1/17 Procedimiento PS/00309/2014 RESOLUCIÓN: R/02345/2014 En el procedimiento sancionador PS/00309/2014, instruido por la Agencia Española de Protección de Datos a la entidad Galp Energía España SAU, Servicio Técnico Mantservice SLU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 7 de junio de 2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito remitido por la Dirección General de Consumo de la Comunidad de Madrid, junto con el que se adjuntaba copia de una reclamación interpuesta ante ese organismos por A.A.A., en el que exponía que es propietaria de la vivienda sita en la calle (C/............1) de Madrid y que entre diciembre de 2012 y marzo de 2013 el suministro eléctrico de tal vivienda estuvo dado de alta con GALP a nombre de B.B.B., sin su conocimiento ni consentimiento. Manifiesta que fue consciente de este hecho cuando en marzo de 2013 intentó cambiar a modalidad TUR el contrato que tenía suscrito a su nombre con IBERDROLA. La denuncia fue tramitada en el expediente E/04257/2013, que concluyó mediante resolución del Director de la AEPD de 30/07/2013 que determinó la no incoación de actuaciones previas de inspección. La citada Resolución fue objeto de un recurso de reposición resuelto de manera favorable a los intereses de la denunciante, mediante Resolución RR/00685/2013 de 17/09/2013, que ordenó la realización de actuaciones de investigación iniciándose la tramitación del expediente E/05108/2013. Con fecha 31/10/2013 desde la AEPD se remite a la denunciante escrito solicitando el envío de documentación adicional. En respuesta a ese escrito, la denunciante manifiesta: Que el piso de (C/............1), Madrid, estuvo alquilado a través del organismo PROVIVIENDA entre enero de 2007 y julio de 2011 (quiso decir 2012), por C.C.C. y D.D.D.. Que la firma de C.C.C. (quiso decir D.D.D.) es la que figura en la solicitud de cambio de compañía eléctrica realizada a nombre de B.B.B.. En conjunto, en el expediente obra la siguiente documentación de relevancia: Copia de recibo de IBI de 2012 girado a su nombre relativo al inmueble sito en la calle (C/............1) de Madrid. Copia de escrito de 28/09/2012 remitido por Iberdrola Generación SAU a nombre de la denunciante a (C/............2) Madrid, junto con el que se adjunta el contrato de suministro eléctrico suscrito a su nombre con esta compañía en relación al punto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 suministro correspondiente al domicilio sito en la calle (C/............1) de Madrid. Copia de las facturas emitidas a su nombre (remitidas a (C/............2) Madrid) en relación al suministro de (C/............1) de Madrid entre el 29/09/2012 y el 20/12/2012. Las facturas están domiciliadas en una cuenta adscrita a la sucursal **** del BBVA, y con numeración ***CCC.1. Copia de escrito de 21/03/2013 remitido por Iberdrola Comercialización de Último Recurso SAU a nombre de la denunciante a (C/............2) Madrid, junto con el que se adjunta el contrato de suministro eléctrico suscrito a su nombre con esta compañía en relación al punto de suministro correspondiente al domicilio sito en la calle (C/............1) de Madrid. Copia de documento de pago de GALP de 23/04/2013 emitido a nombre de B.B.B. y remitido a calle (C/............1), Madrid, en relación al pago pendiente de la factura de 16/01/2013. Copia de factura de GALP de 27/04/2013 emitida a nombre de B.B.B. y remitido a calle (C/............1), Madrid, en relación al suministro de energía eléctrica a dicho domicilio. Copia de escrito sin fechar remitido por Outservicio Utilities Services SL a nombre de B.B.B. a calle (C/............1), Madrid, en relación al cobro de una deuda atribuida a esta persona y de la que es acreedora GALP. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a Galp y se realiza actuación de inspección en el domicilio de esta. Dicha actuación finalizó con el informe de la Inspección de Datos. TERCERO: De todo lo actuado en las investigaciones previas se concluyó, salvo prueba en contrario, que: Servicio Técnico Mantservice SLU realizó tratamiento de los datos personales de la persona denunciante (domicilio y CUPS de electricidad y gas) sin su consentimiento inequívoco y los incorporó, junto con los de B.B.B. (nombre, apellidos, DNI, móvil y cuenta bancaria) sin acreditar su identidad, al formulario de “contrato de gas natural, electricidad y servicios” de Galp Energía España SAU y entregárselos a esta. Galp Energía España SAU realizó tratamiento de datos de la denunciante al tramitar esos datos, correspondientes a dos personas distintas, proporcionados por la empresa de servicios, como contrato de suministro de gas natural y electricidad (con cambio de compañía) y de servicios “ConfortGas” para la vivienda de la persona denunciante sin obtener su consentimiento ni el de la tercera persona y emitir más tarde facturas, sin efectuar comprobación alguna de dichos datos y la voluntad del titular de los mismos, a pesar que la identidad del titular no había sido comprobada y documentada con copia del DNI. CUARTO: Con fecha 29/05/14 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Mantservice y GALP, por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 44.3.
