← España

PS-00268-2017

1/13 Procedimiento Nº PS/00268/2017 RESOLUCIÓN: R/02261/2017 En el procedimiento sancionador PS/00268/2017, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA, S.A.U., vista la denuncia presentada por D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: El 25 de octubre de 2016 tiene entrada en la Agencia Española de Protección de Datos, escrito de denuncia de D.D.D. (en lo sucesivo el denunciante) contra ENDESA ENERGÍA, S.A.U. por suplantación de su identidad en la contratación de servicios energéticos (gas y luz) con la empresa denunciada, lo cual conoce cuando después de tramitar un cambio de proveedor decide volver a su proveedor original- ENDESA ENERGÍA, S.A.U. - y esta entidad le requiere el pago de una factura con amenaza de inclusión en fichero de solvencia. El denunciante satisface el pago para no ser incluido en dicho fichero, y a continuación se producen reclamaciones y comunicaciones entre ambos. En una de ellas el denunciante solicita el contrato a la empresa denunciada y queda patente el carácter fraudulento de la contratación: alguien desconocido se ha hecho pasar por su cónyuge y ha tramitado el cambio a la empresa denunciada. El denunciante lo hace saber a la empresa denunciada y pide la devolución del importe pagado (que según él no se le ha abonado), y que se aplique la ley en lo que entiende como un atropello de sus derechos como ciudadano. Hechos que según el denunciante tuvieron lugar a fecha de: 11/03/2016 hasta el momento de la denuncia (él alega que no ha recibido la cantidad que abonó el 07/06/2016). Y, entre otra, anexa la siguiente documentación:  Contestación con fecha 02/08/2016 de la empresa denunciada, a la solicitud realizada por el denunciante, de acceso a los datos personales que constan en sus ficheros. Revela que el origen de la información es una persona identificada como el cónyuge del denunciante, que realizó el alta el 02/03/2016 de los contratos de suministro reflejados en el anexo adjunto. En dicho adjunto se observa que se ha dado de alta el servicio de suministro de luz y el de gas, así como sendos servicios adicionales de asistencia, tanto de luz como de gas. Las fechas de alta son: 13/03/2016 para los servicios de luz y 11/03/2016 para los de gas. Las fechas de baja son: 20/04/2016 para los servicios de luz, 09/04/2016 para el servicio de suministro de gas, y 04/07/2016 para el servicio de asistencia de gas. En la contestación a la solicitud también se adjuntaba copia del contrato, firmado por una persona llamada A.A.A., de E.E.E.. La dirección en todos los documentos coincide con la aportada por el denunciante a la AEPD.  Factura del servicio de luz proporcionado por la empresa denunciada, correspondiente al periodo de facturación 13/03/2016 – 20/04/2016, emitida el 25/04/2016 y con fecha de cargo prevista 02/05/2016 por domiciliación bancaria. El importe asciende a 100,12 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 En la parte inferior figura el siguiente texto escrito a mano y firmado por el denunciante: “Factura reclamada por Endesa bajo amenaza de listas de morosidad. Nunca se pasó por el banco porque Endesa no tenía el número de cuenta correcto. Eran erróneos los 5 últimos dígitos.”  Carta de fecha 25/05/2016 referenciada e individualizada a nombre del denunciante a la dirección aportada por él a la AEPD, en la que se reclama el pago de la deuda contraída con la entidad denunciada de importe 100,12 euros y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago en el plazo de 15 días. Sobre la carta hay estampado un sello del Banco Santander S.A. con fecha 07/06/2016, y en la parte superior añadido a mano y firmado por el denunciante el siguiente texto: “Carta reclamación de Endesa de la factura de electricidad. Fue pagado en una agencia del Banco de Santander. TODAVIA NO DEVUELTO!”  Copia del libro de familia del denunciante, donde figuran sus datos y los de su cónyuge, C.C.C., verificándose que son distintos a los de la persona que ha contratado el servicio de suministro energético. