← España

PS-00298-2017

1/15 Procedimiento Nº PS/00298/2017 RESOLUCIÓN: R/02371/2017 En el procedimiento sancionador PS/00298/2017, instruido por la Agencia Española de Protección de Datos a la entidad EDP ENERGIA, S.A.U.., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante nº1) ha presentado escrito de denuncia en fecha de 30/12/2016, en el que manifiesta que a pesar de que sus datos están incluidos en el servicio Lista Robinson, ha recibido publicidad postal de EDP ENERGÍA S.A.U., en adelante EDPEN, dirigida a su nombre y dirección. La denuncia no establece la fecha en la que recibe el envío publicitario. Aporta copia de una de las caras del escrito recibido. El 08/02/2017 tiene entrada un escrito de subsanación de denuncia del denunciante en el que aporta la siguiente documentación: I.Copia íntegra del envío publicitario recibido. II.Certificado del servicio de exclusión publicitaria Lista Robinson. SEGUNDO: D. A.A.A. (en lo sucesivo el denunciante nº2) ha presentado escrito de denuncia en fecha de 11/11/2016 en el que manifiesta que recibe en su domicilio publicidad postal no autorizada dirigida a su nombre de EDPEN. En respuesta a un escrito suyo, EDPEN le contesta que ha utilizado los datos que figuran en el punto de suministro pero no es ni ha sido nunca cliente de EDPEN La denuncia no establece la fecha en la que recibe el envío publicitario. Y, entre otra, anexa la siguiente documentación: I.Original de la comunicación publicitaria recibida. II.Solicitud de información respecto del origen de los datos. III.Respuesta remitida por EDPEN fechada el 21/10/2016. TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias frente a la entidad EDP ENERGIA, S.A.U.., teniendo conocimiento de lo siguiente: Respecto del denunciante nº 1 en las Actuaciones Previas de Inspección E/179/2017: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 1. Del resultado de la consulta realizada durante la inspección realizada el 28/03/2017 e incluida como DOC. 2 en el Acta de Inspección, se desprende que el denunciante no figura en el fichero de clientes de EDP ENERGIA S.A.U (en adelante EDPEN). 2. El certificado aportado en el escrito de subsanación del denunciante acredita que la dirección postal D.D.D. está incluida desde el 05/07/2013 en el servicio de exclusión publicitaria Lista Robinson asociada al denunciante. 3. Según manifiestan los representantes de EDP durante la inspección: 3.1. Las campañas publicitarias que utilizan medios postales son realizadas por EDP con la colaboración de un tercero al que se contrata para que imprima y envíe las comunicaciones. EDP construye los ficheros con los datos personales de los destinatarios que son entregados al tercero El origen de los datos de los envíos publicitarios postales dirigidos a clientes potenciales es la base de datos de puntos de suministro, en adelante BDPS, que está compuesta por cuatro ficheros: suministro de luz, consumo de luz, suministro de gas y consumo de gas. 3.2. La BDPS era proporcionada por la Oficina de Cambio de Suministrador, pero un cambio normativo hizo que a partir de julio de 2014 parte de las funciones de dicha oficina fueran asumidas por la Comisión Nacional de los Mercados y la Competencia. La gestión de la citada base de datos es una de sus funciones actuales. 3.3. En 2016 se produjo un cambio en la estructura y contenidos de la BDPS. El nuevo gestor comenzó a proporcionar nuevos ficheros en julio de 2016 pero éstos contenían errores lo que ha retrasado su actualización. La última versión de los ficheros de suministro y consumo de luz que se han integrado en los sistemas de EDPEN es de noviembre de 2015. La última versión de los ficheros de suministro y consumo de gas que se han integrado en los sistemas de EDPEN es de septiembre/octubre de 2016. Según se acredita mediante el DOC. 3 de la inspección que contiene el resultado de consultar la copia de EDPEN de la BDPS, los datos del denunciante constan en la misma. 