- b)de la citada Ley Orgánica. QUINTO: La notificación del acuerdo de inició se remitió por correo con aviso de recibo al domicilio social de Mantservice y fue devuelta por el Servicio de Correos con la anotación de desconocido. Conforme a la norma de procedimiento de notificación fue publicada por edictos en el Ayuntamiento y el BOE. SEXTO: La notificación del acuerdo de inicio fue recibida por la persona denunciante y GALP. Esta entidad solicita el archivo del expediente por no haberse dado el hecho de tratamiento sin consentimiento, ni aportado pruebas de lo contrario. Alega que: <<< GALP nunca ha tratado los datos de la denunciante, nunca ha recabado ni registrado sus datos personales en sus soportes o sistemas de tratamiento, ni automatizados ni no automatizados como cliente de GALP. Los datos de A.A.A. se registran por primera vez en GALP, cuando dicha persona formula reclamación, primero telefónica registrada con fecha 22.03.2013 y posteriormente por diferentes vías como comunicaciones a través de escritos de organismos de consumo y denuncia interpuesta en la Agencia de Protección de Datos (Folio 65 a 71 del expediente). Solo en dichas ocasiones se registran y tratan datos en los sistemas de GALP de la denunciante, como datos necesarios con la finalidad de atender sus reclamaciones y posteriormente, en defensa de los interese legítimos de GALP ante la interposición por parte de la denunciante de una serie de actuaciones que pueden devenir en sanciones para la Compañía. Entendemos, al igual que el propio Director de la Agencia de Protección de Datos en el expediente E/04257/2013, abierto en contestación a una denuncia interpuesta ante la Agencia por la persona que dice ser la afectada por el tratamiento inconsentido de datos en el presente procedimiento, el cual tras un certero análisis fue archivado, que: "...En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación..." Igualmente se procede a una Diligencia de Inspección efectuada en las oficinas de GALP en la que los propios Inspectores pueden comprobar, como ha quedado acreditado en el acta de Inspección (Folios 47 y 48) y según se expresa en el punto segundo de los "Hechos" del presente procedimiento, que: "2.1.1. Utilizando como criterio de búsqueda el NIF ***NIF.1, el sistema no arroja ninguna información asociada a este identificador. 2.1.2 Utilizando como criterio de búsqueda los apellidos ***APELLIDOS.1, el sistema no arroja ninguna información asociada a este identificador." …, en el Acta de Inspección se pone de manifiesto que la dirección que ella dice que es la de un piso de su propiedad, sí figura en los sistemas pero asociado a otra identidad, la de D. B.B.B., usuario del Cups sito en la (C/............1) de Madrid, según consta en contrato suscrito (Folio 76). Dicho titular en ningún momento se ha dirigido a GALP en denuncia de un tratamiento inconsentido de datos, finalidad única en la que se basa la apertura del presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 procedimiento. … . En todo caso lo que dejan puesto de manifiesto es que los datos de la denunciante nunca fueron objeto de la existencia de una relación contractual entre ella y GALP, sino que fueron los inquilinos de la vivienda que ella dio para ser gestionada en alquiler por Provivienda, los que en todo caso se relacionaron con GALP para la gestión de sus servicios de Luz y gas, algo que es totalmente legítimo. Igualmente en dicho punto segundo del Procedimiento se indica que se hace un cambio de titularidad sin el consentimiento del titular de la vivienda, siendo necesario recordar que para entablar la relación entre los usuarios del suministro y GALP, que permita activar un contrato de servicios de luz y de gas, no es requerimiento el consentimiento del titular del piso. GALP quiere matizar que según el Real Decreto 1955/2000, de 1 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de energía eléctrica, en su artículo 79 relativo a las condiciones generales de contratación se establece que: "[...] 2. El suministro se podrá realizar:
- a)Mediante contratos de suministro a tarifa.