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ENDESA ENERGÍA, S.A.U., la cual ha aportado a los efectos de la investigación:  Copia del contrato del servicio de suministro de energía (luz y gas) y asistencia de luz y gas, firmado en el área correspondiente a la empresa y en el área de cliente por la que se dice cónyuge del denunciante, de nombre A.A.A.. Coincide con el que aportó el denunciante.  Copia de la orden de domiciliación firmada por la que se dice cónyuge del denunciante, donde están marcadas las casillas correspondientes a los servicios de luz, gas, mantenimiento de gas y asistencia. Tiene fecha 02/03/2016 y junto a la firma la firmante ha escrito su nombre, apellidos y número de DNI. Tiene marcada una casilla por la que la firmante autoriza la domiciliación bancaria como cotitular de la cuenta corriente de pago, por ser cónyuge del deudor (según dice la letra pequeña, cláusula aplicable cuando el/la que firma es el/la cónyuge de la/el titular de la cuenta). Según declara la abogada de la empresa denunciada en el escrito que presenta los documentos aportados en respuesta al requerimiento de la AEPD, la contratación fue realizada a través de dispositivo electrónico (Tablet)  Copia del DNI de la que se dice cónyuge del denunciante, A.A.A. núm. E.E.E., recabada, según la empresa denunciada, por el distribuidor que gestionó la contratación en el momento de formalizarse la misma.  Copia del contrato de prestación de servicios entre la empresa denunciada y SIDENT MARKETING, S. L. con CIF ***CIF.1, en vigor desde 01/04/2015 hasta 31/03/2016. En el objeto del contrato se encuentran los siguientes servicios: identificación de potenciales clientes y tramitación de la formalización de los contratos de alta con los mismos, y verificación de la calidad de las presentaciones de las contrataciones a través de “servicios de Back Office” de conformidad con el procedimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 implantación de control de calidad en origen y auditoría propuesto por la empresa denunciada. Cada solicitud de contratación recabada por el Prestador de Servicios deberá ser verificada mediante la grabación de una llamada telefónica de control que se realizará al cliente tras la recopilación de la solicitud de contratación de conformidad con lo establecido en el Control de Calidad (artículo 2.2.5 del contrato). El Prestador de Servicios deberá verificar los siguientes aspectos (artículos 9.1 y 9.2 del contrato): o Que el potencial cliente es el titular del punto de suministro. A tal efecto, el Prestador de Servicios acreditará, mediante la documentación que acredite suficientemente este extremo a satisfacción de Endesa Energía y, entre otra documentación probatoria podrá solicitar la exhibición de la última factura de suministro y comprobar que el potencial cliente coincide con el titular indicado en dicha factura o Una vez que el Prestador de Servicios verifique lo dispuesto en el apartado anterior, deberá comprobar, a través de los medios legalmente admisibles en Derecho, la identidad del contratante. A estos efectos, el Prestador de Servicios solicitará siempre al potencial cliente la exhibición del DNI (o, en su defecto, pasaporte). o El Prestador de Servicios será el único responsable de la obtención del consentimiento del potencial cliente para la contratación y consecuente tratamiento de sus datos de carácter personal, respondiendo ante Endesa Energía y terceros por el incumplimiento de esta obligación.  Grabación, en la que no se menciona fecha, del proceso de verificación entre la entidad denunciada (agente comercial) y una interlocutora que manifiesta ser la cónyuge del denunciante, en la que: o La interlocutora afirma ser quien ha firmado el contrato, dice ser la cónyuge del titular del contrato, y aduce que el titular no se encuentra en el domicilio. Verbaliza su nombre y apellidos, así como su fecha de nacimiento, a pregunta del agente comercial. Asiente cuando éste le pide confirmación del número de teléfono que tiene en su sistema, y del hecho que se trata de un domicilio. La interlocutora afirma que el número de cuenta bancaria se lo facilitó ella al distribuidor, y confirma los productos contratados, enumerados y detallados uno a uno por el agente comercial. o Cuando el agente comercial le pide que confirme la fecha de nacimiento del titular, la interlocutora menciona una fecha incorrecta (20/07/62, en contraposición con la fecha de nacimiento que consta en la copia del libro de familia aportado por el denunciante, 26/10/1966). El agente comercial se limita a teclear algo en su ordenador, y sigue con el proceso. La interlocutora se niega a proporcionar un correo electrónico como contacto.  