4. Según se desprende del documento DOC. 2 EDEPEN remitió una única comunicación comercial al denunciante a la dirección postal B.B.B.. La comunicación tiene como referencia el código “HC ALC 11/16-10” identifica comunicaciones planificadas para ser enviadas en noviembre de 2016 dentro de la 10 oleada o campaña. Las siglas HC son de la antigua marca “HidroCantábrico”. Los datos del denunciante se localizan en un fichero denominado “***FICH.1 – Extracción_ALICANTE_SOLO LUZ_Oleada10.xlsx” que contiene un total de 39.228 registros con los datos utilizados en esa campaña concreta. En cuanto a la fecha efectiva del envío, el fichero tiene en su nombre la fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 extracción, el 02/12/2016. Según manifiesta EDPEN después de realizar la extracción de los datos de la BDPS éstos son enviados a un tercero que es quien imprime las comunicaciones y efectúa los envíos. 5. EDEPEN no utiliza los servicios del servicio de exclusión publicitaria Lista Robinson. Durante la inspección EDPEN manifiesta que el único fichero común de exclusión que se utiliza es la BDPS que incluye marcas que permiten conocer cuando un titular se ha dirigido al responsable de la BDPS para oponerse al tratamiento publicitario de sus datos. Como acreditan los documentos DOC. 3 y DOC. 4 obtenidos durante la inspección, los datos del denunciante constan en la BDPS, pero el indicador de haber ejercido su derecho de oposición al tratamiento publicitario de sus datos, denominado “IND_ROBINSO_SIPS”, no está marcado. 6. La comunicación tiene en su pie de página el siguiente texto “Datos identificativos obtenidos de las bases de datos de puntos de suministro de su distribuidor anteriores al 05/12/2015, según lo dispuesto en el Real Decreto 1011/2009, de 19 de junio, por el que se regula la Oficina de Cambio de Suministrador….”. El Real Decreto citado define las funciones de la Oficina de Cambio de Suministrador. 7. Consultado el Registro General de Protección de Datos se localiza el registro de la BDPS cuyo responsable es la Oficina de Cambios de Suministrador S.A. La finalidad declarada para el fichero es la “SUPERVISION DE LOS CAMBIOS DE SUMINISTRADOR”. 8. El EDPEN manifiesta no haber realizado ninguna campaña publicitaria para el sector de luz usando la BDPS desde el 1/1/2017 ya que se está a la espera de la carga de la siguiente versión. Respecto del denunciante nº 2 en las Actuaciones Previas de Inspección E/454/2017: 9. Del resultado de la consulta realizada durante la inspección realizada el 28/03/2017 e incluida como DOC. 1, se desprende que el denunciante no figura en el fichero de clientes de EDPEN. 10. Según manifiestan los representantes de EDP durante la inspección: 10.1.Las campañas publicitarias que utilizan medios postales son realizadas por EDP con la colaboración de un tercero al que se contrata para que imprima y envíe las comunicaciones. EDP construye los ficheros con los datos personales de los destinatarios que son entregados al tercero El origen de los datos de los envíos publicitarios postales dirigidos a clientes potenciales es la base de datos de puntos de suministro, en adelante BDPS, que está compuesta por cuatro ficheros: suministro de luz, consumo de luz, suministro de gas y consumo de gas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 10.2.La BDPS era proporcionada por la Oficina de Cambio de Suministrador, pero un cambio normativo hizo que a partir de julio de 2014 parte de las funciones de dicha oficina fueran asumidas por la Comisión Nacional de los Mercados y la Competencia. La gestión de la citada base de datos es una de sus funciones actuales. 10.3.En 2016 se produjo un cambio en la estructura y contenidos de la BDPS. El nuevo gestor comenzó a proporcionar nuevos ficheros en julio de 2016 pero éstos contenían errores lo que ha retrasado su actualización. La última versión de los ficheros de suministro y consumo de luz que se han integrado en los sistemas de EDPEN es de noviembre de 2015. La última versión de los ficheros de suministro y consumo de gas que se han integrado en los sistemas de EDPEN es de septiembre/octubre de 2016. Según se acredita mediante el DOC. 3 de la inspección que contiene el resultado de consultar la copia de EDPEN de la BDPS, los datos del denunciante constan en la misma. 