la entidad reclamada dirige a la reclamante, de fecha 22/06/2018 en la que consta como “Nº referencia: 610761973, 1027868920, 2006993465”. 2. Contrato número 1027868920 de suministro de gas (forma parte del denominado “contrato plan libre Iberdrola”). Como fecha del contrato se indica que finalizará el 01/09/2018 y que la “fecha de inicio queda condicionada a la existencia de un contrato de acceso con la distribuidora y a la actuación sobre las instalaciones cuando esto fuera necesario, será la del primer día del periodo de lectura establecido y que se indicará en la primera factura”.. *Vinculados al este número de contrato la reclamante aporta: - Recibos de adeudo por débito directo SEPA de fecha 28/03/2018, por importe de 324,51 euros; de 13/04/2018, por importe de 332,86 euros y de fecha 30/04/2018, por importe de 40,54 euros. El acreedor es en todos los adeudos la entidad reclamada. El deudor es en ambos B.B.B.. El concepto facturado es IBERDROLA GAS 1027868920. -Las siguientes facturas: de fecha 05/04/2018, número 21180405010278445, de 332,86 euros, y de fecha 20/04/2018, número 21180420010347176, de 40,54 euros. -Una carta que la entidad reclamada dirige a la reclamante, de fecha 26/04/2018, en la que le comunica la baja del contrato por lo que, al haber realizado el cambio antes de la fecha prevista para el fin del contrato, “procederemos a facturarle 55,20 euros por baja anticipada”. * Para ambos contratos (1 y 2) además del nombre, apellidos y NIF de la reclamante consta su dirección, que es también la del punto de suministro, la referencia catastral de la vivienda, el número de teléfono móvil, la dirección electrónica y los veinte dígitos de una cuenta bancaria que la reclamante reconoce como propia de la entidad ***ENTIDAD.2 cuyos últimos dígitos son ***CUENTA.2 Se aporta un documento relativo a la “Orden de domiciliación de adeudo directo SEPA” que lleva preimpresos los datos personales de la reclamante. 3. Contrato número 2006993465, de Mantenimiento de Gas. *Vinculados a este número de contrato se aportan los documentos siguientes: - Dos recibos de adeudo por débito directo SEPA de fechas 18/05/2018, por importe de 11,01 euros, y de 20/06/2018, por importe de 11,01 euros. El emisor del recibo es la reclamada. El concepto facturado “IBERDROLA OTROS 2006993465”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/32 -Dos facturas de fechas 18/06/2018, número 21180618010392804, y 22/06/2018, número 21180622010357457. - En los contratos 1, 2 y 3, los datos personales de la afectada (nombre, apellidos y NIF); domicilio del punto de suministro; referencia catastral de la vivienda, teléfono móvil y correo electrónico son idénticos a los que se recogen en el contrato que la reclamante celebró con IBERCUR. - Copia de la denuncia policial interpuesta en fecha 20/09/2017 en la Comisaría de Policía de Madrid, ***COMISARÍA.1. Expone que estando en el extranjero recibió un SMS informándole de que se había efectuado correctamente el cambio de titular del contrato solicitado. Que, habida cuenta de que no había solicitado ningún cambio en la titularidad del contrato, contactó con la entidad y formuló reclamación. Que accedió a la parte privada de la gestión on line de IBERDROLA comprobando que su contrato figuraba de baja y que no existía ningún otro contrato a su nombre. La reclamante aporta capturas de pantalla de un terminal móvil relativas a SMS recibido. - Copia de numerosas comunicaciones por email mantenidas con el Servicio de Atención al Cliente de “IBERDROLA”. La más antigua que se aporta es de 15/11/2017 y la más reciente de fecha 04/05/2018. - Un CD con la grabación de la conversación en la que la empresa CONECTA LEGAL le reclama el pago de cantidades debidas por el titular del contrato con número 610761973. SEGUNDO: A. A la vista de los hechos expuestos en la reclamación, la AEPD, en el marco del expediente E/ 3027/2018, a través de un escrito firmado el 01/06/2018, dio traslado de ella a la entidad reclamada para que en el plazo de un mes facilitara a esta Agencia una explicación sobre los hechos expuestos en la reclamación, detallara las medidas adoptadas para evitar que en el futuro se sigan produciendo situaciones similares y procediera también a comunicar su decisión al reclamante. El escrito se notificó a la reclamada electrónicamente. Así lo acredita el certificado expedido por la FNMT que obra en el expediente, siendo la fecha de puesta a disposición el 01/04/2018 y la fecha de aceptación de la notificación el 04/06/2018. En fecha 08/07/2018 se recibe en el Registro de la AEPD un escrito de la reclamada en el que acusa recibo del requerimiento informativo que le fue notificado el 04/06/2018 y solicita que se le conceda una ampliación del plazo para responder. Asimismo, en escrito firmado el 01/06/2018, notificado a través de correo postal, la AEPD acusó recibo de la reclamación y comunicó a la reclamante el traslado de la reclamación a la entidad reclamada. En fecha 16/07/2018 la reclamante presenta un nuevo escrito (que denomina de ampliación de denuncia) y nuevos documentos. En fecha 04/10/2018 no se ha recibido respuesta de la reclamante a la petición de información efectuada. En esa misma fecha, de acuerdo con lo prevenido en el Real Decreto-Ley 5/2018, de medidas urgentes para la adaptación del Derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/32 español a la normativa de la Unión Europea en materia de protección de datos, se acuerda Admitir a Trámite la reclamación formulada frente a IBERCLI. B. A la vista de los hechos expuestos en la reclamación y de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) y de conformidad con lo establecido en el Real Decreto-Ley 5/2018. La Inspección de Datos de la AEPD hizo un requerimiento a la reclamada, firmado el 27/11/2018. Según el certificado expedido por la FNMT el documento se puso a disposición en la sede electrónica en esa fecha y la notificación fue aceptada por la reclamada en fecha 28/11/2018. En abril de 2019 no se había recibido en la AEPD la respuesta de la reclamada al requerimiento que le hizo la Inspección de Datos. La información que se requirió a la reclamada y a la que ésta decidió no responder, fue la siguiente: a. 1. Respecto a los contratos que se relacionan -todos ellos suscritos por esa entidad en fecha 13/03/2018 a nombre de la reclamante- que detalle cuál fue el medio a través del cual se obtuvo su consentimiento a la contratación: Contrato número 610761973, de electricidad. b. Contrato de gas número 1027868920 c. Contrato de mantenimiento de gas número 2006993465 1. En relación con los mismos contratos, que aporte los documentos que acrediten haber recabado de la titular sus datos personales, así como el consentimiento específico para celebrar a su nombre cada uno de ellos (contratos de gas, electricidad y mantenimiento de gas). Deberá aportar la documentación acreditativa de haber adoptado las medidas dirigidas a verificar la identidad de la persona que facilitó como propios los datos de la reclamante, en su caso. 2. Documentación acreditativa de que la titular de los datos prestó su consentimiento para que IBERDROLA CLIENTES, S.A.U., domiciliara los recibos emitidos en virtud de los contratos precitados en una cuenta bancaria de su titularidad. 3. Impresiones de pantalla procedentes de sus sistemas informáticos relativas a los contratos número 610761973, de electricidad, número 1027868920 de gas y de mantenimiento de gas número 2006993465. Las impresiones de pantalla deberán aportar todos los datos personales que figuran y han figurado asociados a los contratos de referencia desde su apertura. 4. Explicación de la razón por la cual el contrato de gas número 1027868920 figura asociado a B.B.B. 5. Copia de todas las facturas emitidas por IBERDROLA CLIENTES vinculadas a los contratos con referencia 610761973, 1027868920 y 2006993465. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/32 6. Copia de todas las reclamaciones de las que tengan constancia formuladas por la reclamante y vinculadas a los contratos precitados. 