Impresión de pantalla con los datos de cliente, en los que constan los datos del denunciante con el domicilio aportado en la denuncia.  Impresión de pantalla con los datos de la cuenta corriente del cliente, cuyo código coincide con el que figura en el contrato y que el denunciante afirma coincidente salvo en las últimas cinco cifras. El cliente aparece dado de alta en el sistema el 04/03/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13  Impresión de pantalla con la fecha de alta y baja de los productos contratados con la empresa denunciada, y las facturas emitidas. Según declara la abogada de la empresa denunciada en el escrito que presenta los documentos aportados en respuesta al requerimiento de la AEPD, “El motivo de la baja de los contratos de suministro fue la baja por cambio de comercializadora, produciéndose la baja del servicio de mantenimiento a raíz de la reclamación del interesado. Conforme se observa en dichas impresiones de pantalla no existen a día de hoy obligaciones de pago pendientes.”. Los datos que se visualizan en las capturas de la presentado por el denunciante en su denuncia. pantalla concuerdan con lo  Impresión de pantalla con los contactos registrados. Se observan lo que parecen ser contactos entrantes del denunciante en las fechas 05/04/2016, 20/06/2016 (tres llamadas, en la última de las cuales, según el comentario leído en la impresión de pantalla, solicita baja del mantenimiento pero no le tramitan baja al no aportar datos bancarios); 11/08/2016 y 30/8/2016 (dos llamadas). También figuran bajas de contrato en 14/04/2016 y 22/04/2016 (por cambio de comercializadora), asi como en 04/07/2016 (fin de suministro)  Impresión de dos correos electrónicos del denunciante, enviados en las fechas 01/04/2016 y 31/05/2016, asi como las respuestas generadas en el Servicio de Atención al Cliente de la empresa denunciada, en 04/04/2016 y 02/06/2016. En el primer correo, el denunciante se queja del cambio de compañía de suministro en su domicilio sin el consentimiento de los propietarios del mismo; que han recibido una carta a finales de marzo donde se les ha asignado un número de referencia de un contrato que no conoce. Habla de uso fraudulento e ilegal de sus datos, y se pregunta sobre quién va a correr con los gastos derivados de ese cambio no autorizado. En el segundo correo, se queja de que no obtiene respuesta del primero, más allá de una contestación automatizada, y menciona el hecho de que ha recibido dos facturas en las que se reclama pagar por el consumo del mes en el que ha sido cliente. Le extraña el hecho de que desde la empresa denunciada no pudieran cobrarlo por domiciliación, y apunta la posibilidad de que el que hizo el contrato no sabía los últimos números de la cuenta. El correo de respuesta de la empresa se limita a decir que se le ha asignado un código de reclamación, y que se encuentra pendiente de resolución.  La abogada de la empresa denunciada declara en el escrito de presentación que “con motivo de la reclamación del interesado, Endesa procedió a confirmar la baja de los contratos de suministro por cambio de comercializadora y a tramitar la baja del mantenimiento asociado. Adicionalmente, Endesa intentó en varias ocasiones contactar telefónicamente con el interesado a efectos de proceder a la devolución del importe de la factura del suministro de energía eléctrica, quedando finalmente este importe como entrega a cuenta según se acredita con las impresiones de pantalla que se acompañan como documentos nº 11 y nº12, respectivamente. Así mismo, se procedió a imputar a una cuenta de Endesa el importe de la factura de suministro de gas (documento nº13) y a anular las facturas de mantenimiento emitidas según consta la impresión de pantalla que se ha aportado como documento nº7”. Efectivamente, en los documentos aportados nº 11 y nº12 se verifica una petición abierta el 08/07/2016 donde se reconoce internamente que la venta fue incorrecta al realizar la contratación la cónyuge del titular (petición ***PET.1) y otra petición abierta el 30/08/2016 donde se dice que el cliente solicita la devolución del importe de 100,12 euros por contrato fraudulento (petición ***PET.2). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Dentro de la misma petición, personal de la empresa denunciada da orden de hacer la devolución de los 100,12 euros a un número de cuenta determinado y aportando un número de teléfono de contacto. En la descripción de las comunicaciones realizadas con el cliente, se leen los siguientes textos: o 02/09/2016: intentamos contactar con el cliente para solicitar justificante de pago del sec (secuencial) 13 de 100,12 euros y documento de titularidad bancaria, pero sigue sin responder a la llamada. o 05/09/2016: intentamos nuevamente contactar con el cliente para solicitar justificante de pago (…) o 06/09/2016: intentamos nuevamente contactar con el cliente para solicitar justificante de pago (…) Se observa que el número de teléfono al que están realizando la llamada es el que aporta el denunciante en la denuncia. Respecto a la factura del servicio de gas, se observa en el documento nº13 que la misma, de importe 25,18 euros, aparece como “cobrada” en fecha 07/07/2016 de una cuenta “***CNT.1”, en forma de pago “EN METALICO”. Por último, se observa que las facturas del mantenimiento de gas constan en el documento nº7 como “anuladas”. En el presente caso, se denuncia a ENDESA por suplantación de la identidad del denunciante, en la contratación de servicios energéticos (gas y luz) El denunciante tiene conocimiento de este hecho cuando después de haber tramitado un cambio de proveedor decide volver a su proveedor original- ENDESA ENERGÍA, S.A.U. - y esta entidad le requiere el pago de una factura con amenaza de inclusión en ficheros de solvencia. El denunciante aunque no está conforme con la facturación exigida, procede al pago de la deuda indicada para evitar la inclusión en ficheros y seguidamente presenta una reclamación ante ENDESA, entidad que en respuesta a su solicitud le aporta copia del contrato, quedando comprobado así que se ha producido una suplantación de personalidad, ya que tal y como se indica en la copia del libro de familia que adjunta a su escrito de denuncia su cónyuge es C.C.C., y no la persona que aparece en el contrato. De las actuaciones de investigación realizadas por esta Agencia a ENDESA se desprende que en la contratación objeto de esta denuncia se aportó copia del DNI de A.A.A., y que en el contrato, y en la orden de domiciliación, el denunciante aparece como el titular de dicho contrato, aunque ambos documentos aparecen firmados por la que se dice cónyuge del denunciante, de nombre A.A.A.. ENDESA aporta grabación de la verificación de la contratación, en la que se presentan ciertas irregularidades como no mencionar la fecha en la que se realiza el proceso de verificación, no se verifican los datos con el titular, sino con alguien que dice ser su cónyuge, sin comprobar documentalmente si dicha persona es o no el cónyuge, y continuar la verificación y proceder a la contratación, pese a darse cuenta el verificador, que parte de los datos eran incorrectos, como fecha de nacimiento del titular, dato que ya era conocido por ENDESA al contar con copia del libro de familia aportado por el denunciante en una contratación anterior. No obstante la situación se regularizó por ENDESA, antes de la intervención de esta Agencia, ya que el 08/07/2016 reconoce internamente que la venta fue incorrecta, de manera que respecto al contrato de luz el 30/08/2016 se procede a la devolución del importe de 100,12 euros, y en relación al contrato de gas y mantenimiento de gas, las facturas constan como “anuladas”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 TERCERO: Con fecha 23 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ENDESA ENERGÍA, S.A.U., por presunta infracción del artículo el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.”, infracción tipificada como GRAVE en el artículo 44.3.