11. Según se desprende de las comprobaciones realizadas durante la inspección, documentadas mediante el documento DOC. 2, EDEPEN remitió una única comunicación comercial al denunciante. La comunicación tiene como referencia el código “HC VIG 09/16-3” identifica comunicaciones planificadas para ser enviadas en septiembre de 2016 dentro de la 3ª oleada o campaña. Las siglas HC son de la antigua marca “HidroCantábrico”. Los datos del denunciante se localizan en un fichero denominado “***FICH.2 – Vigo – Mailing LUZ – Oleada 3.xlsx” que contiene un total de 5.685 registros con los datos utilizados en esa campaña concreta. En cuanto a la fecha efectiva del envío, el fichero tiene en su nombre la fecha extracción, el 07/09/2016. Según manifiesta EDPEN después de realizar la extracción de los datos de la BDPS éstos son enviados a un tercero que es quien imprime las comunicaciones y efectúa los envíos. 12. Cuando un cliente potencial ejerce su derecho de oposición al tratamiento publicitario de sus datos, su código unificado de punto de suministro es añadido en un fichero de exclusión que es utilizado como filtro cada vez que se construye un fichero para una campaña. Como acreditan los documento s DOC. 3 y DOC. 4 obtenidos durante la inspección, los datos del denunciante constan no en la copia de la BDPS que gestiona EDPEN ya que fueron excluidos para ser dados de alta en su fichero de exclusión. El fichero de exclusión de EDP no contiene la fecha de alta pero durante la inspección se localiza un correo electrónico de fecha 06/10/2016 en el que el departamento que gestiona las campañas publicitarias notifica al departamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 seguridad de la información las altas producidas en el fichero de exclusión de clientes potenciales. Se comprueba que en el correo constan los datos de una solicitud de baja recibida a nombre del denunciante el 30/09/2016. 13. La comunicación tiene en su pie de página el siguiente texto “Datos identificativos obtenidos de las bases de datos de puntos de suministro de su distribuidor anteriores al 05/12/2015, según lo dispuesto en el Real Decreto 1011/2009, de 19 de junio, por el que se regula la Oficina de Cambio de Suministrador….”. El Real Decreto citado define las funciones de la Oficina de Cambio de Suministrador. 14. Consultado el Registro General de Protección de Datos se localiza el registro de la BDPS cuyo responsable es la Oficina de Cambios de Suministrador S.A. La finalidad declarada para el fichero es la “SUPERVISION DE LOS CAMBIOS DE SUMINISTRADOR”. 15. El EDPEN manifiesta no haber realizado ninguna campaña publicitaria para el sector de luz usando la BDPS desde el 01/01/2017 ya que se está a la espera de la carga de la siguiente versión. 16. El art. 7 del Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, fue modificado por Real Decreto 1074/2015, de 27 de noviembre. La redacción vigente a partir del 05/12/2015 no se permite que los comercializadores tengan acceso la dirección del punto de suministro ni el nombre ni la dirección del titular del suministro. A partir de dicha fecha las entidades no se encuentran legitimadas para el tratamiento de estos datos. CUARTO: De conformidad con el artículo 57 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se procedió a la acumulación de las denuncias presentadas en el presente expediente sancionador. QUINTO: Con fecha 13/06/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a EDP ENERGIA, S.A.U.., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley. SEXTO: Notificado el acuerdo de inicio, EDP ENERGIA, S.A.U.. mediante escrito de fecha formuló alegaciones, significando, que: El RD 1435/2002 contempla la posibilidad de que los comercializadores de energía eléctrica accedan a la información disponible del SIPS que gestionan sus distribuidores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Por la implantación de equipos de telemedia y los riesgos para la privacidad que supone la información que recaban, el RD 1074/2015, elimino dicha posibilidad referida a los datos de la curva de carga horaria de los puntos de suministro, estableciéndose otros cauces para la puesta a disposición de dicha información. Señal la norma (…) En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a los datos recogidos en los apartados c),
  2. z)y
  3. aa)del apartado 1.(…)
  4. c)Ubicación del punto de suministro, que incluye dirección completa (tipo de vía, nombre de la vía, número, piso y puerta). Esta información debe referirse en todo momento al punto de suministro y no a la ubicación, población y provincia del titular de dicho punto de suministro que se exige en la letra
  5. aa)de este mismo artículo.
