PS-00281-2014

1/18 Procedimiento PS/00281/2014 RESOLUCIÓN: R/02167/2014 En el procedimiento sancionador PS/00281/2014, instruido por la Agencia Española de Protección de Datos a la entidad ENR WATIO SL y a Iberdrola Clientes SAU (antes Iberdrola Generación SAU), vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22 de julio de 2013 tiene entrada en la Agencia Española de Protección de Datos un escrito remitido por Dña. A.A.A. en el que denuncia que IBERDROLA GENERACION SAU (IBERGEN) ha dado de alta dos contratos (de suministro de electricidad y de gas) con sus datos personales sin su consentimiento para un piso de propiedad suya y de su marido que estaba arrendado. Adjunta copias del DNI, contrato de suministro eléctrico, contrato de suministro y mantenimiento del gas y facturas emitidas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a IBERGEN y más tarde se emitió el informe de la Inspección de Datos. TERCERO: De todo lo actuado en la investigación previa se concluyó, salvo prueba en contrario, que ENR WATIO SL, como encargada de tratamiento recogió los datos y documentos, cumplimentó el formulario de contratación y les puso a disposición de IBERGEN sin el consentimiento inequívoco del titular. IBERGEN realizó tratamiento de los datos personales de la persona denunciante al incorporarlos a su fichero de clientes como titular de un contrato de electricidad, que la denunciante no había solicitado y sin su consentimiento inequívoco. Siguiendo con la gestión de ese contrato, y sin realizar comprobaciones de la identidad y de la voluntad de contratar de la persona titular de los datos con suficiente diligencia, emitieron facturas y cargos en cuenta. CUARTO: Con fecha 23/05/14 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Ibergen y ARN Wátio, por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. QUINTO: La notificación del acuerdo de inicio a ARN Wátio no fue posible, al ser devuelta por el Servicio de Correos con anotación de desconocido. Se prosiguió la notificación formal por medio de edictos en el Ayuntamiento y publicación en el BOE. SEXTO: Notificado el acuerdo de inicio a Ibergen, formula alegaciones y solicita el archivo de las actuaciones. Acompaña copia de las facturas de las anteriores empresas que aportó el inquilino. Alega <<< Con fecha 9 de junio de 2012 se formalizaron los contratos de gas y electricidad a nombre de Dña. A.A.A.. Los contratos se realizaron de forma presencial mediante visita de un agente comercial externo de IBERGEN y se contrataron los dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 suministros para la vivienda, propiedad de Dña. A.A.A., ubicada en la (C/...............1) de Madrid, datos y documentos necesarios para la contratación fueron aportados por D. B.B.B., con NIE ***NIE.1, quien firmó el documento autocopiativo de contratación con su propio nombre y apellidos y aportó copia de su documento de identidad (NlE) y que en ese momento era el inquilino de la citada vivienda y, por tanto, el usuario efectivo de la energía. …, D. B.B.B. (el inquilino) aportó al agente comercial en el momento de la contratación una copia de la última factura de electricidad de la anterior empresa comercializadora de electricidad (GAS NATURAL-FENOSA) y una copia de la última factura de gas de la anterior empresa comercializadora de gas natural (ENDESA) que él venía pagando habitualmente aunque figuraba como titular de dichas facturas la propietaria de la vivienda, Dña. A.A.A.. Se adjuntan a este escrito como DOCUMENTO 1. IBERGEN procedió a la activación de los contratos de los dos suministros con toda normalidad y por lo tanto a la entrega de energía y su facturación, manteniendo la titularidad de los contratos a nombre de Dña., A.A.A., manteniendo el acuerdo entre la propietaria y el inquilino. • Con fecha 21 de septiembre y 29 de octubre de 2012 los contratos de gas y electricidad se dieron de baja con IBERGEN por indicación de las respectivas empresas distribuidoras por cambio de comercializadora solicitada por el propio cliente e IBERGEN cesó la comercialización de los contratos de electricidad y gas natural de esta vivienda. El 1 de agosto de 2013, casi un año después de la