  1. b)de dicha norma, que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ENDESA ENERGÍA, S.A.U. mediante escrito de fecha 14/07/2017, formuló alegaciones, significando, que tiene un contrato de prestación de servicios con SIDENT MARKETING S.L., siendo esta entidad quien realizó la contratación y posterior verificación de la misma, objeto de la presente denuncia. ENDESA ENERGÍA, S.A.U. alega que en las cláusulas del contrato de prestación de servicios suscrito con SIDENT MARKETING, se prevé expresamente que debe garantizar que:  El cliente potencial, es el titular del punto de suministro (clausula 9.1.1)  Los datos tomados son ciertos y veraces (cláusula 2.2.1)  Cada dato tomado se corresponde con la realidad de los datos de la persona, debiendo a tal efecto examinar el DNI o documento similar (cláusula 2.2.3)  Los clientes potenciales se han acreditado suficientemente para firmar las solicitudes de contratos de comercialización y, en particular, han facilitado el DNI o documentos equivalentes que acrediten de manera suficiente la identidad del potencial cliente (cláusula 2.6.4)  Ante conductas abusivas o fraudulentas, deberá informar inmediatamente a ENDESA ENERGIA S.A.U. Sin embargo, pese a las referidas previsiones contractuales, durante el proceso de la contratación objeto del presente caso, SIDENT MARKETING no notificó a ENDESA ENERGÍA, S.A.U. la existencia de incidencia alguna que pusiera de manifiesto la necesidad de paralizar la contratación por una supuesta suplantación de identidad, y tras la llamada de verificación realizada por SIDENT MARKETING, tampoco se comunicó a ENDESA ENERGÍA, S.A.U. la existencia de irregularidad alguna, dando por válida la contratación realizada. No obstante, antes de que tuviera lugar la intervención de la Agencia, ENDESA ENERGÍA, S.A.U. procedió a confirmar la baja de los contratos de suministro por cambio de comercializadora y a tramitar la baja del mantenimiento asociado, así como a adoptar los correspondientes pasos para regularizar la situación y anular las facturas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Por todo ello concluye sus alegaciones señalando que por todo lo anteriormente indicado ENDESA ENERGÍA, S.A.U. no ha incurrido en la vulneración del principio del consentimiento previsto en el art. 6.1 LOPD, y más aún, cuando se ha demostrado que actuó de forma diligente pues, desde el momento en que tuvo conocimiento de los hechos denunciados y antes de que interviniera la Agencia, se procedió a la inmediata regularización de la situación, pese a que en ningún momento SIDENT MARKETING, en cumplimiento de sus obligaciones contractuales, comunicase a ENDESA ENERGÍA, S.A.U. la existencia de dudas acerca de la veracidad de la documentación, ni mucho menos, comunicase que en la contratación hubiera habido irregularidad alguna. QUINTO: Con fecha 26/07/2017 se inició el período de práctica de pruebas, acordándose dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/06919/2016 y las alegaciones al acuerdo de inicio del procedimiento PS/00268/2017 presentadas por ENDESA ENERGÍA, S.A.U. Todo ello con su correspondiente documentación adjunta. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: El denunciante procede al pago de la deuda indicada para evitar la inclusión en ficheros y seguidamente presenta una reclamación ante ENDESA, entidad que en respuesta a su solicitud le aporta copia del contrato, quedando comprobado así que se ha producido una suplantación de personalidad, ya que tal y como se indica en la copia del libro de familia que adjunta a su escrito de denuncia su cónyuge es C.C.C., y no la persona que aparece en el contrato. A través de las actuaciones de investigación realizadas por esta Agencia a ENDESA se constata que en la contratación objeto de esta denuncia se aportó copia del DNI de A.A.A., y que en el contrato, y en la orden de domiciliación, el denunciante aparece como el titular de dicho contrato, aunque ambos documentos aparecen firmados por la que se dice cónyuge del denunciante, de nombre A.A.A.. ENDESA aporta grabación de la verificación de la contratación, en la que se presentan ciertas irregularidades como no mencionar la fecha en la que se realiza el proceso de verificación, no se verifican los datos con el titular, sino con alguien que dice ser su cónyuge. No obstante, la situación se regularizó por ENDESA, antes de la intervención de esta Agencia, ya que el 08/07/2016 reconoce internamente que la venta fue incorrecta, de manera que respecto al contrato de luz el 30/08/2016 se procede a la devolución del importe de 100,12 euros, y en relación al contrato de gas y mantenimiento de gas, las facturas constan como “anuladas”. SEPTIMO: Con fecha 03/08/2017 se formuló propuesta de resolución, proponiendo la imposición de una sanción de "28.000" € (veintiocho mil euros) a ENDESA, por la comisión de una infracción del artículo 6 de la LOPD, infracción tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad denunciada no fue llevado a cabo empleando una diligencia razonable, ya que aunque ENDESA solicitó copia del DNI a la persona que formalizaba el contrato- A.A.A.