  6. z)Nombre y apellidos, o en su caso denominación social y forma societaria, del titular del punto de suministro.
  7. aa)Dirección completa del titular del punto de suministro. Esta información debe referirse en todo momento al titular del punto de suministro y no a la ubicación, población y provincia de dicho punto de suministro que se exige en la letra
  8. c)de este mismo artículo.(…) Esta información continúa en poder de las empresas distribuidoras, que ya no pondrán a disposición de las comercializadoras o de la CNMC desde ese momento. La norma entro en vigor a partir del 5/12/2015, momento desde el que las comercializadoras no tienen acceso a dicha información, no estableciéndose que no puedan tratarla. La bbdd empleada por EDP para campañas comerciales no es la del SISP, sino otra depurada que contiene informacino necesaria para tal fin, utilizandose finalmente el nombre y apellidos y domicilio del titular del punto de suministro para realizar los envios postales. Es una bbdd distinta, pero obtenida de la misma, respecto de la que no se realiza segmentación a partir del consumo o carga horaria y tal como se recoge en el acta de inspección, se indica que es la zona de residencia y las características técnicas de los puntos de suministros las que determinan los criterios del envío, no encontrándose en el escenario de riesgo que pretenden evitar la regulación citada. El origen de los datos es SIPS, y la ultima actualizacion se hizo en noviembre de 2015, con anterioridad a la fecha en vigor de la modificacion – y por tanto estaba EDP legitimada para ello-, puesto que de otro modo EDP no habria podido acceder a dichso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 datos identificativos. Los envios se realizaron dentro del año siguiente a la obtencion, no estando previstos otros a partir de 2017. El hecho de esperar a solucionar los problemas de carga de la nueva actualizacion de SIPS no determina el uso de los datos identificativos de los titulares, ya que no figuran actualmente en neustros sistema de informacion. El tratamiento realizado responde en todo caso a un interes legitimo dado su origen y es proporcionado. Unicamente han recibido un envio y no se puede valorar el posible perjuicio real causado. Durante el citado plazo de un año los interesados han podido oponerse en cualquier momento al uso de sus datos con dichos fines, habiendo ejercitado el derecho de oposición uno de los denunciantes con posterioridad al envío, siendo atendido en plazo. Por lo expuesto se solicita el archivo de las actuaciones. SEPTIMO: Con fecha de 21/07/2017, se acordó la apertura de un periodo probatorio incorporándose al expediente y dando por reproducidos a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/00179/2017 y E/00454/2017 y las alegaciones al acuerdo de inicio del procedimiento PS/00298/2017 presentadas por EDP ENERGIA, S.A.U.., Todo ello con su correspondiente documentación adjunta. OCTAVO: En fecha de 18/08/2017, por el Instructor del Procedimiento, se emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a EDP ENERGIA, S.A.U.. con multa 10.000 € (diez mil euros) por la infracción de los artículos 6 de la LOPD, tipificada como grave en el artículo 44.3
  9. b)de dicha norma. NOVENO: En fecha de 07/09/2017, por la representación de EDP ENERGIA, S.A.U., se formularon las siguientes alegaciones: Interpretar que la exclusión que realiza el RD 1435/2002 es una prohibición al tratamiento por parte de las empresas comercializadoras que legítimamente ya dispusiesen a todas luces es excesivo, ya que se les estaría prohibiendo realizar cualquier tipo de publicidad dirigida al nombre y domicilio de un potencial cliente, lo que atenta a la libre competencia, y no responde a la realidad social del momento, pues no se da en ningún otro sector. La prohibición de acceso solo tendría sentido si se pudiese realizar ese acceso a las bases de datos de las distribuidoras, sin embargo, dicha posibilidad no existe, ya que dichos datos no llegan a ponerse a su disposición a través del SIPS. La limitación que se debe poner en práctica debe ser dirigida a las empresas distribuidoras de sus bases de datos para que las empresas comercializadoras no puedan obtener los datos por otros medios y no una prohibición generalizada de acceso dirigida a las