contratación, se recibió en IBERGEN una reclamación de Dña. A.A.A. en la que reclamaba la facturación del Servicio de Mantenimiento de Gas exigiendo la devolución de todas las facturas emitidas tanto de electricidad como de gas natural de la vivienda de su propiedad. Dña. A.A.A. no indicó en su reclamación a IBERGEN que la persona firmante de los contratos era su inquilino y que la titularidad de los contratos se había mantenido a su nombre (para evitarse cambios) con la anterior empresa comercializadora (incluso afirmó no conocer a la persona firmante de los contratos) pero sí aportó en su escrito de reclamación a IBERGEN la copia de los contratos de los suministros con IBERGEN que el agente comercial dejó en su visita a la vivienda en el momento de la contratación como confirmación de la misma y que ella conocía ya que obraban en su poder. • Con fecha 13 de septiembre de 2013 IBERGEN contestó a la reclamación de Dña. A.A.A. y le solicitó que acreditase el pago de las facturas para proceder a su devolución ya que éstas no se encontraban domiciliadas en entidad bancaria ya que se enviaban al domicilio del suministro y se abonaban normalmente por ventanilla bancaria. • El 27 de septiembre de 2013 se recibe en IBERGEN la Solicitud de Información de la AEPD. • El 30 de septiembre de 2013, Dña. A.A.A. envió a IBERGEN los justificantes de los pagos de las facturas. • El 7 de octubre de 2013 IBERGEN contestó a Dña. A.A.A. informándole que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 se procedía a anular los importes facturados. IBERGEN anuló todas las facturas del suministro de electricidad y del suministro de gas natural, así como del Servicio de Mantenimiento de Gas y los importes de las mismas fueron abonados a la propietaria de la vivienda y denunciante ante la AEPD. Por tanto, IBERGEN asumió el coste del consumo de electricidad y de gas natural, efectivamente realizado, de la vivienda que tenía alquilada Dña. A.A.A.. De los hechos relatados anteriormente y de las pruebas aportadas, …, se concluye que la contratación del suministro de electricidad a nombre de Dña., A.A.A. fue realizada por el inquilino de la vivienda, D. B.B.B., quien en ese momento era el usuario efectivo de la energía y que firmó el contrato de electricidad, del que se consideraba usuario, aportando su propio nombre y apellidos y además, copia de su propio NIE, copia de las últimas facturas de electricidad y de gas que había abonado a e los contratos de electricidad y gas nombre de la propietaria y todos los datos y documentos de la titular del contrato manteniendo así la situación pactada con la propietaria. … IBERGEN actuó de buena fe, confiando en que atendía el deseo de contratación del usuario efectivo de la energía (el inquilino) con el consentimiento de la titular (la propietaria) ya que las facturas de las anteriores empresas comercializadoras también se emitían a nombre de Dña. A.A.A., … . …, la actuación de la persona que suscribió el contrato y la relación comercial de ésta con la propia denunciante ha sido determinante para provocar el supuesto tratamiento indebido de datos personales que, por otra parte, se ha limitado a facilitar un cambio de comercializadora de un suministro. … los datos tratados son de NIVEL BÁSICO … rectificó todas las facturas que habían sido emitidas a nombre de la denunciante, actualizando la titularidad y asignándolas a la usuaria efectiva de la energía por lo que este hecho no causó perjuicio económico alguno ni a la titular del contrato ni a la usuaria efectiva de la energía ya que las facturas de consumo de electricidad realizado en la vivienda durante el periodo en que el contrato ha estado activado con IBERGEN, no han sido abonadas ni por la propietaria de la vivienda ni por el inquilino, asumiendo IBERGEN el coste del suministro. … IBERGEN empleó una razonable diligencia en la contratación ya que el agente comercial externo presentó el contrato firmado por el inquilino de la vivienda, que era el usuario efectivo de la energía y consumidor de los suministros, junto con la fotocopia de su acreditación personal (N.I.E.) y de las facturas emitidas por las anteriores comercializadoras que ya venía pagando a nombre