← España

PS-00275-2015

1/14 Procedimiento Nº PS/00275/2015 RESOLUCIÓN: R/02792/2015 En el procedimiento sancionador PS/00275/2015, instruido por la Agencia Española de Protección de Datos a las entidades ENDESA ENERGÍA S.A.U. y ENDESA ENERGIA XXI, S.L.U., vista la denuncia presentada por Dña. A.A.A. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 20/05/2014 tiene entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que declara que en octubre de 2013 acudió a la oficina comercial de ENDESA en la Av/Cesáreo Aliena, 21 de Zaragoza para proceder al cambio de compañía de suministro de electricidad de la oficina de su propiedad situada en (C/.........1) de Zaragoza. El 18 de diciembre de 2013 recibe carta de Endesa dándole la bienvenida a la compañía. A partir de ese momento ENDESA ENERGÍA S.A.U. (en lo sucesivo ENDESA ENERGIA) y ENDESA ENERGIA XXI, S.L.U. (en lo sucesivo ENDESA ENERGIA XXI) han procedido a darle de alta en contratos de electricidad y gas a lo largo de toda España (se adjuntan algunos). (C/.........2) (Castellón), alta en ENDESA ENERGIA. (C/.........3)(Zaragoza), alta en ENDESA ENERGIA. (C/.........4) (***LOCALIDAD.1, Gerona), alta en ENDESA ENERGIA. (C/.........5) (***LOCALIDAD.9, Huerva), alta en ENDESA ENERGIA XXI. (C/.........6) (Zaragoza), alta en ENDESA ENERGIA XXI. (C/.........7) (Zaragoza), alta en ENDESA ENERGIA XXI. (C/.........8) (Zaragoza) (C/.........9) (***LOCALIDAD.2, Gerona) (C/.........10) (Huerva) (C/.........11) (***LOCALIDAD.3. Granada) (C/.........12) (Sevilla) (C/.........13) (***LOCALIDAD.4, Cuenca) (C/.........14) (Zaragoza) (C/.........15) (***LOCALIDAD.5, Tarragona) (C/.........16) (***LOCALIDAD.6. Cádiz) (C/.........17) (***LOCALIDAD.7, Islas Baleares) (C/.........18) (***LOCALIDAD.8. Cádiz) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Para ello ENDESA ENERGIA y ENDESA ENERGIA XXI han utilizado tanto su número de NIF como en muchos de ellos la cuenta corriente que ENDESA ENERGIA tiene para atender a las domiciliaciones de su vivienda particular. ENDESA ENERGIA y ENDESA ENERGIA XXI han procedido además a cargar en cuenta al menos siete recibos correspondientes a esos contratos incorrectos Por otro lado ENDESA ENERGIA dio de baja sin previo aviso el suministro de electricidad de su domicilio particular en la (C/..........19) de Zaragoza. Las cartas y notificaciones de todos estos contratos llegan a diferentes domicilios situados por toda España SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ENDESA, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones previas de inspección E/4779/2014 que se transcribe: “ACTUACIONES PREVIAS 1. En el Sistema de Ventas y Atención al Cliente de Endesa que contiene información relativa a qué entidad ha contratado con cada cliente se ha consultado la información que figura relativa al titular al DNI ***DNI.1, verificándose que figuran sólo tres contratos, uno en vigor, otro de baja y un tercero modificado que, según indican los representantes de la entidad corresponde a un cambio de titularidad. El contrato en vigor tiene como numeración ***CONTRATO.1. 2. Se accede al sistema comercial de Endesa y se realiza una consulta por número de contrato, verificándose que: 2.1. El contrato ***CONTRATO.2 ha estado a nombre de la afectada desde 24/1/2014 hasta el 3/3/2014, constando una factura emitida a nombre de la reclamante enviada a la cuenta corriente ***CCC.1. 2.2. El contrato ***CONTRATO.3 ha estado a nombre de la afectada desde 1/1/2014 hasta el 1/1/2014, no constando facturas emitida a nombre de la reclamante . 2.3. El contrato ***CONTRATO.4 ha estado a nombre de la afectada desde 24/9/201 hasta el 24/9/201, no constando facturas emitida a nombre de la reclamante. 2.4. El contrato ***CONTRATO.5 ha estado a nombre de la afectada desde 14/1/2014 hasta el 14/1/2014, no constando facturas emitidas a nombre de la reclamante. 2.5. El contrato ***CONTRATO.6 ha estado a nombre de la afectada desde 29/11/2013 hasta el 10/12/2013, constando una factura emitida a nombre de la reclamante enviada a la cuenta corriente ***CCC.2, que corresponde con la facilitada por la denunciante. El cargo ha sido devuelto y anulada por ENDESA. 