7. Copia del contrato de prestación de servicios suscritos con la gestora de cobros CONECTA. Acreditación documental de la fecha en la que comunicó a CONECTA los datos personales de la reclamante para gestionar el cobro de deudas pendientes. En fecha 03/05/2019 se firma el Informe de Actuaciones de Investigación Previa. TERCERO: Con fecha 8 de mayo de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. CUARTO: Notificado el acuerdo de inicio la reclamada presenta alegaciones que tienen entrada en el Registro de la AEPD el 11/06/2019, en las que solicita el archivo de las actuaciones. En defensa de esta pretensión invoca los argumentos siguientes: A. De carácter jurídico: - Explica que los hechos de los que trae causa el presente procedimiento acontecieron antes de la entrada en vigor del RGPD, el 25/05/2018, por lo que estima que esta norma no resulta de aplicación al caso. Y añade que, incluso siendo de aplicación el RGPD, no se habría producido una infracción del artículo 6.1 del Reglamento (UE) 2016/679. - Afirma: “consta acreditado que IBERCLI trató los datos personales de la reclamante legítimamente y con la única finalidad de arreglar un error imputable a la vecina de la reclamante y totalmente ajeno a IBERCLI ” En esa línea argumental dice: “Fue la propia reclamante quien pidió a IBERCLI en su reclamación que se arreglase una incidencia; esto es, consintió que IBERCLI tratase los datos para reparar el error causado por la vecina de la reclamante”. Y añade que, puesto que IBERCLI no podía revertir la situación por sí misma “fue necesario ponerse en contacto con su anterior comercializadora, IBERCUR, para que IBERCUR pudiese volver a poner a nombre de la reclamante su contrato de electricidad.” - Afirma, en atención a su razonamiento precedente, que no se habría producido una conducta antijurídica ni menos aún concurrirían las agravantes que la AEPD apreció en el acuerdo de inicio del expediente. A tal efecto indica: a. Que el “alta de los contratos de la reclamante en IBERCLI ha sido necesaria únicamente con el objetivo de poder solucionar la incidencia, ya que, si no se producía el cambio de titularidad de los contratos en IBERCLI erróneamente cambiados a nombre de la vecina de la reclamante, no hubiese sido posible restituir el contrato de la misma a su comercializadora de origen, IBERCUR”. b. Que no ha existido falta de diligencia alguna pues puso en marcha los medios para solucionar la situación tan pronto tuvo noticia de ella. c. Que colabora con la AEPD y está comprometida con la legalidad pero que “en esta situación de excepcionalidad ha sido extremadamente complejo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/32 - - aglutinar todas las evidencias requeridas”. d. Que estamos ante un hecho puntual frente al gran volumen de datos de clientes que se ve obligada a tratar. Alega que la reclamante no ha sufrido consecuencias gravosas por estos hechos y dice que ésta “ha podido disfrutar en todo momento de sus suministros pese a que su vecina por error se los había asignado contractualmente…” Añade que los importes correspondientes a los contratos de gas -que según la reclamada la reclamante habría consumido durante el periodo de tiempo en el que los contratos estuvieron a su nombre- no se le han reclamado y se han condonado las deudas. Alega que no ha obtenido beneficio alguno derivado del error de la vecina de la denunciante. A. Respecto a los hechos acaecidos. Describe los hechos objeto del expediente como el “error de un tercero (vecina de la reclamante) ajeno a la reclamante y a IBERCLI”. Confirma que la reclamante era titular de un contrato de electricidad (número 3662660032) para el punto de suministro de su vivienda suscrito con otra empresa del grupo, IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U. - Que, en fecha 29/08/2017, la señora C.C.C. llamó por teléfono “a IBERCLI para solicitar la contratación del suministro de electricidad, con número de referencia 610761973, en un domicilio”. Añade que “Por error, la señora B.B.B. indicó como domicilio el ubicado en C/ ***DIRECCIÓN.1 domicilio de la reclamante, cuando en realidad la señora C.C.C., como posteriormente se ha podido comprobar, tenía como domicilio C/ ***DIRECCIÓN.2”. (El subrayado es de la AEPD) Concluye esta explicación afirmando que “actuó con la debida diligencia” y que “se limitó a dar de alta un nuevo contrato a nombre de la señora C.C.C. en un domicilio erróneo, que era en realidad el domicilio de la reclamante…”. (El subrayado es de la AEPD) Aporta como documento anexo un CD con la grabación de la contratación realizada por la señora C.C.C.. En la grabación se escucha: - C/ Jorge Juan, 6 28001 – Madrid <<Vamos a grabar su aceptación hoy, día 29 de agosto de 2017, a las 18 y 10 minutos, para que IBERDROLA CLIENTES S.A.U. contrate el acceso con el Distribuidor de electricidad en su representación. Entonces, doña C.C.C., con DNI ***NIF.1, autoriza a IBERDROLA CLIENTES S.A.U., para que respecto del suministro de energía eléctrica situado en la calle ***DIRECCIÓN.1… con número de CUPS ES 0021 0000 1176 3787 LC, del que usted va a ser titular, ostente su representación ante la empresa Distribuidora del suministro referenciada para contratar el acceso a la red eléctrica … Bien, a continuación, le indico los datos de contacto facilitados. Tenemos, como correo electrónico ***EMAIL.2; como teléfono de contacto ***TELÉFONO.2 y como cuenta bancaria de La Caixa con entidad ***ENTIDAD.3, Sucursal ***SUCURSAL.1, dígitos de control ***DIGITO.1 y cuenta número ***CUENTA.3. ¿ Nos confirma estos datos como titular? -Sí>> IBERCLI añade que el 31/08/2017 la señora C.C.C. llamó de nuevo www.aepd.es sedeagpd.gob.es 7/32 por teléfono a esa entidad “solicitando contratación del suministro de gas, generándose por tanto a su nombre el contrato de gas número de referencia 1027868920 (no había contrato anterior en IBERCLI, ya que su Comercializadora de gas era Endesa, como indica la reclamante) en el domicilio por ella indicado erróneamente en su primera llamada, esto es, en C/ ***DIRECCIÓN.1 …” Y concluye la reclamada en estos términos: “Es decir, actuando IBERCLI con la debida diligencia, se limitó a dar de alta otro nuevo contrato a nombre de la Señora C.C.C. en un domicilio erróneo, que era el domicilio de la reclamante…”. Aporta como documento anexo un CD con la grabación de la contratación del suministro de gas efectuada por la señora C.C.C. que se transcribe seguidamente: - <<A partir de este momento vamos a grabar su aceptación hoy día 31 de agosto de 2017 a las 6 y 12 minutos …. IBERDROLA para solicitar el cambio de suministrador de gas natural en su representación Entonces, doña C.C.C., con DNI ***NIF.1, autoriza a Iberdrola Clientes, S.A.U., con respecto al suministro de gas natural, actualmente comercializado por ENDESA, situado en la calle ***DIRECCIÓN.1, con número de cups 70236700061493VG, del que usted va a ser titular, … Bien, a continuación, le indico los datos que constan el teléfono ***TELÉFONO.2. El correo electrónico ***EMAIL.2 La cuenta bancaria de La Caixa con entidad ***ENTIDAD.3, Sucursal ***SUCURSAL.1, dígitos de control ***DIGITO.1 y cuenta número ***CUENTA.1. ¿Nos confirma estos datos como titular? - Sí>> Que en fecha 07/09/2017, en virtud de una llamada telefónica, se realizó un cambio de titularidad en los contratos de electricidad 610761973 y de gas, número de referencia 1027868920, a nombre de la madre de la señora C.C.C., B.B.B.. La entidad reclamada afirma que “los pantallazos” que aporta acreditan lo manifestado. Estos “pantallazos” son, en un caso, un cuadro de diálogo desgajado de la pantalla en la que se hubiera generado y, en los otros dos casos, uno de los pantallazos está parcialmente cercenado. En el cuadro de dialogo la información que se ofrece es exclusivamente, además del nombre de la nueva cliente, B.B.B., la fecha y hora de creación y la fecha y hora de modificación que es en ambos casos la misma -el 07/09/2017- y el domicilio en el número “***DIRECCIÓN.1” de la calle ***DIRECCIÓN.1 No consta el número del contrato, por lo que se ignora a cuál corresponde, ni por supuesto tampoco el número de CUPS. Sin embargo, de los dos pantallazos aportados llama la atención que el primero de ellos sí muestra una información que no aparece en el segundo: La imagen comienza indicando “Consulta Contratos Libres Gas” y seguidamente aparece la “Dirección” y el “Titular”. Como dirección figura “***DIRECCIÓN.2” (el subrayado es de la AEPD) y como titular la señora B.B.B. Sobre la primera imagen figura un cuadro desplegado que lleva por rúbrica “Condiciones Contractuales”. En él consta, asociado al contrato con referencia 1027868920, el nombre de la señora C.C.C.; como estado la indicación “baja” y como fechas de solicitud de activación y desactivación, respectivamente, el 31/08/2017 y el 07/09/2017. El segundo pantallazo contiene la misma información con la salvedad que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/32 - en el apartado destinado al titular del contrato figura la señora B.B.B. Aporta copia de la carta de fecha 22/06/2018 que IBERCLI dirigió a la reclamante y a su domicilio que en su encabezado izquierdo lleva la siguiente indicación: “Nº referencia: 0610761973,1027868920 y 2006993465”;” Código de Reclamación: 206007300, 486725300 y 786725300”; “Producto: Suministro electricidad; Suministro Gas y Mantenimiento”. Del texto de la carta reproducimos los fragmentos siguientes: << (…) Debido a una incidencia, se dio de alta con IBERDROLA CLIENTES, S.A.U., el contrato 0610761973 ubicado en C/ ***DIRECCIÓN.1. …a nombre de un tercero, en el cual se asignó el CUPS …de su suministro eléctrico por error. Asimismo, le indicamos que procedió a la actualización de los datos del titular recogidos en el contrato indicado ubicado en ***DIRECCIÓN.1…asignándole como titular del mismo. Le comunicamos que está pendiente de pago un importe de 331,68 € correspondientes a las facturas emitidas durante este periodo, las cuales procederemos a detallar. (…) Por otro lado, con respecto a los contratos 1027868920 y 2006993465, le informamos que hemos procedido a desvincularlo de los mismos….>> QUINTO: Es digno de mención que el Acuerdo de Inicio del PS/181/2019, en el punto 3 de su parte dispositiva, acordó incorporar al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la reclamante y su documentación; los documentos obtenidos y generados por la Subdirección de Inspección de Datos durante la fase de investigaciones y el Informe de actuaciones previas de inspección. SEXTO: En fecha 21/01/2019 se emite la propuesta de resolución del PS/181/2019 formulada en los siguientes términos: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a IBERDROLA CLIENTES, S.A.U., con NIF A 95758389, por la conducta contraria al artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, tipificada en el artículo 44.3.