de la propietaria de la vivienda. … actuó de buena fe, confiando en que atendía el deseo de contratación del usuario efectivo de la energía (el inquilino) con el consentimiento de la titular (la propietaria). …, IBERGEN anuló todas las facturas que habían sido emitidas, por lo que el incidente en la contratación no ha causado perjuicio económico alguno ni a la titular del contrato ni al usuario efectivo de la energía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 … los datos de la afectada se han tratado únicamente para formalizar el cambio de comercializadora, manteniendo la titularidad del contrato de electricidad a su nombre y siempre en el ánimo de satisfacer al cliente. Es evidente que el posterior impago de las facturas por parte del inquilino es lo que ha provocado esta denuncia. …, no se han acreditado elementos probatorios que permitan atribuir a IBERGEN responsabilidad sobre la vulneración de la normativa en materia de protección de datos. >>> SEPTIMO: Con fecha 30/06/14 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación adjunta, junto con los documentos generados en las actuaciones previas de Inspección y las alegaciones de los interesados. Se requiere a denunciante y denunciados que aporten documentos sobre los hechos. Las denunciadas no han presentado respuestas. La persona denunciante aporta copia de facturas, escritos, denuncias y justificantes de pago. OCTAVO: Con fecha 26/08/14 el Instructor del procedimiento formuló propuesta de resolución consistente en: Que por el Director de la Agencia Española de Protección de Datos 1.- Se sancione a ENR WATIO SL con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma. 2.- Se sancione a IBERDROLA GENERACIÓN SAU con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
3. b)de dicha norma. NOVENO: La propuesta fue notificada a las dos imputadas en sus domicilios y ambas presentaron sus escritos de alegaciones adjuntando una de ellas diversos documentos. DECIMO: ENR WATIO SL, solicitó copia de todos los documentos del expediente y una vez recibida presenta sus alegaciones solicitando archivo del procedimiento por prescripción y/o por aplicación del 45.6 de la LOPD, y subsidiariamente se le imponga una sanción por el importe mínimo de las leves en aplicación del 45.5 y 4. Alega: Que la infracción que se le imputa por los hechos ocurridos el 09/06/12 ha prescrito al haber transcurrido más de dos años antes de la notificación formal del acuerdo de inicio, que estima no ocurrió hasta 18/06/14. Que no realiza tratamiento de datos, solo los recoge e inmediatamente los trasmite a IBERGEN. Que el empleado que efectuó la recogida de los datos a que se refiere el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 procedimiento fue despedido por “no cumplir con las obligaciones derivadas del código ético y de conducta”, las cuales había suscrito una vez informado e instruido sobre ellas para el desarrollo de su actividad. Que, en lo concerniente a la protección de datos en el desarrollo de la actividad y gestión de la empresa, tiene contratados los servicios de empresa especializada de abogados. Que no habiendo sido sancionada ni apercibida con anterioridad procede, en aplicación del 45.6 de la LOPD, procede el apercibimiento –sin apertura de procedimiento sancionador- para que adopte las medidas correctoras oportunas. Que, en todo caso, las circunstancias concurrentes en los hechos que se le imputan le hacen merecedor de la aplicación del 45.5 y 4 de la LOPD. UNDECIMO: IBERGEN comunica en su escrito que el contrato de suministro en cuestión, como todos los demás de la actividad comercializadora minorista de dicha empresa, ha sido trasmitido a la sociedad HIBERDROLA CLIENTES SAU (HIBERCLI) que se subroga en todos los derechos y obligaciones derivados de dicho contrato. HIBERCLI reconoce el error cometido al validar como correcta la contratación de electricidad y gas denunciada, ya que no cumplía con uno de los requisitos establecidos para los procedimientos de contratación: recabar la acreditación de la representación del titular de los datos para contratar en su nombre. HIBERCLI procede a reconocer de forma espontánea la culpabilidad. En base al artículo 45.5.