empresas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 comercializadoras. La norma no habla de prohibición al tratamiento y tampoco de efectos retroactivos de la norma. Al no existir tal prohibición a los datos de la empresa que ya tenía legítimamente no se puede entender, por tanto, que el tratamiento tenga su origen en una nación prohibida. Al redactar la norma, a pesar de la constatación de que los datos ya los disponían las comercializadoras, no se establece ninguna prohibición de uso o previsiones respecto al destino de los mismos. En la propia LOPD se establecieron plazos de utilización de los datos obtenidos de fuentes accesibles al Público antes de ser obligatoria una nueva actualización de los mismos, como recoge el art. 31 respecto del censo promocional y el art. 28 respecto a aquellas que se obtengan en formato electrónico. Respecto de la consulta al fichero lista Robinson, debe señalarse que el único hecho controvertido en el acuerdo de inicio, es la presunta falta de legitimación a partir del 2/12/2015 y no que uno de los denunciantes este en Lista Robinson. El fichero común que ha consultado EDP es el propio del sector energético que constituye el SIPS. El art. 49 RDLOPD no específica claramente que el fichero que hay que consultarse sea general, y tampoco que sea el denominado Lista Robinson. La difusión del SIPS se regula en el art 7.4 RD 1435/2002, de forma que el interesado no necesita dirigirse a cada comercializador, sino únicamente a su empresa distribuidora. Cosa que no han hecho ninguno de los denunciantes, salvo el denunciante 1 que en el año 2013 se inscribió en la Lista Robinson llevado por la falsa sensación de que existía un único fichero de exclusión publicitaria, circunstancia que no se desprende de la regulación del art. 49 RDLOPD y de la que EDP no es responsable. Teniendo en cuenta los hechos que motivan el procedimiento, y la actuación de EDP en todo momento, se entiende desproporcionada la propuesta de resolución. DÉCIMO: De las actuaciones han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En el mes de noviembre del año 2016 EDP ENERGIA SAU, lanzó campañas publicitarias por vía postal, teniendo entre otros destinatarios, a los denunciantes. A tal efecto se utilizaron sus datos de carácter personal consistentes en nombre y apellidos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 domicilio. DOS.- EDP ENERGIA SAU, manifestó que el origen de los datos utilizados para las campañas publicitarias es una base de datos creada a partir de la base de datos del sistema de información puntos de suministro – SIPS- cuya última extracción se produjo en fecha de noviembre del año 2015. TRES.- La campaña publicitaria donde se usaron los datos personales del denunciante 1, se realizó utilizando un fichero que contenía un total de 39.228 registros. La campaña publicitaria donde se usaron los datos personales del denunciante 2, se realizó utilizando un fichero con un total de 5.685 registros. CUATRO.- El denunciante 1 consta inscrito en el Servicio de Lista Robinson, desde el año 5/07/2013 a fin de que sus datos relativos a nombre y apellidos y domicilio se excluyan de acciones publicitarias. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  10. g)en relación con el artículo 36 de la LOPD. II En el presente caso se atribuye a EDP ENERGIA, S.A.U.., la comisión de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. EDP manifiesta que la limitación de acceso que establece la modificación normativa introducida por el RD 1074/2015, entro en vigor una vez que ésta accedió a la base de datos del SIPS y obtuvo los datos, por ello no puede atribuirse incumplimiento de dicha prohibición puesto que con posterioridad a dicha norma no se produjo el acceso. El hecho de que el tratamiento de los datos se realizara con el citado RD, ya en vigor no supone que la obtención se haya realizado en ese espacio temporal, sino que es anterior. En definitiva, no obtuvo los datos utilizados para las acciones comerciales denunciadas incumpliendo la obligación expresa del citado reglamento, que reza que no (…) podrán acceder a cualquier información que directamente identifique al titular del punto de suministro (…). Frente a tales consideraciones, debe acudirse a la interpretación conjunta de varias normas y tomar como punto de partida el criterio hermenéutico que contiene el art. 3 del Código Civil Español, que dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Las normas se interpretarán según el sentido propio de sus palabras, en relación con el contexto, los antecedentes históricos y legislativos y la realidad social del tiempo en que han de ser aplicadas, atendiendo fundamentalmente al espíritu y finalidad de aquellas. Dispone el art. 7 del Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, en cuanto a la limitación de acceso a determinada información lo siguiente: En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a los datos recogidos en los apartados c),