1. b)de la LOPD, con multa administrativa de 50.000 € (cincuenta mil euros). SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a IBERDROLA CLIENTES, S.A.U., con NIF A 95758389, por las conductas contrarias al artículo 6 del RGPD, tipificadas en el artículo 83.5 del RGPD, con multa administrativa de 80.000 € (ochenta mil euros).>> SÉPTIMO: La LPACAP dispone en el artículo 73.1: “Los trámites que deban ser cumplimentados por los interesados deberán realizarse en el plazo de diez días a partir del siguiente al de la notificación del correspondiente acto, salvo en el que caso de que en la norma correspondiente se fije un plazo distinto”. La propuesta de resolución se notificó electrónicamente a IBERCLI siendo la fecha de puesta a disposición en la sede electrónica el 21/01/2020 y la fecha de aceptación de la notificación por la destinataria el día 22/01/2020 a las 06:03:38 horas, tal y como lo acredita el certificado de la FNMT que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/32 Así pues, el término inicial del cómputo de diez días hábiles es el 23/01/2020 por lo que el último día del plazo para evacuar el trámite de alegaciones a la propuesta de resolución era el 05/02/2020. A fecha 06/02/2020 no se tiene noticia de que la reclamada hubiera presentado en la sede electrónica sus alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes HECHOS PROBADOS 1.- La reclamante, A.A.A., con NIF ***NIF.2 y domicilio en ***DIRECCIÓN.1 -según consta en la copia de su DNI y en la captura de pantalla de la AEAT con la consulta a sus Datos Identificativos y Censales, documentos ambos que obran en el expediente administrativo- manifiesta que la reclamada ha tratado sus datos personales sin su consentimiento, entre ellos sus datos bancarios; ha dado de alta, vinculados a sus datos personales, diversos contratos en los que ella no ha sido parte y le ha reclamado, a través de una tercera entidad, el pago de una deuda derivada de la ejecución de uno de dichos contratos. 2.- La reclamante suscribió en octubre de 2010 con Iberdrola Comercialización Último Recurso, NIF A95554630 (IBERCUR) el contrato de suministro eléctrico para su vivienda, número de referencia 366266032. En ese contrato –cuya copia obra en el expediente y que está firmado por la reclamante- se incluyen, además del número de CUPS de su vivienda, ES 0021000011763787LC, los siguientes datos personales de la reclamante: su nombre y apellidos; el NIF; el teléfono móvil, ***TELÉFONO.1; su dirección electrónica, ***EMAIL.1; y los veinte dígitos de la cuenta bancaria de domiciliación del pago de las facturas, cuenta perteneciente a la entidad ***ENTIDAD.1 y finalizada en los dígitos ***CUENTA.1. En el contrato, en el apartado “Productos y servicios que se contratan” se indica “Plan Estable”. 3.- La reclamante ha manifestado en relación con el suministro de gas de su vivienda que “siempre” tuvo contratado y ha seguido teniendo contratado este servicio con ENDESA. 4.- IBERCLI afirma en sus alegaciones al acuerdo de inicio del expediente que “Con fecha 29/08/2017, Doña B.B.B. llamó al teléfono de atención al cliente de IBERCLI para solicitar la contratación del suministro eléctrico con número de referencia 6107619, en un domicilio. Por error la señora C.C.C. indicó como domicilio el ubicado en ***DIRECCIÓN.1, …, cuando …., tenía como domicilio C/ ***DIRECCIÓN.2”; “IBERCLI …se limitó a dar de alta un nuevo contrato a nombre de la señora C.C.C. en un domicilio erróneo…”. (el subrayado es de la AEPD) IBERCLI aporta un CD con la grabación de la contratación del suministro eléctrico por la señora C.C.C. : <<Vamos a grabar su aceptación hoy, día 29 de agosto de 2017, a las 18 y 10 minutos, para que IBERDROLA CLIENTES S.A.U. contrate el acceso con el Distribuidor de electricidad en su representación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/32 Entonces, doña C.C.C., con DNI ***NIF.1, autoriza a IBERDROLA CLIENTES S.A.U., para que respecto del suministro de energía eléctrica situado en la calle ***DIRECCIÓN.1,… con número de CUPS ES 0021 0000 1176 3787 LC, del que usted va a ser titular, ostente su representación ante la empresa Distribuidora del suministro referenciada para contratar el acceso a la red eléctrica … Bien, a continuación, le indico los datos de contacto facilitados. Tenemos, como correo electrónico ***EMAIL.2; como teléfono de contacto ***TELÉFONO.2 y como cuenta bancaria de La Caixa con entidad ***ENTIDAD.2, Sucursal ***SUCURSAL.1, dígitos de control ***DIGITO.1 y cuenta número ***CUENTA.3. ¿ Nos confirma estos datos como titular? -Sí>> 5.- IBERCLI afirma en sus alegaciones al acuerdo de inicio del expediente que con fecha 31/08/2017 la señora C.C.C. “llamó nuevamente al teléfono de atención al cliente de IBERCLI, solicitando …la contratación del suministro de gas, generándose por tanto a su nombre un contrato de gas con número de referencia 1027868920” Añade que “IBERCLI …se limitó a dar de alta otro nuevo contrato a nombre de la señora en un domicilio erróneo…”. (El subrayado es de la AEPD) Aporta como documento anexo un CD con la grabación de la contratación realizada por la citada señora: <<A partir de este momento vamos a grabar su aceptación hoy día 31 de agosto de 2017 a los 6 y 12 minutos …. IBERDROLA para solicitar el cambio de suministrador de gas natural en su representación Entonces, doña C.C.C., con DNI ***NIF.1, autoriza a Iberdrola Clientes, S.A.U., con respecto al suministro de gas natural, actualmente comercializado por ENDESA, situado en la calle ***DIRECCIÓN.1, con número de cups 70236700061493VG, del que usted va a ser titular, …Bien, a continuación, le indico los datos que constan el teléfono ***TELÉFONO.2. El correo electrónico ***EMAIL.2. La cuenta bancaria de La Caixa con entidad ENTIDAD.3, Sucursal ***SUCURSAL.1, dígitos de control DIGITO.1 y cuenta número ***CUENTA.3. ¿Nos confirma estos datos como titular? - Sí>> 6.- Obran en el expediente dos contratos a nombre de la reclamante emitidos por IBERCLI en fecha 13/03/2018 en el marco del denominado “Contrato Plan Libre IBERDROLA”: El contrato relativo al suministro de electricidad para el CUPS ES 0021000011763787LC -número de contrato 610761973-, con fecha de inicio 06/03/2018, y el contrato de suministro de gas -número de contrato 1027868920sobre cuya fecha de inicio se indica que será la del primer día del periodo de lectura establecido y se indicará en la primera factura. En ambos constan los siguientes datos personales de la reclamante: nombre y dos apellidos; NIF; teléfono móvil; dirección email; dirección de suministro y referencia catastral de la vivienda. Esos datos personales son idénticos a los que figuran en el contrato 366266032 que la reclamante celebró en el año 2010 con IBERCUR, (ver Hecho Probado 2). También una cuenta bancaria de la reclamante: IBAN ESXX XXXX XXXX XXXX XXXX XXXX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/32 7.- Obra en el expediente una captura de pantalla obtenida el 26/04/2018 desde el área de clientes del sitio web www.iberdrola.es que versa sobre un contrato a nombre de la reclamante en el que constan sus datos personales antes transcritos: nombre, apellidos, NIF, dirección de suministro, teléfono móvil y dirección email. El contrato es el número 2006993465, relativo a un servicio de mantenimiento de gas, de fecha de alta 16/04/2018. 8.- Obra en el expediente copia de un contrato de suministro de electricidad -sin número identificativo- emitido el 13/03/2018 por IBERDROLA COMERCIALIZACIÓN DE ÚLTIMO RECURSO, S.A.U., a nombre de la reclamante. El contrato incluye los datos personales de la reclamante: además del nombre y dos apellidos, el NIF, el número de móvil, la dirección electrónica y la referencia catastral de la vivienda. Como “Modalidad de contrato” figura “Precio voluntario” (El subrayado es de la AEPD) 9.- Obra en el expediente documentación relativa a varios adeudos efectuados por IBERCLI en la cuenta bancaria de la reclamante y de varias facturas emitidas por esa entidad a nombre de la reclamante: 9.1. Documento de “adeudo de débito directo”, emitido por IBERCLI con fecha de cargo 20/06/2018, por importe de 11,01 euros, contra la cuenta bancaria de la que la reclamante es titular ( ESXX XXXX XXXX XXXX XXXX XXXX) por el concepto “IBERDROLA OTROS 2006993465, Madrid, CL ****DIRECCIÓN.1” 9.2. Documento idéntico al anterior, de “adeudo de débito directo”, emitido por IBERCLI, por importe de 11,01 euros, contra la cuenta bancaria de la que la reclamante es titular (ESXX XXXX XXXX XXXX XXXX XXXX) por el concepto “IBERDROLA OTROS 2006993465, Madrid, CL ***DIRECCIÓN.1” pero de fecha de cargo 18/05/2020. 9.3. Copia de las facturas emitidas por IBERCLI con referencia al contrato de mantenimiento de gas 2006993465 en las que se indica que la reclamante es la titular: -Factura número 2118068010392804 emitida el 18/06/2018 por importe de 11,01 euros. - Factura número 21180622010357457 emitida el 22/06/2018 por importe de 13,32 euros. - Factura número 21180622090000007, emitida el 22/06/2018 por importe de 0 euros. 9.4. Facturas emitidas por IBERCLI relativas al contrato de suministro eléctrico con número de referencia 610761973 del que se indica que es titular la reclamante en el punto de suministro correspondiente a su vivienda: -Factura número 21180622090000001 emitida el 22/06/2018 por importe de 108,11 euros, rectificativa de otra anterior de 27/02/2018. -Factura número 21180622090000002 emitida el 22/06/2018 por importe de 193,70 euros rectificativa de otra anterior de 05/01/2018. 10.- Recibidas por la reclamante obran en el expediente diversas cartas, remitidas tanto de IBERCLI como de IBERCUR, en las que estas entidades responden a sus múltiples reclamaciones: A. De IBERCLI: 1. Carta de 27/09/2017, enviada en respuesta a “su reclamación de 22/09/2018” -en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/32 la que la reclamante ha incorporado de forma manuscrita la indicación de que la reclamación se hizo el 30/08/2017- en la que le informan del número asignado a su reclamación: 769190300. 