4. d)de la LOPD solicita imposición de una sanción correspondiente al tramo de las leves. Igualmente solicita que el importe de la sanción lo sea en su importe mínimo, ya que concurren las circunstancias contempladas en el 45.4, especialmente en los apartados
5. d)y h). De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 01. 18/04/12, Endesa Energía SAU emite factura por importe de 117,99 € a nombre de la persona denunciante (A.A.A., DNI ***DNI.1) por el suministro de gas y “mantenimiento de gas con calefacción” al punto de suministro en (C/...............1) – Madrid, con domiciliación bancaria en la ccc 1465 ***CCC.1. 02. 20/05/12, Gas Natural SUR SDG SA emite factura por importe de 24,23 € a nombre de la persona denunciante (A.A.A., DNI ***DNI.1) por el suministro de electricidad al punto de suministro en (C/...............1) – Madrid, con domiciliación bancaria en la ccc ING DIRECT ***CCC.1. 03. 09/06/12, fecha de los formularios de “Contrato de energía suministros de electricidad y gas” de Ibergen suscritos por B.B.B., TIE ***NIE.1, para contratar el suministro de electricidad, de gas natural, servicio de mantenimiento de gas, urgencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 eléctricas y servicio de protección de pagos plus de electricidad. Figura como titular A.A.A., DNI ***DNI.1, teléfono ***TEL.1 punto de suministro en (C/...............1) – Madrid, y forma de pago por V (ventanilla bancaria). 04. En los formularios figura en la parte superior derecha pegatina con la impresión “CMC-Alcalá-Enr Wátio-Gas/Dual”. Se adjunta copia del TIE del firmante y copia de facturas de las anteriores comercializadoras. En su informe a la Inspección de Datos Ibergen afirma que la recogida de datos y la cumplimentación del formulario ha sido realizada por la empresa ENR Wátio SL, contratada para ese fin. 05. 02/07/12, fecha de alta en la base de datos de Ibergen de los datos de la persona denunciante (A.A.A.) como cliente por el contrato de suministro de gas. 06. 09/07/12, fecha de alta en la base de datos de Ibergen de los datos de la persona denunciante (A.A.A.) como cliente por el contrato de suministro de electricidad. 07. 24/08/12, factura de gas natural emitida por Ibergen por el periodo de suministro de 02/07/12 a 14/08/12 por importe de 32,04 €, incluyendo “servicio mantenimiento de gas” 08. 24/08/12, factura de electricidad emitida por Ibergen por el periodo de suministro de 09/07/12 a 21/08/12 por importe de 39,44 €, incluyendo “servicio urgencias eléctricas” y “servicio de protección de pagos plus”. 09. 21/09/12, fecha de baja en la base de datos de Ibergen del contrato de suministro de gas a nombre de la persona denunciante (A.A.A.) a petición de ésta por cambio de comercializadora. 10. 26/09/12, factura de gas natural emitida por Ibergen por el periodo de suministro de 15/08/12 a 21/09/12 por importe de 46,84 €, incluyendo “servicio mantenimiento de gas”. 11. 02/10/12, la persona denunciante en su entidad bancaria ordena una transferencia de 32,04 € a la cuenta de Iberdrola en B. Santander, en concepto de recibo de gas de agosto y otra de 46,84 € del de septiembre. Igualmente ordena otra de 39,44 € por el recibo de la luz. 12. 19/10/12, fecha de la factura de electricidad emitida por Ibergen, por el concepto de “derechos de enganche” dos veces, por importe de 21,88 €. 13. 23/10/12, factura emitida por Ibergen por importe de 8,94 € por el concepto “servicio mantenimiento de gas”. Por el mismo importe y concepto emitió facturas el 20/11/12, 20/12/12, 22/01/13, 18/02/13, 20/03/13, 19/04/13 y 20/05/13 14. 26/10/12, factura de electricidad emitida por Ibergen por el periodo de suministro de 21/08/12 a 22/10/12 por importe de 129,99 €, incluyendo “servicio urgencias eléctricas” y “servicio de protección de pagos plus”. 15. 29/10/12, fecha de baja en la base de datos de Ibergen del contrato de suministro de electricidad a nombre de la persona denunciante (A.A.A.) a petición de ésta por cambio de comercializadora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 16. 30/10/12, la persona denunciante en su entidad bancaria ordena una transferencia de 21,88 € a la cuenta de Iberdrola en B. Santander, en concepto de factura de la luz. En la misma cuenta de la denunciante se recibe y abona recibo de Ibergen por importe de 129,99 €. 17. 06/11/12, la persona denunciante en su entidad bancaria recibe y abona recibo de Ibergen por importe de 10,83 €. 18. 22/11/12, factura de electricidad emitida por Ibergen por el periodo de suministro de 22/10/12 a 29/10/12 por importe de 10,83 €, incluyendo “servicio urgencias eléctricas” y “servicio de protección de pagos plus”. 