  11. z)y
  12. aa)del apartado 1. Dispone el art. 45 del RDLOPD, respecto de los Tratamientos para actividades de publicidad y prospección comercial, lo siguiente: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  13. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  14. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  15. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. Dispone el art. 3 de la LOPD en cuanto a la definición de tratamiento de datos lo siguiente:
  16. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La prohibición del RD 1435/2002, se refiere a “acceder” a información determinada del SIPS, y si bien, EDP no ha accedido a dicha información con posterioridad a la entrada en vigor de la modificación de la norma que establece tal prohibición, debe acudirse a lo dispuesto en el art. 3 c de la LOPD e interpretar el verbo acceder en relación con la definición legal de tratamiento, para concluir que aun cuando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 no se haya accedido a dicha fecha a esa información, si el tratamiento realizado – aunque sea posterior- tiene su origen en una acción prohibida a tal fecha, no puede reputarse dicho tratamiento acorde con la normativa reguladora del mismo, que no es otra que la LOPD, pues el tratamiento requiere el consentimiento del titular de los datos u otras circunstancia previstas en el apartado 2 del art. 6 LOPD. EDP pretende dar una suerte de categoría de fuente accesible al público al SIPS para aplicar analógicamente el plazo de un año de actualización de datos que legitimaria dicho tratamiento ex art. 28 LOPD. Frente a ello debe indicarse que es un criterio jurisprudencial reiteradísimo, que únicamente se consideran fuentes de accesibles al público las previstas en el art. 3 de la LOPD, siendo estas numerus clausus. No existen las fuentes accesibles al público sectorial creada ex lege, como propone EDP y menos aún debe considerarse como tal el SIPS. Tanto el consentimiento como las causas de su dispensa deben tener plena vigencia a la fecha del tratamiento y no pueden ampararse en circunstancias que un momento determinado concurrían y en el momento del tratamiento no. Precisamente por ello el artículo invocado por la propia EDP para su aplicación al caso concreto, respecto de los plazos de actualización de fuentes accesibles, establece dicha obligatoriedad de actualización, pues puede suceder que en un momento se tenga habilitación para el tratamiento y en otro momento posterior haya decaído la misma. La norma que recoge el RD 1435/2002, prohíbe “acceder”, sin embargo ha de interpretarse en relación con la LOPD y su normativa de desarrollo: la consecuencia de dicha prohibición en el ámbito de la LOPD es la prohibición de someter los datos a tratamiento, y si éste se ha producido cuando la información que determina el art. 7 del citado reglamento, no podía utilizarse, asistimos a un tratamiento de datos sin consentimiento o causa que lo dispense. Admitiendo las consideraciones de EDP respecto de la legitimación del tratamiento de los datos, en base a que en un periodo determinado de tiempo el origen de los mismos era “legal”, se vacía de contenido la garantía de este derecho fundamental que contiene el art. 6 de la LOPD y que sirve de pieza angular al derecho a la protección de datos de carácter personal, que no es otro que “el poder de disposición y control” de los mismos, según STC 292/2000. III Asimismo debe tenerse en cuenta que uno de los denunciantes está inscrito en el servicio de Lista Robinson, circunstancia respecto de la que EDP guarda silencio en sus alegaciones formuladas al acuerdo de inicio, y en las formuladas a la propuesta de