2. Carta de 03/10/2017, con idéntico número de reclamación, 769190300, en la que la reclamada le informa de que han revisado “el procedimiento llevado a cabo a la hora de tramitar el cambio de titular realizado en el contrato 610761973, ubicado en calle Puente Viesgo, 4 D…y no hemos encontrado ninguna anomalía al respecto”. (El subrayado es de la AEPD) B. De IBERCUR: En todas figura como referencia el número de contrato 366266032, que es el contrato de suministro eléctrico que la reclamante suscribió en 2010 con esa entidad: 1. Carta de 06/09/2017, de respuesta a la reclamación formulada el 30/08/2017 en la que informa del número asignado a la reclamación: 791760300. 2. Carta de 22/11/2017, de respuesta a la reclamación formulada el 15/11/2017 en la que informa del número asignado a la reclamación: 117471300. 3. Carta de 08/03/2018, de respuesta a la reclamación formulada el 01/03/2018 en la que informa del número asignado a la reclamación: 688144300. 4. Carta de 26/03/2018, de respuesta a la reclamación formulada el 16/03/2018 en la que informa del número asignado a la reclamación: 936464300. 11.- Enviados por la reclamante obran en el expediente diversos correos electrónicos dirigidos a la reclamada, entre otros, citamos los siguientes: 1. Dirigido a documenta1@iberdrola.es , de fecha 27/10/2017, con el que adjunta copia de su DNI y del domicilio fiscal ante Hacienda pues le pidieron que acreditara que vivía en su casa. Finaliza diciendo: “¿Pueden por favor indicarme cómo tengo que hacer para cambiar el titular del contrato 366266032 a mi nombre?” 2. Dirigido a clientes@iberdrola.com , de fecha 15/11/2017, en el que les recuerda que tiene el gas contratado con ENDESA y que con IBERDROLA sólo tiene contratado el suministro eléctrico, contrato número 366266032; que no ha hecho ningún cambio de titularidad; que para poder cambiar la titularidad de su contrato sería necesario conocer muchos datos que es imposible que un tercero llegue a saber. Que pese a que le informaron que si enviaba acreditación documental de que efectivamente el punto de suministro era su casa volverían a dar de alta su contrato número 366266032, esto no ha ocurrido. 3. Dirigido a clientes@iberdrola.com , de fecha 16/03/2018: “Mi contrato es el número 366266032. Nunca he dado la orden de hacer los contratos que me estáis enviando”. “El contrato 0610761973, no es mío. Jamás lo he contratado. Yo tengo el gas con ENDESA y nunca he dicho que lo quiera tener con ustedes.” “El contrato 1027868920 tampoco es mío. Jamás he dado la orden de contratarlo”. (El subrayado es de la AEPD) 12. IBERCLI envió a la reclamante en fecha 22/06/2018 una carta que hace referencia a los contratos de electricidad, gas y mantenimiento de gas que dio de alta a su nombre. En su encabezado izquierdo dice: “Nº referencia: 0610761973,1027868920 y 2006993465”;” Código de Reclamación: 206007300, 486725300 y 786725300”; “Producto: Suministro electricidad; Suministro Gas y Mantenimiento”. Del texto de la carta reproducimos los fragmentos siguientes: << (…) Debido a una incidencia, se dio de alta con IBERDROLA CLIENTES, S.A.U., el contrato 0610761973 ubicado en C/ ***DIRECCIÓN.1. …a nombre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/32 de un tercero, en el cual se asignó el CUPS …de su suministro eléctrico por error. Asimismo, le indicamos que procedió a la actualización de los datos del titular recogidos en el contrato indicado ubicado en C/ ***DIRECCIÓN.1… asignándole como titular del mismo. Le comunicamos que está pendiente de pago un importe de 331,68 € correspondientes a las facturas emitidas durante este periodo, las cuales procederemos a detallar. (…) Por otro lado, con respecto a los contratos 1027868920 y 2006993465, le informamos que hemos procedido a desvincularlo de los mismos….>> 13.Obra en el expediente copia de la denuncia formulada por la reclamante ante la Policía el 20/09/2018 en la que relató los hechos acaecidos en fecha 30/08/2018: Que estando en el extranjero, y teniendo contratado el suministro eléctrico de su vivienda con Iberdrola Comercialización de Último recurso, S.A.U., -contrato número 366266032-, recibió un SMS en el que le informaban de que “se había procedido correctamente al cambio de titular del contrato”. Que como no había efectuado ningún cambio de titularidad, procedió a contactar con la empresa a través de su hermano confirmándole la entidad que no se trataba de un error y que una “mujer cuya inicial del nombre era “B” había procedido a cambiar la titularidad del contrato, así como el número de cuenta”. 14. Obra en el expediente captura de pantalla de un terminal móvil con el texto del SMS recibido el 30/08/2017: “Iberdrola INFO: Cambio de titular realizado en el contrato ref. 366266032 de la C/ ***DIRECCIÓN.1…Más info en el 900225235”. 15. Obra en el expediente aportado por la reclamante un CD con la grabación de una llamada telefónica recibida por la reclamante cuyo diálogo reproducimos parcialmente: “(…) - Sí, buenos días. Mi nombre es D.D.D. y llamo de CONECTA LEGAL representando a Iberdrola. Quería hablar con doña A.A.A.. - Soy yo - El motivo de la llamada (…) es en relación a dos facturas pendientes de pago para la dirección de suministro eléctrico en calle ***DIRECCIÓN.1, en Madrid, por un importe de 301,81 euros. - Sí - (…) - Estas facturas son de Iberdrola Clientes y vienen de un contrato que termina en 73 (…)” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/32 autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II A la luz de la documentación que obra en el expediente se evidencia que los hechos que se someten a la consideración de esta Agencia se concretan en varias conductas de la entidad IBERCLI, independientes entre sí, ambas contrarias a la normativa de protección de datos de carácter personal. Estas conductas - cuya descripción se detalla en los Fundamentos siguientesconsistieron, por una parte, en dar de baja sin su consentimiento, y sin que concurriera alguna de las dispensas del consentimiento previstas en la norma, un contrato de electricidad que la reclamante tenía suscrito con otra comercializadora. La segunda conducta de IBERCLI contraria a la normativa de protección de datos es haber dado de alta a nombre de la reclamante tres contratos (de electricidad, de gas y de mantenimiento de gas) sin estar legitimada para ese tratamiento de los datos de la afectada y en haber tratado también sus datos bancarios para pasarle al cobro facturas sin que IBERCLI hubiera tenido acceso a tales datos a través de su titular o por otro medio legítimo. Además, IBERCLI comunico a una empresa de recobros -CONECTA LEGAL- los datos personales de la reclamante sin que ese tratamiento pueda ampararse en alguna causa de licitud prevista en el artículo 6.1 del RGPD. Esto, porque el importe reclamado no le era exigible a la reclamante conforme a los dispuesto en la Ley General de Consumidores y Usuarios. Si bien los elementos fácticos que conducen a esta conclusión quedaban indicados en el acuerdo de inicio del expediente sancionador, la documentación que la reclamada aportó con sus alegaciones al acuerdo de inicio (recordemos que no respondió ni a la solicitud informativa ni al requerimiento que se le hizo en actuaciones de investigación previa) permitieron en fase de propuesta de resolución concretar y diferenciar con exactitud ambas conductas. Así pues, el cambio de calificación jurídica que se realizó en la propuesta de resolución fue consecuencia lógica de estimar -a la luz de lo manifestado por la reclamada en sus alegaciones al acuerdo de inicio del expediente- que estamos ante dos conductas independientes y no, como se sostuvo en el acuerdo de inicio, de una misma conducta iniciada en agosto de 2017 y concluida en junio de 2018. Cabe añadir sobre ese particular que no se aplica a los hechos analizados el artículo 29.5 de la Ley 40/2015, de Régimen Jurídico del Sector Público, toda vez que la comisión de la segunda infracción “no deriva” “necesariamente” de la primera. Tampoco es de aplicación el artículo 29.6 de la citada Ley, pues la pluralidad de acciones contrarias a Derecho de las que se responsabiliza a IBERCLI en este expediente sancionador no se ejecutaron “aprovechando idéntica ocasión” como exige el precepto. Respecto a si era o no procedente cambiar en fase de propuesta la calificación jurídica de los hechos objeto de la reclamación -calificación jurídica que se había efectuado en el acuerdo de Inicio- y a la incidencia que tal cambio pudiera tener en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/32 derecho de defensa de la entidad reclamada, como se expuso en la propuesta de resolución nada impide hacer esa modificación siempre y cuando, como aquí sucede, permanecen invariables los hechos en los que se funda la imputación formulada en el acuerdo de inicio del expediente. El Tribunal Constitucional ha manifestado que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). (El subrayado es de la AEPD). Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 03/03/2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). Trasladando las reflexiones precedentes al supuesto analizado ninguna duda cabe de que los hechos quedaron expuestos con claridad en el acuerdo de inicio, como lo demuestra que IBERCLI hubiera aportado con sus alegaciones al acuerdo de inicio del expediente sancionador documentos y explicaciones que, específicamente, versaban sobre esos hechos. III A. - La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), vigente hasta el 25/05/2018, fecha de aplicación efectiva del Reglamento (UE) General de Protección de Datos 2016/679 (RGPD), disponía en su artículo 6 bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la Ley Orgánica 15/1999 consagraba el “principio del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/32 consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos, que aludía a la necesidad de contar con el consentimiento del titular de los datos para tratar sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituía una vulneración de este derecho fundamental, pues, únicamente el consentimiento, con las excepciones contempladas en la ley, legitimaba el tratamiento. El artículo 44.3. LOPD tipificaba como infracciones graves en su apartado