19. 01/07/13, la persona denunciante por correo electrónico pregunta a Ibergen por qué motivo le siguen enviando facturas si ya se dió de baja en el suministro de gas. A petición de Ibergen les remite sus datos de identidad, teléfono, referencia de contrato y dirección de punto de suministro. Le informan que mantiene el contrato de “servicio mantenimiento de gas” que concluye el 02/07/13 -si solicita la baja- y que tiene un impago de 32,08 €. Solicita la baja y se la tramitan. 20. 03/07/13, la persona denunciante por correo electrónico solicita a Ibergen le remita duplicado de las facturas para poder liquidar la deuda. Le piden su dirección de correspondencia para poder enviarlas, por el mismo medio se la envía ((C/...............2) <Madrid>) y más tarde le dicen que los duplicados han sido enviados a la dirección indicada. 21. 12/07/13, la persona denunciante presenta denuncia dirigida a la AEPD (entrada 22/07/13) por los hechos relacionados arriba. 22. 12/07/13, la denunciante remite a Ibergen (entrada 29/07/13) reclamación solicitando la devolución de las facturas pagadas de gas y electricidad y la anulación de las facturas de “servicio mantenimiento de gas”. Se basa en: <<< Con fecha 9 de junio de 2012, se firmó un contrato de suministro de energía eléctrica (referencia contrato ***CONTRATO.1) y un contrato de suministro y servicio de mantenimiento de gas (referencia contrato ***CONTRATO.2) en el domicilio sito en (C/...............1) de Madrid, figurando mis datos como titular de esos contratos, sin mi consentimiento, y firmados por otra persona distinta. A raíz de estos contratos se emitieron distintas facturas y al no disponer de mis datos bancarios estas facturas, supuestamente, fueron enviadas al domicilio para su abono, Al no ser abonadas las primeras facturas, se interrumpió el suministro eléctrico. En ese momento fue cuando tuve constancia de la existencia de estos contratos. Para poder restablecer el suministro tuve que pagar las facturas pendientes, así como otra factura de enganche. Una vez abonadas pude dar de baja los contratos. Pero, parece ser que el contrato para el servicio de mantenimiento del gas, seguía vigente, no entiendo por qué, y han seguido emitiéndose facturas a mi nombre. >>> 23. 13/09/13, Ibergen por correo postal, dirigido a (C/...............1) – Madrid, le solicita a la denunciante justificante de pago de las facturas a su nombre. Le son enviadas el 30/09/13. 24. 27/09/13, Ibergen recibe la solicitud de la Inspección de Datos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 Agencia para que proporcione información sobre la denuncia de A.A.A., DNI ***DNI.1. 25. 06/10/13, Ibergen en su informe a la Inspección de Datos de la Agencia afirma que todas las facturas han sido anuladas y abonadas a la denunciante (no acreditado), asumiendo el coste de gas y luz. 26. 07/10/13, Ibergen por escrito a su domicilio le informa que “dado que no se ha realizado la visita de la instalación de gas de este punto de suministro, hemos procedido a anular, los importes facturados correspondientes a este servicio.” 27. 07/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, nueve facturas por importe 00,00 € rectificativas de las ya emitidas por el concepto “servicio mantenimiento de gas”. 28. 07/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, dos facturas de gas rectificativas de los importes de las ya emitidas: 19,65 € en vez de 32,04 € y 35,68 € en vez de 64,84 €. 29. 29/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, una factura de gas rectificativa del importe de la ya emitida: 00,00 € en vez de 35,68 €. 30. 29/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, una factura de electricidad rectificativa del importe de la ya emitida: 00,00 € en vez de 129,99 €. 31. 30/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, una factura de electricidad rectificativa del importe de la ya emitida: 00,00 € en vez de 21,88 €. 32. 01/07/14, fecha de publicación en el BORME de la trasmisión -por escisión parcial- de IBERGEN del negocio de la actividad comercializadora minorista de dicha empresa a la sociedad Iberdrola Clientes SAU (HIBERCLI) que se subroga en todos los derechos y obligaciones derivados de dicho contrato, incluido el contrato de suministro en cuestión en este procedimiento. FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 relatados. Se llega a la conclusión de que la actuación de las imputadas constituye, en cada una de las conductas, una infracción del artículo 6.1 de la LOPD y su principio del consentimiento, tipificada en el 44.3.