- ella no era la titular del contrato a formalizar, sino que decía actuar en su nombre, porque era su cónyuge, sin pedírsele documentación que lo acreditase, y así pretende acreditarlo el denunciante en la reclamación presentada ante ENDESA, al aportar copia del libro de familia donde se constata que su cónyuge es C.C.C., en lugar de A.A.A. demostrando así que se había producido una suplantación de la personalidad de su cónyuge al formalizar el supuesto contrato. De las actuaciones de investigación realizadas por esta Agencia a ENDESA se desprende que en la grabación de la verificación de la contratación, hay ciertas irregularidades ya que no se menciona fecha del proceso de verificación, no se verifican los datos con el titular, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 sino con alguien que dice ser su cónyuge, sin constatar documentalmente si efectivamente se estaba hablando con la cónyuge del titular, y se continúa con la verificación y se procede a la contratación, pese a darse cuenta el verificador, que parte de los datos eran incorrectos, como la fecha de nacimiento del titular, dato que ya era conocido por ENDESA al contar con copia del libro de familia aportado por el denunciante en una contratación anterior. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificarla identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que ENDESA no empleó una razonable diligencia, ya que aunque adoptó las medidas necesarias para identificar a la persona que realizaba la contratación, pese a tener conocimiento de que no estaba hablando con el titular, sino con su cónyuge, procedió a la contratación, confirmándose la misma posteriormente, pese a darse cuenta el verificador, que parte de los datos eran incorrectos, como la fecha de nacimiento del titular, dato que ya era conocido por ENDESA al contar con copia del libro de familia aportado por el denunciante en una contratación anterior. IV Los hechos expuestos podrían ser constitutivos de una infracción, imputable a ENDESA ENERGÍA, S.A.U. de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.”, infracción tipificada como GRAVE en el artículo 44.3.
  4. b)de dicha norma, que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  5. a)El carácter continuado de la infracción.
  6. b)El volumen de los tratamientos efectuados.
  7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  8. d)El volumen de negocio o actividad del infractor.
  9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  10. f)El grado de intencionalidad.
  11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. VI Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5
  20. b)LOPD, “cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, ya que la entidad ENDESA ENERGÍA, S.A.U. llevó a cabo la regularización de la situación irregular objeto de este caso de forma diligente, ya que el 08/07/2016 reconoce internamente que la venta fue incorrecta, de manera que respecto al contrato de luz el 30/08/2016 se procede a la devolución del importe de 100,12 euros, y en relación al contrato de gas y mantenimiento de gas, las facturas constan como “anuladas”. VII Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 45.4 de la LOPD. Como agravantes:  Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa.  En relación con el volumen de negocio de la entidad infractora (apartado 4.d),  Por el grado de intencionalidad, apartado 4 f), ya que no se comprobó si efectivamente era la cónyuge del titular, y se continuó con la verificación y procedió a la contratación, pese a darse cuenta el verificador, que parte de los datos eran incorrectos, como la fecha de nacimiento del titular, dato que ya era conocido por ENDESA al contar con copia del libro de familia aportado por el denunciante en una contratación anterior.  Por reincidencia en infracciones de la misma naturaleza (apartado 4.
  21. g)VIII En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5
  22. b)LOPD, “cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, ya que la entidad ENDESA ENERGÍA, S.A.U. llevó a cabo la regularización de la situación irregular objeto de este caso de forma diligente, ya que el 08/07/2016 reconoce internamente que la venta fue incorrecta, de manera que respecto al contrato de luz el 30/08/2016 se procede a la devolución del importe de 100,12 euros, y en relación al contrato de gas y mantenimiento de gas, las facturas constan como “anuladas”. Por tanto, se considera que concurren las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45. 5
  23. b)de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, procede proponer una sanción de 28.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA, S.A.U., por una infracción del artículo 6 de la LOPD, tipificada como GRAVE en el artículo 44.3
  24. b)de la LOPD, una multa de 28.000€ (veintiocho mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U., y a quienes aparezcan como interesados en el procedimiento administrativo. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  25. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.