2. b)“Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. B.- IBERCLI ha reconocido en sus alegaciones al acuerdo de inicio que dio de alta a nombre de la señora C.C.C. sendos contratos de suministro de luz y gas vinculados a un domicilio erróneo, el domicilio de la reclamante, número ***DIRECCIÓN.1 toda vez que, como la propia reclamada ha manifestado, el domicilio correcto era el número ***DIRECCIÓN.2 de la misma calle. IBERCLI -que no respondió ni a la solicitud de información previa a la admisión a trámite de la reclamación ni tampoco al requerimiento informativo que le hizo la Inspección de Datos en el curso de las actuaciones de investigación previa- ha aportado con su escrito de alegaciones al acuerdo de inicio un CD que contiene una grabación en la que doña C.C.C. (en lo sucesivo, la vecina), identificándose con su nombre, dos apellidos y NIF y facilitando sus datos bancarios para la domiciliación de los recibos, solicita en fecha 29/08/2017 la contratación del suministro eléctrico para el domicilio de calle ***DIRECCIÓN.1 -esto es, para el domicilio de la reclamante- y facilita como número de CUPS de electricidad ES 0021 0000 1176 3787LC, esto es, el CUPS de electricidad de la vivienda de la reclamante. Paralelamente, consta acreditado en el expediente que la reclamante tenía contratado el suministro eléctrico de su vivienda desde octubre de 2010 con otra comercializadora distinta de la reclamada, exactamente con IBERCUR, siendo el número de contrato el 366266032. El examen del contrato entre la reclamante e IBERCUR nos informa de que el contrato suscrito era de la modalidad “Plan Estable” y que el CUPS de electricidad de su vivienda era el ES 0021 0000 1176 3787LC. En ese documento contractual figuran numerosos datos personales de la reclamante además del NIF, nombre y dos apellidos: el número de teléfono móvil, la dirección electrónica o el número de referencia catastral de la vivienda. Ahora bien, para que IBERCLI pudiera dar de alta a nombre de la vecina un contrato de suministro eléctrico asociado al CUPS de electricidad de la vivienda de la reclamante tenía que gestionar un cambio en la titularidad del contrato y un cambio de comercializadora, toda vez que el referido CUPS de electricidad estaba vinculado al contrato 366266032, del que la reclamante era titular y del que era parte IBERCUR. Para la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/32 -como también lo es para el RGPD-, norma vigente en la fecha en la que IBERCLI da de alta a nombre de la vecina el contrato de electricidad vinculado al CUPS de la reclamante, el 29/08/2017, la operación efectuada por IBERCLI implicaba un tratamiento de los datos personales de la afectada. Recordemos que el artículo 3.c de la LOPD definía el tratamiento de datos como “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. (El subrayado es de la AEPD) Así pues, aplicando la normativa de protección de datos entonces vigente (LOPD y su Reglamento de desarrollo), IBERCLI habría estado legitimada para tratar los datos personales de la reclamante si hubiera recabado su consentimiento para el cambio de titularidad del contrato (ex artículo 6.1 LOPD), lo que evidentemente no ocurrió, o bien hubiera acreditado que ostentaba un interés legítimo para ese tratamiento (por aplicación directa del artículo 7.
3. f)de la Directiva 95/46 CE, al no responder el artículo 6.2 LOPD, in fine, a una correcta trasposición de aquella norma, a tenor de la STS de 08/02/2012, Rec. 25/2008) Interés legítimo que, entendemos, estaría presente cuando quien solicita el alta del contrato es el real y efectivo usuario de la vivienda. De tal forma que, en el supuesto analizado -y toda vez que, obviamente, no se contaba con el consentimiento de la afectada para el tratamiento de sus datos materializado en la baja del contrato que tenía suscrito con IBERCUR-, el tratamiento de datos personales realizado por IBERCLI únicamente podría ser lícito si constara acreditado que obtuvo de la persona que solicitaba contratar con ella el suministro eléctrico (la vecina) el documento acreditativo de que ella era la usuaria efectiva de la vivienda. Es evidente que tal documento no se obtuvo, pues la reclamante acreditó ante IBERCLI días más tarde, en octubre de 2017 -a través del certificado censal de la AEAT- que ella era la efectiva usuaria de la vivienda del número ***DIRECCIÓN.1, a lo que añadió que era la única ocupante de la vivienda y su propietaria. Habida cuenta de que IBERCLI realizó un cambio de comercializadora con cambio simultáneo de titular, de conformidad con la normativa específica del sector eléctrico -en particular artículo 83 del Real Decreto 1955/2000, por el que se regulan las actividades de transporte, distribución, conservación, suministro y procedimientos de autorización de instalaciones eléctricas- y de conformidad con las aclaraciones que la Comisión Nacional de la Energía (CNE) hace de ellas a través de sus Informes, en los supuestos de cambio de comercializador con cambio de titular simultaneo el nuevo titular debe acreditar el justo título para proceder a un traspaso del contrato de acceso a red y el comercializador -en este caso IBERCLI- estaba obligada a comprobar y custodiar la documentación (por todos, Informe CNE de 28/02/2013) En relación con los hechos que examinamos, y toda vez que lo que IBERCLÍ efectuó fue un cambio de comercializadora (el CUPS de la reclamante estaba vinculado a un contrato con IBERCUR) y un cambio simultaneo de titular, debía haber recabado de la vecina el justo título para efectuar la gestión que llevó a cabo y que implicó un tratamiento de los datos personales de la reclamante. IBERCLI ni contaba con el consentimiento de la afectada para tratar sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/32 ni la nueva titular o cliente ostentaba un título que habilitara a esa entidad, al amparo del interés legítimo (ex artículo 7.f de la Directiva 95/46 CE), a tratar los datos personales de la reclamante concretado en el cambio de titularidad de su contrato de energía eléctrica con IBERCUR como paso previo para gestionar el cambio de comercializadora. Dicho lo anterior resulta sorprendente que IBERCLI respondiera a la reclamante en su carta de 27/09/2017 -número de referencia de reclamación 769190300- que en relación al cambio de titular realizado en el contrato 610761973 (que es el número de contrato de electricidad que IBERCLI dio de alta a nombre de la vecina) “no hemos encontrado ninguna anomalía al respecto”. Los hechos expuestos no son -como invoca la reclamante como argumento central de su defensa- consecuencia de un “error” de la vecina. Efectivamente, si nos atenemos a la grabación aportada, la vecina facilitó un CUPS de electricidad y un domicilio erróneo, ya que pertenecía a la reclamante. Ahora bien, este error de la vecina es irrelevante a los efectos que nos ocupan pues lo determinante es que IBERCLI incumplió la normativa de protección de datos vigente. A tenor del artículo 6.1 LOPD el tratamiento de los datos de un tercero exigía contar con su consentimiento salvo las excepciones contempladas en la Ley. El artículo 6.2 LOPD añadía que no sería preciso el consentimiento en diversos supuestos que se relacionaban entre los que se mencionaba (in fine) “cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción de un interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derecho y libertades fundamentales del interesado”. Debe tenerse en cuenta que la STS de 08/02/2012 (Rec 25/2008) -que recoge el resultado de la cuestión prejudicial planteada ante el TJUE- concluye que en la medida que el precepto hace mención a los datos que figuran en fuentes accesibles al público -condición que no constaba en la Directiva 95/46 CE que la LOPD traspuso al ordenamiento interno- resultaba contrario a la previsión de la Directiva, artículo 7, f). Y concluye, asimismo, al amparo de lo resuelto por el TJUE, que el artículo 7,
4. f)de la citada Directiva resultaba de aplicación directa al ordenamiento interno español. En conexión con lo expuesto, en un supuesto como el que aquí examinamos en el que se solicitaba un cambio de comercializadora con cambio simultáneo del titular, amparar el tratamiento de los datos de la anterior titular en el interés legítimo que tiene IBERCLI en desarrollar su actividad empresarial exige que la entidad cumpla la normativa específica del sector eléctrico para gestionar los cambios de comercializadora con cambio de titular. Inciden en esta materia diversas normas jurídicas entre las que cabe mencionar el Real Decreto 1955/2000, de 1 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de energía eléctrica, cuyo artículo 83 se ocupa del “Traspaso y subrogación de los contratos de suministro a tarifa y de acceso a las redes”; el Real Decreto 1011/2009, por el que se regula la Oficina de Cambios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/32 Suministrador, al que se le encomiendan entre sus funciones (artículo 3) la verificación del efectivo consentimiento de los consumidores al cambio de suministrador. También el Real Decreto 1435/2002, que regula las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, que dedica su artículo 7 al “Sistema de información de puntos de suministro que debe mantener el distribuidor” La Comisión Nacional de la Energía (CNE) a través de sus informes ha interpretado las normas jurídicas precitadas considerando, por lo que ahora nos atañe, que el comercializador entrante es el único interlocutor del consumidor durante el proceso de cambio, pues favorece la sencillez del procedimiento y reduce posibles barreras de cambio, y que el comercializador entrante debe ser responsable de encargarse de la tramitación del cambio y de la custodia de la documentación que pruebe de manera inequívoca la conformidad del cliente. En su informe de 28/02/2013 -en respuesta a la consulta planteada por una asociación sobre la acreditación del justo título en los procesos de cambio de suministro y de cambio de titular del contrato con acceso a red- afirma que el comercializador entrante es el único interlocutor del consumidor durante el proceso de cambio. La CNE añade en su informe: “Así, la Orden ITG/1659/2009 hace descansar sobre el comercializador la obligación de disponer en todo momento de la documentación que acredite la voluntad del cliente a cambiar de suministrador a su favor. En esta línea, el Real Decreto 1011/2009 en su apartado