- b)Mediante la libre contratación de la energía y el correspondiente contrato de acceso a las redes. El contrato de suministro es personal, y su titular deberá ser el efectivo usuario de la energía, que no podrá utilizarla en lugar distinto para el que fue contratada, ni cederla, ni venderla a terceros. [...]". Así mismo el RD 1434/2002, de 27 de diciembre, por el que se regulan las actividades de transporte distribución, comercialización, suministro y procedimientos de autorización de instalaciones de gas natural determina en su artículo 39: "Artículo 39 Traspaso y subrogación de los contratos de suministro a tarifa 1. Para un punto de suministro, el consumidor que esté al corriente de pago podrá traspasar su contrato a otro consumidor que vaya a hacer uso del mismo en idénticas condiciones. El titular lo pondrá en conocimiento de la empresa distribuidora mediante comunicación que permita tener constancia a efectos de expedición del nuevo contrato." Todos los consumidores tienen derecho elegir libremente la compañía comercializadora de gas. El cambio de suministrador es gratuito. Cuando un consumidor firma un contrato de suministro nuevo con un comercializador, dicho comercializador se encargará de tramitar el cambio de suministro con la empresa distribuidora de gas. El tratamiento de datos del domicilio de la (C/............1), (Madrid), se realiza por GALP en el contexto de una relación contractual llevada a cabo mediante la comercialización directa en nombre de GALP con el usuario de los servicios. GALP de forma indirecta, ha sufrido las consecuencias de un posible alquiler irregular que han devenido en una falta de pago, los consiguientes trámites de reclamación y pase de la deuda a fallidos al no haber sido cobrada por los consumos de los servicios. GALP quiere dejar constancia que la deuda nunca ha sido abonada ni por sus clientes ni por la propietaria del piso. …. Entendemos que dicho acceso a la correspondencia de nuestros clientes puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 suponer un delito de vulneración de secreto de las comunicaciones, algo que deberá ser los titulares de la misma los que le exijan responsabilidades. … en ningún momento dicho domicilio estuviera asociado con dato alguno con la persona de la denunciante, ni su nombre, ni sus apellidos, ni su cuenta corriente o firma, que puedan llevar a la conclusión de que se han tratado los datos de la denunciante sin su consentimiento. … se trata de enjuiciar si procede o no sancionar a GALP por un tratamiento de datos personales inconsentidos de una denunciante que nunca ha tenido lugar ya que nunca ha sido su cliente. … . En todo caso ha cedido los datos de un punto de suministro y de sus contratantes a la distribuidora con la finalidad de gestionar los cambios de comercializadora como proceso necesario para el alta del suministro contratado. >>> SEPTIMO: Con fecha 03/07/14 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, junto con los documentos generados en las actuaciones previas de Inspección y las alegaciones de los interesados. Se requiere a denunciante y denunciados que aporten documentos sobre los hechos. OCTAVO: Mantservice no recibe la notificación, con anotación del Servicio de Correos “desconocido”. Galp con su respuesta aporta documentos de identidad y representación de su representante. La persona denunciante aporta diversos documentos que se incorporan al procedimiento. NOVENO: El 09/09/14 el Instructor del procedimiento formuló propuesta de resolución sancionadora consistente en Que por el Director de la Agencia Española de Protección de Datos se sancione a: 1. Servicio Técnico Mantservice SLU con multa de 3.000 € (tres mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. 2. Galp Energía España SAU con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. DECIMO: Mantservice no recibió la notificación de la propuesta, el servicio de Correos devolvió el envío de notificación con la anotación de desconocido. --- La propuesta fue notificada a la denunciante que solicita copia del expediente. Entregada la copia presenta alegaciones y solicita que para determinar el importe de la sanción se tenga en cuenta los perjuicios causados por las imputadas y la falsa acusación de culpabilidad que le imputa Galp; y que la sanción sea la correspondiente a las infracciones muy graves. Realiza otras peticiones sobre el ejercicio de los derechos ARCO de la LOPD cuya tramitación no corresponde a este procedimiento sancionador. En su alegación primera sostiene que el CUPS de la vivienda de su propiedad es un dato personal suyo y su uso requiere el consentimiento expreso de su titular; en la segunda alegación advierte de algunos errores advertidos en el texto de la propuesta: la fecha de salida de los inquilinos de la vivienda es julio de 2012 y la firma del contrato con Galp corresponde a D.D.D., afirma que ni el conserje ni