7. b)de la misma ley. A. Los datos personales de la persona denunciante han sido tratados por las dos entidades (ENR WATIO SL e Ibergen) imputadas, para la recogida de datos, tramitación de contrato y tratamientos posteriores. De la intervención de ENR WATIO SL en los hechos denunciados tenemos la pegatina impresa que anota su nombre, adherida a los dos contratos y las manifestaciones escritas de Ibergen. B. ENR Wátio en sus alegaciones ha hecho constar que el empleado que realizó la recogida de datos y la cumplimentación de los formularios de contratación fue despedido por el incumplimiento en su actuación en el caso de las normas previamente establecidas y en las que fue instruido y firmó el correspondiente documento. C. La denunciante es propietaria de una vivienda y tiene contratada a su nombre la luz y el gas con dos compañías diferentes a la denunciada. ENR WATIO SL, por encargo de Ibergen, recaba datos para cumplimentar el formulario de contratación a nombre de la denunciante, que es firmado por una tercera persona que se identifica pero no acredita la representación de la titular de los datos para realizar esos contratos. D. Recibidos los formularios firmados por esa tercera persona, -sin comprobar la identidad de la titular de los datos con copia del DNI y la necesaria representación otorgada para contratar, y sin obtener su consentimiento- tramita los cambios de compañías e incorpora a su base de datos de clientes los datos de la persona denunciante. E. Emite facturas que resultan impagadas, como consecuencia de ello se corta el suministro –según la denunciante- y ésta tiene conocimiento del cambio de compañías. Realiza las gestiones necesarias para cambiar de compañías y conseguir la baja en la denunciada que la obliga a pagar las facturas de gas y luz, para conseguirlo. F. En Ibergen ha permanecido de alta desde 02/07/12 a 21/09/12 en suministro de gas y del 09/07/12 al 29/10/12 en el de electricidad. En el contrato de mantenimiento de 02/07/12 a 02/07/13 siguió emitiendo facturas. G. Las reclamaciones por diversos medios efectuadas por la denunciante concluyen con la rectificación y anulación de todas las facturas de luz, gas y mantenimiento, tras la recepción de la petición de información de la Agencia. H. HIBERCLI, entidad sucesora de IBERGEN, reconoce la culpabilidad en los hechos por no haber comprobado que el firmante de los contratos no aportó el documento de representación otorgado para ese fin por la titular de los datos, ahora denunciante. III. La LOPD establece: “Artículo 6. Consentimiento del afectado “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento del afectado para la recogida o tratamiento de los datos personales del mismo es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. Se les hace responsables a cada una de las entidades imputadas en el presente procedimiento de una infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Carece del consentimiento inequívoco de la afectada el tratamiento efectuado por ENR WATIO SL e Ibergen, que tratan los datos de la persona denunciante para cumplimentar formularios e iniciar los cambios de compañías comercializadoras, incorporarlos a su fichero de clientes y emitir facturas, sin tener base documental en que basar su contratación y su consentimiento para tratar sus datos. Las imputadas no han acreditado motivos, razón o circunstancia que justificara ese tratamiento de datos sin consentimiento de la persona afectada. La tercera persona que les proporciona los datos y firma los formularios carece de representación de la titular de los datos para actuar en su nombre. El hecho de que esa persona aporte dos facturas no implica tener representación de la titular o el consentimiento de ella. En esas facturas figura domiciliado el pago en la cuenta de la titular. El empleado de ENR WATIO SL no puede poner la cuenta de domiciliación porque en las facturas no se incluyen los veinte dígitos de la ccc necesarios. IV. El artículo 44.3.
8. b)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
9. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. La Audiencia Nacional ha manifestado en su Sentencia de 22/10/2003 que “... la descripción de conductas que establece el artículo 44.3.