2.6. El contrato ***CONTRATO.7 ha estado a nombre de la afectada desde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 31/12/2013 hasta el 17/1/2014, constando una factura emitida a nombre de la reclamante enviada a la cuenta corriente ***CCC.3. 2.7. El contrato ***CONTRATO.8 ha estado a nombre de la afectada desde 18/12/2013 hasta el 20/12/2013, constando una factura emitida a nombre de la reclamante enviada a la cuenta corriente ***CCC.3. 2.8. El contrato ***CONTRATO.9 ha estado a nombre de la afectada desde 18/2/2014 hasta el 24/2/2014, constando tres facturas emitidas a la cuenta facilitada por la denunciante ***CCC.2. 2.9. El contrato ***CONTRATO.10 ha estado a nombre de la afectada desde 22/2/2014 hasta el 22/2/2014, constando una factura emitida a la cuenta facilitada por la denunciante ***CCC.2. 2.10.El contrato ***CONTRATO.11 ha estado a nombre de la afectada desde 11/2/2014 hasta el 11/2/2014, no constando facturas emitidas a nombre de la reclamante. 2.11.El contrato ***CONTRATO.8 ha estado a nombre de la afectada desde 18/12/2013 hasta el 20/12/2013, constando una factura emitida a nombre de la reclamante enviada a la cuenta corriente ***CCC.3. 2.12.El contrato ***CONTRATO.12 ha estado a nombre de la afectada desde 5/3/2014 hasta el 7/3/2014, constando una factura emitida a nombre de la reclamante enviada a la cuenta corriente ***CCC.4. 2.13.El contrato ***CONTRATO.13 ha estado a nombre de la afectada desde 5/3/2014 hasta el 5/3/2014, no constando facturas emitidas a nombre de la reclamante. 2.14.El contrato ***CONTRATO.14 no consta en el sistema de información. 2.15.El contrato ***CONTRATO.15 no consta en el sistema de información. 2.16.El contrato ***CONTRATO.16 ha estado a nombre de la afectada desde 21/4/2014 hasta el 22/4/2014, corresponde a un contrato de mantenimiento, constando tres facturas emitidas a nombre de la reclamante enviada a la cuenta corriente facilitada por la misma ***CCC.2. 2.17.El contrato ***CONTRATO.17 ha estado a nombre de la afectada desde 10/12/2013 hasta el 10/12/2013, corresponde a un contrato de mantenimiento, constando una factura emitida a nombre de la reclamante enviada a la cuenta corriente facilitada por la misma ***CCC.2. 3. Se facilita a los representantes de Endesa copia de toda la documentación contractual remitida al domicilio de la afectada, así como de la información a que ha tenido acceso a través de Endesa On Line y que en la actualidad o se encuentra asociada a su nombre en el sistema de información. 4. A la vista de esta documentación los representantes de la entidad manifiestan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 desconocer el motivo por el que estos contratos a nombre de la reclamante no aparecen asociados a su ficha de cliente, ni las circunstancias que pueden haber dado lugar a tantos contratos. 5. Los inspectores actuantes requieren a los representantes de Endesa que les faciliten copia de los contratos suscritos a nombre de la afectada junto con la documentación recabada para acreditar la identidad del contratante, grabaciones en caso de que la contratación haya sido telefónica o impresiones de pantalla con los datos que residen en el servidor en caso que la contratación se haya realizado por Internet. En caso de que no se localice la documentación solicitada se requiere a los representantes de Endesa que remitan a la Agencia Española de Protección de Datos las conclusiones derivadas de la investigación interna que, en su caso se inicie como consecuencia de las presentes actuaciones, ya que la reclamante manifiesta no haber suscrito estos contratos. 6. Los inspectores de la Agencia recaban la documentación relacionada en la presente acta, que es entregada de forma voluntaria por los representantes de Endesa Energía España.” TERCERO: En fecha 14/05/2015, el Director de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador a ENDESA ENERGIA., por la presunta infracción de los artículos 6.1 y 11.