5. q)introduce entre las funciones de OCSUM la verificación del efectivo consentimiento de los consumidores al cambio de comercializador, mientras que en el apartado
6. p)y la Orden ITC/1659/2009 confiere a OCSUM la facultad de poder exigir toda la documentación que precise para verificar la adecuada aplicación del proceso y su autenticidad.” Y, finalmente, el informe de la CNE concluye lo siguiente: “Por tanto, el nuevo titular debe acreditar el justo título para proceder a un traspaso de contrato de acceso a red, y el comercializador deberá custodiar y comprobar la documentación en particular para aquellos casos en los que se solicita un cambio de comercializador con cambio de titular simultáneo siendo OCSUM quien tiene la faculta de poder exigir toda la documentación para verificar el proceso de cambio”. En el presente caso, los hechos expuestos evidencian con claridad que IBERCLI obró con absoluta falta de diligencia en el cumplimiento de las obligaciones que le imponía la normativa de protección de datos vigente. Hasta tal punto es así que, en este caso particular, habría bastado con que esa entidad cumpliera su normativa específica , a tenor de la cual debía haber recabado y conservado el justo título en el cual la persona que solicitaba ser el nuevo titular, en este caso la vecina, sustentaba su solicitud de alta del contrato vinculado al CUPS de la vivienda de la reclamante. El tratamiento efectuado por IBERCLI de los datos personales de la reclamante -conducta materializada en la baja del contrato de electricidad del que ella era parte con la comercializadora IBERCUR para el CUPS de su vivienda- ni contaba con el consentimiento de la titular, ex artículo 6.1 LOPD, ni puede ampararse en la dispensa del consentimiento del artículo 6.2. LOPD, in fine, el interés legítimo de la entidad reclamada –por aplicación directa del artículo 7 f, Directiva 95/46 CE-, siendo por tanto subsumible en el tipo sancionador del artículo 44.3. LOPD, precepto que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/32 establecía: “Son infracciones graves: (…)
7. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. C.- Llegados a este punto se debe recordar que la infracción del artículo 6.1 LOPD de la que se responsabiliza a IBERCLI no ha prescrito. El artículo 47.1 de la LOPD establecía que las infracciones graves prescribirían a los dos años y señalaba que “El plazo de prescripción empezará a contarse desde el día en que la infracción se hubiera cometido” (apartado 2) y que interrumpe la prescripción “la iniciación, con conocimiento del interesado, del procedimiento sancionador…”. En el supuesto analizado IBERCLI dio de baja el contrato que la reclamante había suscrito con IBERCUR -fruto del cambio de comercializadora y cambio de titular del suministro eléctrico asociado al CUPS de su vivienda- como muy pronto el 30/08/2017. Recordemos que la grabación telefónica de la conversación en la que la vecina solicitaba contratar con IBERCLI es del 29/08/2017. Paralelamente, está acreditado en el expediente que el acuerdo de inicio del PS 181/2019 se firmó por la Directora de la AEPD el 08/05/2019 y que IBERCLI recibió la notificación del citado acuerdo de inicio en fecha 13/05/2019, por tanto, antes de que transcurriera el plazo de dos años que el artículo 47.1 LOPD establecía para la prescripción de las infracciones graves. D.-El artículo 45 de la LOPD disponía en sus apartados 1 a 5: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
8. a)El carácter continuado de la infracción.
9. b)El volumen de los tratamientos efectuados.
10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
11. d)El volumen de negocio o actividad del infractor.
12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
13. f)El grado de intencionalidad.
14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/32 procedimientos no debida a una falta de diligencia exigible al infractor.
17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Centrándonos en los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, estimamos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia: - “La vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal” (artículo 45.4 apartado c). El desarrollo de la actividad empresarial de IBERCLI exige un constante tratamiento de datos personales, tanto de clientes como de terceros. -“El importante volumen de negocio”,(apartado d del artículo 45.4 LOPD). IBERCLI tiene la consideración de gran empresa del sector energético, hecho notorio sobre el que no es precisa prueba. -“El grado de intencionalidad”, apartado f), expresión que debe entenderse en el sentido de grado de culpabilidad. A tal efecto merece destacarse la grave falta de diligencia demostrada por la reclamada en la conducta que es objeto de valoración en el expediente, pues no adoptó ninguna medida – a la que viene obligada tanto por su normativa específica como por la LOPD- con el fin de acreditar que existía un título legítimo a nombre de la tercera persona que solicitó el cambio de titularidad del contrato eléctrico de la reclamante (esto es, de la vecina) Es necesario tomar en consideración, en este sentido, la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la reclamada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Estas empresas deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26/11/2008. - "Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/32 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”, (apartado j del artículo 45.4 LOPD) Se debe recordar que la reclamante formuló reclamaciones ante la entidad, la primera de ellas el mismo día 30/08/2017; que facilitó a la reclamada, a fin de que ésta pudiera constatar la irregularidad de su conducta, tanto la copia de su DNI como el certificado censal de la AEAT que le permitía verificar que ella era la usuaria de la vivienda a la que correspondía el CUPS que vinculó al contrato de un tercero (la vecina). Pese a que la reclamante hizo las gestiones oportunas para que IBERCLI reconociera su actuación irregular la entidad, más al contrario, afirmó -carta dirigida a la reclamante de fecha 3/10/2017- que el procedimiento llevado a cabo para el cambio de titular se había revisado y no había encontrado ninguna anomalía al respecto. Por otra parte, no cabe estimar como atenuante a favor de IBERCLI la circunstancia descrita en el apartado
23. e)del artículo 45.4 LOPD: “Los beneficios obtenidos como consecuencia de la comisión de la infracción”. En ese sentido resulta muy esclarecedora la SAN de 17/04/2018 (Rec. 254/2017) en la que el Tribunal rechazó la pretensión de la parte demandante, sancionada por la AEPD, de que se estimara como atenuante el artículo 45.4. e), LOPD, por no haber existido beneficios. La citada SAN argumentó lo siguiente (Fundamento Jurídico tercero): “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. En atención a la exposición precedente, valorados los criterios de graduación de las sanciones descritos en los artículos 45.4 y 45.5 de la LOPD; no habiendo estimado la concurrencia de ninguna de las atenuantes cualificadas del artículo 45.5 LOPD ni tampoco de las atenuantes descritas en el artículo 45.4 LOPD y apreciando en calidad de agravantes las descritas en los apartados c, d, f y j del artículo 45. 4 LOPD, se acuerda sancionar a IBERCLI como responsable de una infracción del artículo 6.1 de la LOPD, tipificada en el artículo 44.3.b, LOPD, con una multa de 50.000 € (cincuenta mil euros) III A.- El Reglamento (UE) General de Protección de Datos 2016/679 (RGPD) dedica el artículo 5 a los principios que deben regir el tratamiento y, entre ellos, menciona los de “licitud, lealtad y transparencia”. El precepto dispone: “1. Los datos personales serán: Tratados de manera lícita, leal y transparente con el interesado;” El artículo 6 del RGPD -bajo la rúbrica “Licitud del tratamiento”- detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
24. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/32
25. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
26. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
27. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
28. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
29. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
30. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. (…)” Se ha de indicar, asimismo, que el artículo 5 del RGPD, después de aludir en su apartado 1 a los principios relativos al tratamiento de los datos personales -entre ellos, como se expone en párrafos anteriores, al de “licitud”-, añade en el apartado 2: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” La infracción del artículo 6.1 del RGPD se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
31. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” Se debe recordar, además, que la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), a efectos de prescripción, califica en su artículo 72.1.