resolución sostiene que no es un hecho controvertido en el acuerdo de inicio y que se consultó el fichero sectorial que prevé el art. 7.4 RD 1435/2002. A tal efecto debe acudirse a lo dispuesto en el art. 49.1 y 4 del RDLOPD, que bajo la rúbrica “Ficheros comunes de exclusión del envío de comunicaciones comerciales” establece lo siguiente: 1. Será posible la creación de ficheros comunes, de carácter general o sectorial, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad. A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado. (…) 4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento. Frente a lo señalado por EDP, debe indicarse que hoy día únicamente existe el fichero de Lista Robinson de Aidigital, que encuentra su amparo legal en el citado precepto. No se considera como tal, - como un fichero de exclusión de acciones publicitarias ni general ni sectorial – el Sistema de Información de Puntos de Suministro regulado en el precepto que propone EDP -art. 7.4 RD 1435/2002- que, obviamente tiene otra finalidad, que no es la de fichero de exclusión de acciones publicitarias que encuentre cabida en el art. 49 del RDLOPD. Por otro lado, en cuanto a su consulta el citado aparado 4 establece la obligatoriedad de su consulta. No consta que EDP hay consultado el fichero de exclusión a fin de evitar el tratamiento de datos con finalidad comercial, circunstancia que, con independencia del origen de los datos, constituye por sí sola la comisión de la infracción que se atribuye a EDP. Finalmente, debe indicarse que en el Acuerdo de Inicio del procedimiento sancionador se especificaba que el denunciante nº1 estaba incluido en el servicio de Lista Robinson. Por lo que no es posible compartir las apreciaciones que realiza EDP en su trámite de alegaciones referidas a que dicha circunstancia no era un hecho controvertido, circunstancia que por otra parte no afecta en nada a su derecho de defensa pues precisamente en la propuesta de resolución se formula la imputación concreta y determinada, frente a la que EDP ha alegado a este respecto. IV En el presente caso, se considera que concurre en EDP, la conducta tipificada como grave en el artículo 44.3.
  17. b)de la LOPD que considera como tal Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. Pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la misma Ley Orgánica. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Dispone el art. 45.4 y 5 de la LOPD lo siguiente: 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. Tras las evidencias obtenidas se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, dada la aplicación del apartado a), al concurrir significativamente varios criterios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 del apartado 4 del citado artículo, el grado de intencionalidad en incumplir la norma que ha de considerarse mínimo derivado de la inobservancia del cambio normativo producido con la modificación del Real Decreto 1435/2002, de 27 de diciembre, antes citado, y la naturaleza de los perjuicios causados, referidos a la recepción de las citadas comunicaciones postales. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD, en sus apartados:
  33. c)vinculación de la actividad del investigado con la realización de tratamientos de datos de carácter personal, el
  34. b)volumen de tratamientos efectuados, dado el número de registros contenidos en los ficheros utilizados para las campañas ( 39.228 y 5.685) , y
  35. d)El volumen de negocio del infractor considerándose gran empresa, que en el desarrollo de su actividad requiere tratar gran volumen de datos, en este sentido la Audiencia Nacional ha considerado conforme al principio de proporcionalidad la imposición de la misma sanción en supuestos similares atendiendo a la naturaleza del denunciado y al tipo de entidad, según su actividad y poder económico, por lo que procede proponer la imposición de una sanción en la cuantía de 10.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EDP ENERGIA, S.A.U.., por una infracción del artículo 6 de la LOPD de la LOPD, tipificada como Grave en el artículo grave de la LOPD, una multa de 10.000 € ( diez mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a EDP ENERGIA, S.A.U... TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  36. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.