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y a ENDESA ENERGIA XXI, por la presunta infracción del artículo 6.1 de la LOPD. CUARTO: Notificado el acuerdo de inicio ENDESA ENERGIA efectuó las siguientes alegaciones: 1ª.Los hechos denunciados fueron fruto de un error transitorio de carácter administrativo en el procedimiento de cambio de titular de contrato de suministro de energía eléctrica, en concreto un error en el uso de la aplicación por parte de algunos usuarios. Este error ha sido corregido mediante modificación en la aplicación de modo que cuando tenga que efectuarse un cambio de titularidad el operador deba introducir el NIF o apellidos del nuevo titular en lugar de seleccionar uno de los clientes de la lista que le sistema proporcionaba anteriormente. Asimismo se produjo una revisión diaria de los sistemas comerciales para detectar posibles solicitudes generadas erróneamente a nombre de la denunciante y poder anular las mismas y generar una nueva solicitud a favor del destinatario del cambio de titularidad. De manera excepcional algunas solicitudes erróneas de cambio de titularidad a nombre de la denunciante llegaron a entrar en vigor. En estos casos se procedió a la subsanación inmediata y, en caso de que se hubiese generado factura, se procedía a anular su cobro. Adicionalmente se contactaba con la denunciante a efectos de informarle de lo sucedido. La práctica totalidad de los contratos generados a nombre de la denunciante se dieron de baja el mismo día de su alta o en el plazo de 1 o 2 días. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 2ª.Reconocimiento de la responsabilidad en los hechos imputados a efectos de aplicación de lo dispuesto en el artículo 45.5.

  1. b)y
  2. d)de la LOPD. QUINTO: Notificado el acuerdo de inicio ENDESA ENERGIA XXI reconoció la responsabilidad en los hechos imputados a efectos de aplicación de lo dispuesto en el artículo 45.5.
  3. b)y
  4. d)de la LOPD. SEXTO: Reconocidos por ENDESA ENERGIA S.A.U., y ENDESA ENERGIA XXI, S.L.U. los hechos que se le imputan en el procedimiento, conforme a lo dispuesto a en artículo 8.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento para el ejercicio de la potestad sancionadora procede elevar a la Directora de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución HECHOS PROBADOS PRIMERO: La denunciante es titular, desde fecha 14/09/2005, de un contrato de suministro eléctrico con ENDESA ENERGÍA en su domicilio (C/.........19) Zaragoza (folios 1, 51-52, 55) SEGUNDO: A solicitud de la denunciante, en fecha 17/12/2013 ENDESA ENERGÍA dio de alta (cambio de suministrador) un contrato de suministro eléctrico en su inmueble sito en (C/.........1) Zaragoza folios 1, 36-38) TERCERO: ENDESA ENERGÍA dio de alta sin consentimiento de la denunciante los siguientes contratos de suministro eléctrico: - - - Contrato nº ***CONTRATO.5 en (C/.........2) Castellón, desde fecha 14/01/2014 hasta el 14/01/2014. No se emitieron facturas. Contrato nº ***CONTRATO.6 en (C/.........3) Zaragoza, desde fecha 29/11/2013 hasta el 10/12/2013. Se emitieron dos facturas a nombre de la denunciante por importe de 10,67 € y 7,70 €, impagadas y anuladas en fecha 29/04/2014. - Contrato nº ***CONTRATO.7 en (C/.........4) ***LOCALIDAD.1 (Girona), desde 31/12/2013 hasta el 17/01/2014. Se emitió una factura a nombre de la denunciante por importe de 201,86 €, impagada. - Contrato nº ***CONTRATO.8 en (C/.........20)(Girona), desde 18/12/2013 hasta el 20/12/2013. Se emitió una factura a nombre de la denunciante por importe de 4,90 €, impagada. - Contrato nº ***CONTRATO.10 en C/(C/.........9) Calonge (Girona), desde 22/02/2014 hasta el 22/02/2014. Se emitió una factura a nombre de la denunciante por importe de 2,77 €, impagada. - Contrato nº ***CONTRATO.11 en (C/.........8) Zaragoza, desde 11/02/2014 hasta el 11/02/2014. No se emitieron facturas. Contrato nº ***CONTRATO.16 en (C/.........21)(Islas Baleares), desde 21/04/2014 hasta el 22/04/2014, corresponde a un contrato de mantenimiento, constando tres facturas emitidas a nombre de la denunciante por importes de 2,66 €, 0,45 € y 0,88 €, impagadas. Contrato nº ***CONTRATO.17 en (C/.........22) Valencia, desde 10/12/2013 hasta el 10/12/2013, corresponde a un contrato de mantenimiento, constando una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 factura emitida a nombre de la denunciante por importe de 1,56 €, impagada (folios 1-89) CUARTO: ENDESA ENERGÍA XXI dio de alta sin consentimiento de la denunciante los siguientes contratos de suministro eléctrico: - Contrato n º ***CONTRATO.2 en (C/.........5) ***LOCALIDAD.9 (Huelva), desde fecha 24/01/2014 hasta 03/03/2014. Se emitió una factura a nombre de la