32. b)como infracción muy grave “El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679” B. Los hechos probados ponen de manifiesto que la reclamante presentó numerosas reclamaciones ante la reclamada para que su contrato número 366266032 con IBERCUR volviera a figurar a su nombre. Como manifestó en la denuncia presentada en la Comisaría de Policía a raíz de recibir el 30/08/2017 un SMS que le informaba de un cambio en la titularidad de su contrato no constaba en la página web de la entidad ningún contrato de electricidad a su nombre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/32 Como queda acreditado en el Hecho Probado 11, la reclamante remitió a la reclamada en fecha 27/10/2017 una copia de su DNI y del certificado censal de la AEAT en el que constaba que su domicilio era el del punto de suministro pues, según indica en su correo electrónico, le solicitaron tal documentación para resolver la situación irregular provocada. En ese correo electrónico la reclamante ruega que le indiquen “qué tiene que hacer para cambiar el titular del contrato 366266032 a su nombre”. En el correo electrónico que la reclamante envía a clientes@iberdrola.com el 15/11/2017 insiste en que no ha hecho ningún cambio de titularidad; que su contrato es con IBERCUR y que tiene el gas contratado con ENDESA. Sin embargo, IBERCLI procedió a dar de alta a nombre de la reclamante y vinculados a sus datos personales (nombre y dos apellidos, NIF, teléfono móvil, dirección electrónica y datos bancarios, cuenta ESXX XXXX XXXX XXXX XXXX XXXX ) tres contratos: de electricidad, de gas y de mantenimiento de gas. En tal sentido obran en el expediente facilitados por la reclamante las copias de dos contratos que la reclamada le remitió y en los que ella figura como titular: El contrato de electricidad vinculado al CUPS de su vivienda, número 610761973, (el mismo número del contrato que IBERCLI suscribió con la vecina en agosto de 2017 asociado al CUPS eléctrico de la reclamante) y un contrato de gas número 1027868920. En ambos consta como fecha de emisión el 13/03/2018. En estos contratos figura como titular la reclamante -identificada por su nombre, dos apellidos y NIF- y se incluyen también los restantes datos personales de la reclamante que aparecían en el contrató que sí celebró en 2010 con IBERCUR: número de móvil y dirección electrónica. También se incluyen los veinte dígitos de una cuenta bancaria que pertenece a la reclamante (ESXX XXXX XXXX XXXX XXXX XXXX) A propósito de esos datos bancarios -que son distintos de los que figuraban en el contrato celebrado con IBERCUR en 2010- conviene precisar que tal diferencia es lógica. Que no podían permanecer los mismos datos bancarios que figuraban en el documento contractual de 2010 porque la entidad a la que pertenecía esa cuenta (código 0072) era el Banco Pastor, que fue absorbida en el año 2012 por el Banco Popular. Asimismo, obra en el expediente documentación que acredita que IBERCLI dio de alta, vinculado a los datos personales de la reclamante, un contrato de servicios de mantenimiento de gas número 2006993465, en fecha 26/04/2018. En relación con este contrato IBERCLI emitió facturas a nombre de la reclamante hasta el 22/06/2018 (fecha de la factura más antigua, con número de referencia 21180622010357457 por importe de 13,32 euros). También consta una factura emitida el 18/06/2018 (número 21180618010392804) por importe de 11,01 euros. Igualmente, obran en el expediente dos documentos obtenidos a través de internet relativos a “Adeudos de débito sepa” contra la cuenta bancaria ESXX XXXX XXXX XXXX XXXX XXXX con indicación de que su titular es la reclamante. Ambos adeudos estás emitidos por IBERCLI por el concepto “IBERDROLA OTROS 2006993465 ***DIRECCIÓN.1” siendo las fechas de cargo, respectivamente, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/32 20/06/2018 y el 18/05/2019. Extremos relevantes que demuestran que el tratamiento por IBERCLI de los datos personales de la reclamante sin legitimación para ello se mantuvo en el tiempo más allá de la fecha de aplicación efectiva del RGPD, el 25/05/2018. Respecto al contrato de electricidad número 610761973 que IBERCLI dio de alta vinculado al CUPS de electricidad de la reclamante y asociados a sus datos personales obran en el expediente administrativo copia de diferentes facturas emitidas por la reclamada, entre ellas una de fecha 22/06/2018 por importe de 108,11 euros, que rectifica otra anterior de 27/02/2018, y la emitida también el 22/06/2018 de 193,70 euros que rectifica otra de 05/01/2018. Por lo que atañe al contrato de gas que IBERCLI vinculó a los datos personales de la reclamante, número 1027868920, entre la documentación aportada por la reclamante figuran los siguientes documentos con relevancia a los efectos que nos ocupan: - La copia de un recibo de adeudo por débito directo SEPA con el anagrama de Banco Popular siendo la entidad emisora IBERCLI, la titular y deudora la reclamante, la fecha de vencimiento el 30/04/2018 y el concepto “IBERDROLA GAS 1027868920 Madrid, CL Puente Viesgo4, 1 izq” por un importe de 40,54 euros. - La copia de un recibo de adeudo por débito directo SEPA con el anagrama de Banco Popular siendo la entidad emisora IBERCLI la titular y deudora la reclamante, la fecha de vencimiento el 13/04/2018 y el concepto “IBERDROLA GAS 1027868920 Madrid, CL Puente Viesgo4, 1 izq” por un importe de 332,86 euros. - La copia de un recibo de adeudo por débito directo SEPA con el anagrama de Banco Popular siendo la entidad emisora IBERCLI, la fecha de vencimiento el 28/03/2018 y el concepto “IBERDROLA GAS 1027868920 Madrid, ***DIRECCIÓN.1” por un importe de 332,86 euros. En este documento, sin embargo, figura como titular y deudora B.B.B., quien IBERCLI ha identificado como la madre de C.C.C. (la vecina) a cuyo nombre dio de alta contratos de luz (vinculado al CUPS de la reclamante) y de gas. La citada señora es la propietaria de la vivienda ocupada por C.C.C. y según explicó IBERCLÍ procedió a cambiar a su nombre la titularidad de los contratos que su hija dio de alta con esa entidad en septiembre y octubre de 2017. C.- El principio de licitud que debe presidir el tratamiento de datos de terceros y que desarrolla el artículo 6.1. del RGPD, lleva implícito que el responsable sea capaz de demostrar su cumplimiento (principio de responsabilidad proactiva, artículo 5.2 del RGPD) Así pues, en el presente caso, incumbe a IBERCLI la carga de la prueba de la contratación con la reclamante. Bajo la normativa anterior, en supuestos como el que aquí se plantea, la Sala de lo Contencioso Administrativo de la Audiencia Nacional consideró que cuando el titular de los datos negaba la contratación correspondía la carga de la prueba a quien afirmaba su existencia, debiendo el responsable del tratamiento de datos de terceros recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/32 consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. IBERCLI no ha aportado ningún documento que acredite que el tratamiento de los datos de la reclamante, concretado, entre otras conductas, en los tres contratos precitados y en las facturas emitidas -que evidencian que el tratamiento continuó en el tiempo con posterioridad a la fecha de aplicación efectiva del RGPD- pueda ampararse en alguna de las causas de licitud que el artículo 6 del RGPD detalla. A raíz de que la reclamante recibiera los tres contratos que la reclamada dio de alta a su nombre comunicó a IBERCLÍ reiteradamente que ella no era parte en ningún de ellos. Los citados documentos suscitan también esta pregunta: cómo pudo IBERCLI conocer datos personales de la reclamante que esta no le había facilitado, tales como la cuenta bancaria. En el curso de las reclamaciones que la reclamante dirigió a la reclamada se comunicó con ella a través de su correo electrónica y también facilitó a IBERCLI la copia de su DNI e incluso el certificado censal de la AEAT en el que figuraban entre otros datos su número de móvil y su dirección electrónica. Estos datos se facilitaron por la reclamante a la reclamada con una finalidad concreta -la de acreditar ante la compañía que había tratado sus datos personales ilícitamente al dar de baja su contrato de electricidad con IBERCUR que ella era la efectiva usuaria de la vivienda asociada al CUPS de electricidad del contrato- y no con la finalidad para la cual fueron empleados -el alta a su nombre de los contratos aludidos-. Más problemática es la cuestión referente al tratamiento de los datos bancarios de la reclamante. A la luz de la documentación de que se dispone ni la reclamante los facilitó ni la reclamada pudo obtenerlos a través de la Distribuidora de energía. Basta para ello acudir al Real Decreto 1435/2002, relativo a la información de la que disponen las empresas distribuidoras respecto a los puntos de suministro conectados a sus redes, para comprobar (artículo 7) que los datos bancarios de domiciliación no figuran en la relación de información disponible. En definitiva, IBERCLI no trató lícitamente los datos personales de la reclamante cuando dio de alta a su nombre los tres contratos ya mencionados (de electricidad, gas y mantenimiento de gas) a los que se incorporaron sus datos incluidos los datos bancarios de los que se ignora cómo los obtuvo. IBERCLI ha argumentado en defensa de su pretensión de archivo del expediente que el tratamiento que hizo de los datos de la reclamante era lícito, pues el consentimiento a ese tratamiento, a juicio de la reclamada, estaba implícito en la petición de la reclamante de que se solventara la situación irregular que sufría que, en opinión de IBERCLI, tenía como única responsable a la vecina. El argumento de la reclamada no puede prosperar pues, a la luz de los diversos escritos de reclamación que la reclamante presentó (correos electrónicos enviados a la reclamada que obran en el expediente) manifestó de modo taxativo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/32 inequívoco y reiterado que ella no había celebrado los contratos que IBERCLI vinculaba a su nombre. Es más, antes de que estos contratos se emitieran a nombre de la reclamante (el 13/03/2018), según IBERCLI con el propósito de solucionar el problema, la reclamante se dirigió a la entidad y le solicitó una explicación acerca de los