10. d)de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos, realizando envíos publicitarios”. En este caso, ENR WATIO SL e Ibergen han incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. Han tratado los datos de la persona denunciante sin contar con su consentimiento, lo que supone una vulneración de este principio, conducta que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 encuentra su tipificación en este artículo 44.3.
11. b)de la citada Ley Orgánica. V. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracción grave, la sanción que procede imponer a debe ser de un importe comprendido entre 40.001 y 300.000 euros. VI. El artículo 45.5 de la LOPD, establece que 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
12. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
13. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
14. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
15. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
16. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 mismo precepto cita. ENR WATIO SL es una empresa pequeña, que ha actuado siguiendo un protocolo concreto establecido por parte de la responsable del fichero –Ibergen- y se limita a conseguir que los posibles clientes suscriban los formularios de contratación y entregárselos a Ibergen, sin comprobar que los datos recogidos y la voluntad de contratación han sido puestos de manifiesto por la titular de los datos o por representante suya con acreditación suficiente. Circunstancias que junto con las correspondiente del 45.5 permiten la aplicación del 45.5.
17. a)y la imposición de una sanción leve. Ibergen en su escrito de alegaciones al acuerdo de inicio solo solicita archivo de actuaciones. En las alegaciones a la propuesta HIBERCLI –empresa sucesora de IBERGEN- reconoce la culpabilidad en los hechos y acepta una sanción por el importe mínimo de las leves. Ese reconocimiento no puede calificarse de espontaneo, pues no se hizo en el informe en la fase de investigación ni en las alegaciones al acuerdo de inicio. Por ese motivo no puede ser aplicado el 45.5.
18. d)tal como solicita la imputada. Es necesario analizar la reacción de la comercializadora ante las reclamaciones de la persona denunciante. La persona denunciante, al tener conocimiento del corte de suministro y los cambios de comercializadoras, tramita el cambio de compañía y antes de dos meses lo ha conseguido, previo pago de las facturas como condición inevitable. Conseguir la anulación de las facturas y la devolución de lo pagado no lo consiguió hasta un año más tarde, después de presentar la denuncia en la Agencia. VII. El artículo 45.4 de la LOPD, establece que La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
19. a)El carácter continuado de la infracción.
20. b)El volumen de los tratamientos efectuados.
21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
22. d)El volumen de negocio o actividad del infractor.
23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
24. f)El grado de intencionalidad.
25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Es necesario examinar las circunstancias de aplicación del 45.4. Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: + Respecto a ENR Wátio: Su actuación es breve en el tiempo. Desde la recogida de datos y cumplimentación de formulario a la entrega de los mismos a Ibergen. Con escasa vinculación al tratamiento de datos y pequeño volumen de negocio. No ha sido objeto de procedimientos sancionadores. Circunstancias concurrentes que teniendo en cuenta el criterio d la Agencia en casos similares permiten fijar el importe de la sanción en 3.000 € + Respecto a Ibergen: - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio del consentimiento durante más de 15 meses. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que Ibergen es empresa que tiene como actividad la prestación de facturación de suministros de energía y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene el Grupo, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio hay que hacer constar que es un hecho notorio que excluye la necesidad de aportar elemento probatorio alguno. Pertenece a uno de los grupos energéticos más importantes de la península ibérica y en otros países. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos como cliente a la persona denunciante y ordenó el cambio de comercializadoras no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a quien a los supervisores de todos ellos. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. -El balance de todas las circunstancias contempladas en el 45.4 de la LOPD permite graduar las sanciones en un importe de 50.000 €. VIII La alegación de ENR Wátio de que se ha producido la prescripción de los hechos por el transcurso de más de dos años desde que estos se produjeron hasta la fecha de notificación del acuerdo de inicio debe ser desestimada por las razones que a continuación se exponen. La notificación del acuerdo de inicio no fue posible porque el envío postal certificado con aviso de recibo a través del Servicio de Correos fue devuelto con la anotación de desconocido. Esta actuación de Correos fue realizada conforme al Real Decreto 1829/1999, de 3 de diciembre, por el que se aprueba el Reglamento por el que se regula la prestación de los servicios postales, en desarrollo de lo establecido en la Ley 24/1998, de 13 de julio, del Servicio Postal Universal y de Liberalización de los Servicios Postales. («BOE» núm. 313, de 31 de diciembre de 1999. Texto consolidado. Última modificación: 9 de mayo de 2007), que establece: “Artículo 43. Supuestos de notificaciones con un intento de entrega. No procederá un segundo intento de entrega en los supuestos siguientes:
29. a)Que la notificación sea rehusada o rechazada por el interesado o su representante, debiendo hacer constar esta circunstancia por escrito con su firma, identificación y fecha, en la documentación del empleado del operador postal.