denunciante por importe de 19,67 € que fue impagada y anulada. - Contrato nº ***CONTRATO.3 en (C/.........6) Zaragoza desde fecha 01/01/2014 hasta el 01/01/2014. No se emitieron facturas. - Contrato nº ***CONTRATO.4 en (C/.........7) Zaragoza desde fecha 23/11/2011 hasta el 24/09/2013. No se emitieron facturas. - Contrato nº ***CONTRATO.9 en (C/.........10) (Huelva), desde 18/02/2014 hasta el 24/02/2014. Se emitieron 3 facturas a nombre de la denunciante por importe de 2,77 €, 5,25 € y -0,75 €, impagadas. - Contrato nº ***CONTRATO.12 en (C/.........12) Sevilla, desde 05/03/2014 hasta el 07/03/2014. Se emitió una factura a nombre de la denunciante por importe de 2,04 € que fue impagada y anulada. - Contrato nº ***CONTRATO.13 en (C/.........11)***LOCALIDAD.3 (Granada), desde 05/03/2014 hasta el 05/03/2014. No se emitieron facturas. (folios 1-89) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El artículo 132 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, se procede a resolver el procedimiento iniciado. III Se imputa a ENDESA ENERGIA y a ENDESA ENERGIA XXI el tratamiento sin consentimiento de los datos personales de la denunciante. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el articulo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” IV De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por ENDESA ENERGIA y a ENDESA ENERGIA XXI puede subsumirse o no en tales definiciones legales, es decir, si son responsable del fichero y/o tratamiento, y en caso afirmativo si están o no legitimada para el tratamiento de datos de la denunciante, y por ende verificar la prestación del consentimiento de ésta o la ausencia del mismo. V En el presente caso la denunciante era cliente de ENDESA ENERGÍA merced, a contratos de suministro eléctrico en su domicilio en (C/.........19) Zaragoza (de alta desde 14/09/2005), y en otro inmueble sito en (C/.........1) Zaragoza (de alta desde 17/12/2013). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 Ha quedado acreditado en el procedimiento, y así lo reconocen las imputadas que tanto ENDESA ENERGÍA como ENDESA ENERGIA XXI dieron de alta a nombre de la denunciante contratos de suministro eléctrico (8 en caso de ENDESA ENERGIA y 6 en caso de ENDESA ENERGIA XXI) en distintos inmuebles, sin consentimiento de la denunciante para tales contrataciones, que ambas entidades atribuyen a un error en el proceso de cambio de titular de suministro, y que tales contrataciones se asignaron erróneamente a la denunciante. En cuanto a los ocho contratos dados de alta por ENDESA ENERGIA a nombre de la denunciante sin su consentimiento debe señalarse que cuatro de ellos se dieron de baja el mismo día del alta no generando facturas, otro se dio de baja al día siguiente del alta generando 3 facturas, otro se dio de baja a los dos días del alta generando una factura, otro de dio de baja a los once días del alta generando dos facturas y un último se dio de baja a los 17 días del alta, generando una factura. Todas las facturas resultaron impagadas. En cuanto a los seis contratos dados de alta por ENDESA ENERGIA XXI a nombre de la denunciante sin su consentimiento debe señalarse que dos de ellos se dieron de baja el mismo día del alta no generando facturas, otro se dio de baja al día siguiente del alta generando y no se emitieron facturas, otro se dio de baja a los dos días del alta generando una factura, otro de dio de baja a los seis días del alta generando tres facturas y un último se dio de baja a los diez días del alta, generando una factura. Todas las facturas resultaron impagadas. Todo esto sitúa a ENDESA ENERGIA y a ENDESA ENERGIA XXI como responsables del fichero y se evidencia un tratamiento de datos, de conformidad con las definiciones legales señaladas en el fundamento jurídico anterior. En el presente caso se puede concluir, dada la falta de acreditación por parte tanto de ENDESA ENERGIA como de ENDESA ENERGIA XXI TME de las referidas contrataciones por la denunciante y ante la ausencia de cobertura legal necesaria que ampararía dicho tratamiento sin consentimiento a tenor del artículo 6.2 de la LOPD, que por parte de las entidades imputadas se ha vulnerado el principio del consentimiento recogido en el artículo 6.1 de la citada Ley Orgánica. VI El artículo 44.3.