pasos que ella tenía que dar para que volviera a estar a su nombre el contrato de suministro eléctrico que tenía con IBERCUR. La entidad tenía que haber informado a la reclamante de lo ocurrido y de las posibilidades de que disponía para solucionar la irregularidad. Sin embargo, la información que IBERCLI dio a la reclamante fue que el cambio de titular había sido correcto. No puede aceptarse la explicación de IBERCLI según la cual el tratamiento ilícito de los datos de la reclamante vinculados al alta de tres contratos eran la solución a la situación irregular provocada por ella. Se añade a lo expuesto que IBERCLI, en carta dirigida a la reclamante de fecha 22/06/2018, le informa de que procede a desvincular de sus datos los contratos de gas 1027868920 y de mantenimiento de gas y a anular las facturas generadas. En la misma carta, en relación con el contrato de suministro eléctrico 610761973, IBERCLI le requiere el pago de una deuda pendiente. Extremo este último que ha de ponerse en relación con el hecho de que, como consta acreditado en el expediente -toda vez que así lo reconoce IBERCLI y de que la reclamante ha aportado una grabación de la conversación mantenida- la reclamada comunicó a un tercero, una gestora de cobros, CONECTA LEGAL, los datos personales de la reclamante vinculados a la deuda que le atribuía a fin de que le requiriese el pago de aquélla. Esta conducta de IBERCLI evidencia un nuevo tratamiento de datos de la reclamante sin legitimación, contrario al artículo 6 del RGPD. La comunicación de los datos de la reclamante a CONECTA LEGAL no resulta ajustada a Derecho pues la finalidad de tal comunicación era el requerimiento de una supuesta deuda cuando a tenor del Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios no era exigible a la reclamante el importe requerido. Conviene recordar que a conforme al artículo 66 quater del Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios, en la medida en que la reclamante nunca otorgó su consentimiento a la contratación con IBERCLI del suministro eléctrico (contrato número 610761973) no le era exigible el importe requerido. El precepto citado dispone: “1. Queda prohibido el envío y el suministro al consumidor y usuario de bienes, de agua, gas o electricidad, de calefacción mediante sistemas urbanos, de contenido digital o de prestación de servicios no solicitados por él, cuando dichos envíos y suministros incluyan una pretensión de pago de cualquier naturaleza. En caso de que así se haga, y sin perjuicio de la infracción que ello suponga, el consumidor y usuario receptor no estará obligado a su devolución o custodia, ni podrá reclamársele pago alguno por parte del empresario que envió el bien o suministró el servicio no solicitado. En tal caso, la falta de respuesta del consumidor y usuario a dicho envío, suministro o prestación de servicios no solicitados no se considerará consentimiento. En caso de contratos para el suministro de agua, gas, electricidad – C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/32 cuando no estén envasados para la venta en un volumen delimitado o en cantidades determinadas–, o calefacción mediante sistemas urbanos, en los que el suministro ya se estuviera prestando previamente al suministro no solicitado al nuevo suministrador, se entenderá el interés del consumidor en continuar con el suministro del servicio con su suministrador anterior, volviendo a ser suministrado por éste quién tendrá derecho a cobrar los suministros a la empresa que suministró indebidamente. 2. Si el consumidor y usuario decide devolver los bienes recibidos no responderá por los daños o deméritos sufridos, y tendrá derecho a ser indemnizado por los gastos y por los daños y perjuicios que se le hubieran causado.” (El subrayado es de la AEPD) Resulta de lo expuesto que IBERCLI vulneró el principio de licitud, pues realizó diversos tratamientos de los datos personales de la reclamante que no cumplían ninguna de las condiciones descritas en los diversos apartados del articulo 6.1 del RGPD para que el tratamiento de los datos personales de un tercero sea licito. La reclamada dio de alta, asociados a los datos de la reclamante -nombre y apellidos; NIF; domicilio; correo electrónico; teléfono móvil y datos bancarios- tres contratos: de electricidad, gas y mantenimiento de gas. Emitió facturas a su nombre; giró varios adeudos contra su cuenta bancaria y comunicó sus datos personales a un tercero (CONECTA LEGAL) sin legitimación, toda vez que el importe que debía ser requerido a la reclamante no le era exigible en tanto ella no había sido parte en el contrato del que derivaba la supuesta deuda. D.- El tratamiento de los datos personales de la reclamante efectuado por IBERCLI sin que haya aportado documento alguno que acredite que estaba amparado en alguna de las causas de licitud del artículo 6 del RGPD, es subsumible en el tipo sancionador del artículo 83.5.a, del RGPD. El artículo 83.5 del RGPD dice que las infracciones que detalla a través de cinco apartados se sancionarán con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A ese respecto debe tomarse en consideración que la cifra de negocio de IBERCLI durante el ejercicio 2018 fue de 7.946.415.000 euros y que el 4% de tal cantidad asciende a 317.856.600 €. A fin de concretar el importe de la multa administrativa que corresponde imponer, se ha de estar a las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/32 “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
33. a)a
34. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
35. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
36. b)la intencionalidad o negligencia en la infracción;
37. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
38. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
39. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
40. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
41. g)las categorías de los datos de carácter personal afectados por la infracción;
42. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
43. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
44. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
45. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
46. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo con lo previsto en el artículo 83.2.
47. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
48. a)El carácter continuado de la infracción.
49. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
50. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
51. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
52. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
53. f)La afectación a los derechos de los menores.
54. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
55. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/32 A la luz de las normas transcritas y a fin de concretar el importe de la sanción de multa que corresponde imponer a IBERCLI como responsable de una infracción tipificada en el artículo 83.5.
56. a)del RGPD, se aprecia la concurrencia, en calidad de agravantes, de las circunstancias siguientes: - La duración del tratamiento ilícito de los datos de la reclamante efectuado por IBERCLI. La documentación que integra el expediente revela que el tratamiento en el que se concreta la conducta infractora analizada se inició el 13/03/2018 y se mantuvo, al menos, hasta el 22/06/2018; esto es, durante más de tres meses. Se toman en consideración a tal fin, entre otros extremos, la fecha de emisión de los contratos a nombre de la reclamante y la fecha de la factura más reciente que obra en el expediente. - El alcance del tratamiento (artículo 83.2.a, RGPD) pues los datos personales de la reclamante que han sido objeto de tratamiento por IBERCLI ilícitamente fueron varios: el nombre y dos apellidos, NIF, domicilio particular, número de teléfono móvil y los datos bancarios. Por otra parte, tal y como se detalla en los Fundamentos precedentes, son varias las conductas contrarias al principio de licitud a través de las que IBERCLÍ trató los datos personales de la reclamante: emitió tres contratos a su nombre; emitió facturas a su nombre derivadas de esos contratos; giró cargos contra la cuenta bancaria de la reclamante y comunicó a CONECTA sus datos personales para requerirle un importe que -con arreglo a lo previsto en la Ley General de Defensa de los Consumidores y Usuarios- la reclamante no le adeudaba. - La reclamada ha actuado con una muy grave falta de diligencia, (artículo 83.2.b, del RGPD). - El artículo 83.2.
57. f)del RGPD menciona “el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos”. Circunstancia que asimismo opera en calidad de agravante. Recordemos que la reclamada no respondió a la solicitud informativa de esta Agencia, previa a la admisión a trámite de la reclamación, ni tampoco al requerimiento que le hizo la Inspección de Datos en el curso de las actuaciones de investigación previa. - La evidente vinculación entre la actividad empresarial de IBERDROLA y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) Así las cosas, de conformidad con la exposición precedente y a tenor de los hechos declarados probados, se concluye que IBERCLI, incurrió en una infracción del artículo 6.1 del RGPD sancionada en el artículo 83.5.a del citado Reglamento (UE) 2016/657. Por esta conducta, una vez valoradas las circunstancias modificativas de la responsabilidad contempladas en el artículo 83.2 del RGPD, se acuerda sancionar a IBERCLI con multa administrativa en la cuantía de 80.000 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/32 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), tipificada en el artículo 44.3.
58. b)de la citada Ley Orgánica, la sanción de multa de 50.000 euros (cincuenta mil euros) SEGUNDO: IMPONER como sanción a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5.
59. a)del RGPD, una multa administrativa de 80.000 euros (ochenta mil euros). TERCERO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES, S.A.U. Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
60. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES93 2100 8981 6302 0001 1719, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
61. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/32 si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es