30. b)Que la notificación tenga una dirección incorrecta.
31. c)Que el destinatario de la notificación sea desconocido.
32. d)Que el destinatario de la notificación haya fallecido.
33. e)Cualquier causa de análoga naturaleza a las expresadas, que haga objetivamente improcedente el segundo intento de entrega. En los supuestos previstos anteriormente, el empleado del operador postal hará constar en la documentación correspondiente la causa de la no entrega, fecha y hora de la misma, circunstancias que se habrán de indicar en el aviso de recibo que, en su caso, acompañe a la notificación, aviso en el que dicho empleado del operador postal hará constar su firma y número de identificación.” Cumplido ese requisito de intento de notificación con resultado de desconocido, la Agencia procedió a la notificación por edictos en el Ayuntamiento y en el BOE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 El Tribunal Supremo tiene declarada como doctrina legal que la fecha del intento de notificación, una vez cumplidos los demás requisitos de publicación es la fecha de notificación a tener en cuenta en el cómputo de los plazos que hayan sido establecidos. Así consta en la sentencia del Tribunal Supremo, Sala de lo Contencioso (Pleno), de 3 de diciembre de 2013, en que rectifica su doctrina legal sobre el Art. 58.4 de la Ley 30/1992, relativo a la obligación de notificar las resoluciones o actos administrativos dentro del plazo máximo de duración de los procedimientos: “Rectificamos la doctrina legal declarada en la sentencia de este Tribunal Supremo de fecha 17 de noviembre de 2003, dictada en el recurso de casación en interés de la Ley número 128/2002, en el sentido, y sólo en él, de sustituir la frase de su párrafo segundo que dice «[...] el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en el momento en que la Administración reciba la devolución del envío, por no haberse logrado practicar la notificación [...]», por esta otra: «el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en la fecha en que se llevó a cabo”. De esta manera, la doctrina legal queda fijada como sigue: “Que el inciso intento de notificación debidamente acreditado que emplea el artículo 58.4 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se refiere al intento de notificación personal por cualquier procedimiento que cumpla con las exigencias legales contempladas en el artículo 59.1 de la Ley 30/1992, pero que resulte infructuoso por cualquier circunstancia y que quede debidamente acreditado. De esta manera, bastará para entender concluso un procedimiento administrativo dentro del plazo máximo que la ley le asigne, en aplicación del referido artículo 58.4 de la Ley 30/1992, el intento de notificación por cualquier medio legalmente admisible según los términos del artículo 59 de la Ley 30/1992, y que se practique con todas las garantías legales aunque resulte frustrado finalmente, y siempre que quede debida constancia del mismo en el expediente. En relación con la práctica de la notificación por medio de correo certificado con acuse de recibo, el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en la fecha en que se llevó a cabo, siempre que quede constancia de ello en el expediente.” En el caso que nos ocupa el intento de notificación tuvo lugar a las 13,00 horas del día 28/05/14, tal como fue anotado en el aviso recibo, por el cartero con NIP 289772, que lo firma junto a la X de la casilla de desconocido y el sello fechador de la correspondiente oficina de correos. Si el hecho de la infracción se produjo el día 09/06/12 y la notificación del acuerdo de inicio el 28/05/14 la prescripción no se ha producido, pues no se ha consumido el plazo de dos años previsto para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 PRIMERO: Imponer las siguientes sanciones: 1) A ENR WATIO SL multa de 3.000 € (tres mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
34. b)de dicha norma. 2) A Iberdrola Clientes SAU (antes Iberdrola Generación SAU) multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
35. b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a ENR WATIO SL, a Iberdrola Clientes SAU (antes Iberdrola Generación SAU) y a A.A.A.. TERCERO: Advertir a los sancionados que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es