  6. b)de la LOPD en su redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible (Disposición final quincuagésimo sexta), tipifica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. ENDESA ENERGIA y a ENDESA ENERGIA XXI TME trataron los datos personales del denunciante sin su consentimiento por lo que ha vulnerado el principio del consentimiento previsto en el artículo 6 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.b). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 VII Se imputa asimismo a ENDESA ENERGIA la infracción del artículo 11 de la LOPD por cuanto los datos de la denunciante que eran cliente suyo fueron tratados sin consentimiento por ENDESA ENERGIA XXI para dar de alta a su nombre 6 contratos de suministro eléctrico. El artículo 11.1 de la LOPD establece lo siguiente: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: Cuando la cesión está autorizada en una Ley. Cuando se trate de datos recogidos de fuentes accesibles al público. Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 3. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 4. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 5. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
  7. a)de la LOPD) para la cesión de datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 personal. En el presente caso ha quedado acreditado que la denunciante era cliente de ENDESA ENERGIA y que dicha entidad cedió sin consentimiento los datos de ésta a ENDESA ENERGIA XXI que los trató para dar de alta (sin consentimiento como se ha referido en los fundamentos de derecho anteriores) hasta 6 contratos de suministro eléctrico. Dicha cesión no se encuentra amparada por ninguna de las excepciones al consentimiento del titular de los datos recogidas en el artículo 11.2.
  8. a)de la LOPD, lo cual supone que ENDESA ENERGIA vulneró el principio del consentimiento conforme a lo dispuesto en el artículo 11.1 de la citada LOPD. VIII . La infracción de lo dispuesto en el artículo 11.1 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
  9. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente caso ENDESA ENERGIA es responsable de la comisión de una infracción del artículo 11.1 en relación con el 4.3 de la LOPD, calificada como grave en el artículo 44.3.
  10. k)de dicha norma, al haber cedido a ENDESA ENERGIA XXI los datos personales de la denunciante que contaban en sus sistemas con el resultado de que ésta última trató sin consentimiento sus datos personales dando de alta a su nombre hasta 6 contratos de suministro eléctrico. IX El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 1. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  21. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. La Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligentes y cuidadosos a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 202 y 13 de abril y 18 de mayo de 2005). Respecto a la falta de intencionalidad, a la antijuridicidad no obsta la falta de intención de infringir las normas jurídicas- Sentencia del Tribunal Supremo de 4/06/1999-, “y ya hemos razonado que en contra de lo que se dice en el recurso si existe lesión de un derecho protegido por la Ley”. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. ENDESA ENERGIA y ENDESA ENERGIA XXI reconocen su responsabilidad en los hechos imputados por lo que cabe la aplicación de lo dispuesto en el artículo 45.5.
  22. d)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 de la LOPD, por lo que procede imponer multas cuyo importe se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener las infracciones imputadas la consideración de graves, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular que tanto ENDESA ENERGIA y ENDESA ENERGIA XXI dieron de baja los contratos dados de alta sin consentimiento de la denunciante en breve espacio de tiempo (el mismo día, o como máximo en 17 días), y en todo caso antes de que la denunciante presentara reclamación ante esta Agencia, así como que las facturas emitidas no fueron pagadas, y el volumen de negocio de ambas entidades, procede imponer a las mismas una multa de 10.000 € por la infracción del artículo 6.1 de la LOPD, así como a ENDESA ENERGIA una multa de 10.000 € por la infracción del artículo 11.1 de la LOPD habida cuenta que los datos de la denunciante cedidos si su consentimiento a ENDESA ENERGIA XXI fueron utilizados por esta última para darle de alta 6 contratos de suministro eléctrico. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  23. b)de la LOPD, una multa de 10.000 € (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: IMPONER a la entidad ENDESA ENERGÍA S.A., por una infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  24. k)de la LOPD, una multa de 10.000 € (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. TERCERO: IMPONER a la entidad ENDESA ENERGÍA XXI S.L.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  25. b)de la LOPD, una multa de 10.000 € (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. CUARTO: NOTIFICAR la presente resolución a ENDESA ENERGÍA S.A., a ENDESA ENERGÍA XXI S.L.U., y a Dña. A.A.A.. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.