← España

PS-00233-2019

1/7 Procedimiento Nº: PS/00233/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 18 de febrero de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VIAQUA XESTIÓN INTEGRAL DE AUGAS DE GALICIA, S.A. con NIF A66141185 (en adelante, la reclamada). Los motivos en que basa la reclamación son que la reclamada ha procedido a cambiar los datos que figuraban en su contrato, sin su autorización ni conocimiento. Tras la reclamación interpuesta ante dicha entidad, le ha manifestado que los cambios producidos son consecuencia de la petición del inquilino que se encuentra en el punto del suministro, aportando como prueba de ello una grabación, donde un tercero se identifica con un nombre y apellidos que nada tiene que ver con el inquilino de la vivienda en cuestión. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, el 28 de marzo de 2019, se da traslado de la presente reclamación a la entidad reclamada, para que proceda a su análisis y se le da un plazo de respuesta de un mes, no habiéndose recibido respuesta al mismo. TERCERO: Con fecha 6 de septiembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que “ha actuado en todo momento en cumplimiento de la normativa de protección de datos vigente y de las ordenanzas municipales que regulan el servicio de suministro de agua en el Concello de Poio. Las peticiones de la reclamante carecen de fundamento legal, y derivan de una controversia entre esta, la inquilina y VIAQUA, sobre cuestiones relacionadas con la naturaleza del contrato de suministro de agua y la asunción subsidiaria de pagos. Con la finalidad de evitar problemas de gestión, la Ordenanza fiscal Municipal de Poio prevé en su artículo 3 que el titular de los contratos de suministro debe ser siempre el propietario del inmueble, sin que resulte posible que los inquilinos de una vivienda contraten por sí mismos dicho suministro. Se admite, sin embargo, que una persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 distinta del titular del contrato figure como pagador (generalmente, el inquilino del inmueble) Hasta el cambio de cuenta bancaria objeto de la reclamación, los recibos del inmueble propiedad de la reclamante se cargaban con total normalidad en una cuenta bancaria que no era de su titularidad, y que aparecía identificada como perteneciente una inquilina de la vivienda cuyos datos eran tratados en calidad de beneficiaria/ contribuyente, siendo titular del contrato, propietaria del inmueble y responsable subsidiaria la reclamante. Fueron los datos de la inquilina los que se modificaron en la llamada telefónica del día 17 de diciembre de 2017, por parte de un usuario que afirmó ser inquilino del inmueble y respondió a las preguntas de seguridad pertinentes. La reclamante alega que este cambio se efectuó sin su consentimiento, pero dicho consentimiento no parece necesario, toda vez que la modificación se efectuaba con relación a los datos personales de la beneficiaria del suministro y no a los suyos. Por lógica, estos cambios no pueden requerir el consentimiento o autorización del propietario, ya que, en caso de no darlo, un inquilino no podría modificar la domiciliación a otra cuenta bancaria o darse de baja como beneficiario del servicio tras haberse mudado a otra vivienda. En consecuencia, el cambio de número de cuenta denunciado no se refería a datos de la reclamante. La reclamante no podría dar autorización ni consentimiento al cambio de un número de cuenta de su inquilina por otro número de cuenta del que tampoco es de su titularidad. La reclamante tampoco puede dejar de figurar como responsable subsidiaria de los pagos, en tanto que sea propietaria del inmueble. No se le ha causado ningún perjuicio por la actuación de la reclamada, que en todo caso se ha regido en su actuación por el cumplimiento de la normativa aplicable al suministro de agua en el Concello de Poio.” QUINTO: Con fecha 25 de septiembre de 2019, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/03429/2019, así como los documentos aportados por el reclamado en fecha 23 de septiembre de 2019 SEXTO: Con fecha 8 de octubre de 2019 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a VIAQUA XESTIÓN INTEGRAL DE AUGAS DE GALICIA, S.A., con NIF A66141185, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 60.000,00 € (SESENTA MIL euros). SEPTIMO: Con fecha 29 de octubre de 2019 la reclamada en trámite de audiencia realizó las siguientes manifestaciones: Se considera que no ha tenido en cuenta que no estamos ante un contrato civil ordinario, sino ante un contrato de suministro de agua potable, donde, en cumplimiento de la normativa vigente, es posible realizar cambios en los datos personales del beneficiario del servicio sin consentimiento del titular del contrato, como más adelante se detalla. Estas tasas, como tributos municipales que son, se regulan por una ordenanza fiscal aprobada por el Concello de Poio. La normativa aplicable a la gestión de las mismas, y por tanto, al cobro del servicio por parte de VIAQUA, es la “Ordenanza reguladora de la tasa por servicio de distribución de agua, gas, electricidad y otros abastecimientos públicos, incluidos los derechos enganche de líneas y colocación y utilización de contadores e instalaciones análogas, cuando dichos servicios o suministros sean prestados por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 entidades locales” publicada en el Boletín Oficial de la Provincia de Pontevedra el 19 de diciembre de 2013, en cuyo artículo 3 se establece lo siguiente: “1-Son sujetos pasivos de esta Tasa, en concepto de contribuyentes, las personas físicas y jurídicas y las Entidades a que se refiere el artículo 33 de la Ley General Tributaria que sean:

  1. a)Cuando se trate de la concesión de licencia de acceso a la red, el propietario, usufructuario o titular del dominio útil de la finca.
  2. b)En el caso de prestación de servicios del número 1,
  3. b)del artículo anterior, los ocupantes o usuarios de las fincas del término municipal beneficiarios de los mencionados servicios, cualquiera que sea su título: propietarios, usufructuarios, inquilinos o arrendatarios, incluso ocupantes en precario. 2-En todo caso, tendrán la consideración de sujeto pasivo sustituto del ocupante o usuario de las viviendas o locales el propietario de los inmuebles, que podrá repercutir, en su caso, las cuotas satisfechas sobre los respectivos beneficiarios del servicio.” En base a dicho precepto, la entidad reclamada considera que la reclamante en tanto que es propietaria del inmueble, responde en calidad de sujeto pasivo sustituto en caso de impago de su inquilino. Por ello, considera que puede tratar los datos de la reclamante con la finalidad de reclamarle una deuda correspondiente a su inquilino, y no se debe apreciar una conducta negligente por su parte en ello por no contar con su consentimiento, puesto que el tratamiento deriva del cumplimiento de la normativa aplicable a la gestión de una tasa. Asimismo indica que cuando el propietario del inmueble y el ocupante de la vivienda no coinciden en la misma persona, tienen relación directa con la entidad concesionaria del servicio de agua y pueden realizar gestiones con ella de forma independiente, en función de la posición que les confiere la Ordenanza Municipal. HECHOS PROBADOS PRIMERO: La reclamada ha procedido a cambiar los datos que figuraban en el contrato, sin contar con la autorización ni consentimiento de la reclamante, titular del contrato. Aporta como prueba, la grabación en la que se produce el cambio del número de cuenta, donde un tercero se identifica con un nombre y apellidos que nada tiene que ver con la inquilina de la vivienda. SEGUNDO: La reclamada alega que las peticiones de la reclamante carecen de fundamento legal, y derivan de una controversia entre esta, la inquilina y VIAQUA, sobre cuestiones relacionadas con la naturaleza del contrato de suministro de agua y la asunción subsidiaria de pagos. Asimismo señala que aunque la reclamante aparezca en el contrato, figura sólo como responsable solidario, y que su consentimiento para modificar los datos del contrato, no es necesario, de conformidad con una ordenanza fiscal aprobada por el Concello de Poio, toda vez que la modificación se efectuó en relación a los datos personales de la inquilina del inmueble, como beneficiaria directa del suministro, y no respecto de los datos de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En el presente caso, se imputa al reclamado la comisión de una infracción por vulneración del artículo 6 del RGPD, que señala que: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” III En el presente caso estamos hablando de una infracción por vulneración del artículo 6 del RGPD por el tratamiento ilícito de los datos personales de la reclamante al no contar con su consentimiento según establece dicho precepto, incidiendo reiteradamente la ausencia de infracción por parte de la reclamada porque su conducta la avala una ordenanza, en concreto la “Ordenanza reguladora de la tasa por servicio de distribución de agua, gas, electricidad y otros abastecimientos públicos, incluidos los derechos enganche de líneas y colocación y utilización de contadores e instalaciones análogas, cuando dichos servicios o suministros sean prestados por entidades locales” publicada en el Boletín Oficial de la Provincia de Pontevedra el 19 de diciembre de 2013. En este sentido, hay que señalar que si ponemos en relación dicha ordenanza con el Reglamento (UE) 2016/679, prevalece el segundo sobre el primero, según el principio de primacía del derecho de la Unión Europea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Esto es así ya que en reiteradas sentencias del TJUE, Van Gend & Loos, Simmenthal o la sentencia Costa-ENEL, se declaró que el derecho comunitario es un verdadero ordenamiento jurídico, algo más que un Acuerdo de Derecho Internacional, y se reafirmó la obligación de los Estados de cumplir el derecho originario y derivado, declarando que la primacía del derecho de la UE es una regla fundamental para la existencia de UE de donde se concluye que es una condición existencial con efecto excluyente, haciendo inaplicable la norma interna que sea incompatible con el derecho comunitario. IV La infracción del artículo 6 del RGPD se tipifica en el artículo 83.5 del RGPD, que considera como tal: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  11. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  12. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  13. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  14. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1”. V Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5
  15. a)del RGPD. VI El artículo 72.1.
  16. b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  17. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” VII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 A tenor de lo dispuesto por el RGPD en su art. 83.2, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se relacionan en el artículo señalado, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. En consecuencia, se han tenido en cuenta, como agravantes: -La naturaleza, alcance o propósito del tratamiento según el artículo 83.2
  18. a)del RGPD, ya que la entidad reclamada, requiere reiteradamente a la reclamante el pago de una deuda que no es suya. -La negligencia en la infracción; en virtud del artículo 83.2
  19. b)del RGPD, ya que la entidad reclamada, en respuesta al requerimiento de la AEPD, alega que es lícito la reclamación de dicha deuda, como responsable solidario, según las ordenanzas aplicables al suministro de agua en el Concello de Poio -No se han adoptado medidas correctoras, según el artículo 83.2
  20. c)del RGPD, ya que la entidad reclamada, no informa a esta Agencia, sobre las medidas adoptadas ni las actuaciones en el caso de la reclamante. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VIAQUA XESTIÓN INTEGRAL DE AUGAS DE GALICIA, S.A., con NIF A66141185, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 60.000,00 € (sesenta mil euros). SEGUNDO: NOTIFICAR la presente resolución a VIAQUA XESTIÓN INTEGRAL DE AUGAS DE GALICIA, S.A.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  21. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.