nadie en la escalera del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 bloque de viviendas conoció o vio al tal B.B.B.; en su alegación tercera pone de manifiesto de forma detallada los perjuicios que le han causado las actuaciones de Mantservice y Galp. --- La propuesta fue notificada a Galp que presentó escrito de alegaciones. Solicita el archivo del procedimiento con exoneración de responsabilidad por no haberse producido el hecho imputado y; subsidiariamente, la aplicación del 45.5 y 4 de la LOPD. Reitera las alegaciones al acuerdo de inicio. Recalca que no trató los datos de la denunciante, solo trató los datos de la persona usuaria final del suministro en la vivienda que habitaba. Para ello no necesita autorización de la propietaria de la vivienda. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 01. 24/01/07, la persona denunciante (A.A.A.), alquila con la mediación de Provivienda de la Comunidad de Madrid la vivienda de su propiedad en (C/............1) – Madrid a C.C.C. y D.D.D.. 02. 26/12/11, fecha del formulario de “Contrato de gas natural, electricidad y servicios” de Galp, en el que figura como titular B.B.B., DNI ***NIF.2, móvil ***TEL.2, dirección de suministro (C/............1) – Madrid. Contrata gas para el CUPS *****************1 con cambio de la compañía anterior GN, electricidad para el CUPS *****************2 con cambio de la compañía anterior Iberdrola, y confortgas básico. Domicilia el pago en ***CCC.2. La firma/rubrica que figura en cuatro lugares distintos es la misma que figura en el contrato de arrendamiento, correspondiente a D.D.D.. 03. 11/01/12, fecha de aviso de entrada de “solicitud propia” de alta en la base de datos de Galp de “LUZ GAS y CGBASICO” para el punto de suministro de (C/............1). 04. 11/03/12, Galp, en la gestión del contrato, emite la primera factura por el servicio confortgas a nombre de B.B.B.. Todos los meses por el mismo concepto emite facturas hasta la de 13/12/12. Fueron anuladas el 22/03/13. 05. 05/07/12, fecha del cambio de titular en el contrato de suministro de gas (nº ***CONTRATO.1) de Endesa Energía SAU, solicitado como titular por A.A.A. (hija del anterior titular fallecido: E.E.E.) para la vivienda de (C/............1) – Madrid. Dicha vivienda figura a nombre de la citada persona en el recibo del IBI del Ayuntamiento de Madrid. Igualmente se opera el cambio en el “contrato del servicio de mantenimiento y reparación gas plus”. 06. 29/09/12, fecha de la solicitud de cambio de titular en el contrato de suministro de electricidad (nº CONTRATO.1) de Iberdrola Generación SAU, solicitado como titular por A.A.A. (hija del anterior titular fallecido: E.E.E.) para la vivienda de (C/............1) – Madrid. Dicha vivienda figura a nombre de la citada persona en el recibo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 del IBI del Ayuntamiento de Madrid. 07. 02/11/12, Iberdrola Generación SAU emite factura de electricidad (contrato nº CONTRATO.1) a nombre de A.A.A. del periodo 29/09/12 a 26/10/12 por importe de 26,86 €. La segunda factura por los mismos conceptos es emitida el 03/01/13 por 73,64 € del periodo 26/10/12 a 20/12/12. 08. 06/11/12, Endesa Energía SAU, comunica a E.E.E., antiguo titular del contrato de suministro de gas para la vivienda de (C/............1) – Madrid, que a partir del día 19/11/12 se le suspenderá el suministro de gas si antes no efectúa el pago de la factura de 18/07/12 por importe de 30,62 €. 09. 20/12/12, en la base de datos de Galp consta alta en el suministro eléctrico a nombre de B.B.B., tras haber sido rechazado el cambio de comercializadora hasta tres veces. La contratación fue realizada el 26/12/11 por Servicio Técnico Mantservice SLU, la empresa de servicios contratada para ese fin. La baja fue el 25/03/13. 10. 09/01/13, Galp, en la gestión del contrato, emite la primera factura (67,81 €) por suministro de electricidad a nombre de B.B.B.. La siguiente fue en el mes de marzo (37,45 €) y la ultima el 27/04/13 (13,47 €). Galp, por medio de la empresa de recobros OUTSERVICIO, remite a nombre de B.B.B., (C/............1) – Madrid, aviso de pago por importe de 67,81 €. 11. 21/03/13, fecha de solicitud de cambio de comercializadora del contrato de suministro de electricidad de Iberdrola Generación SAU a contrato de suministro de electricidad de tarifa último recurso (contrato nº CONTRATO.1) de Iberdrola CUR SAU, suscrito como titular por A.A.A. para la vivienda de (C/............1) – Madrid. 12. 22/03/13, en la base de datos de Galp consta anotada una llamada de la denunciante como propietaria de la vivienda de (C/............1) – Madrid, solicitando la baja en la compañía porque ella no ha contratado con Galp. En esa misma fecha Galp da de baja el contrato de confortgas y se anulan las facturas emitidas por ese contrato. Tres días más tarde causa baja el contrato de suministro eléctrico. 13. 02/04/13, la persona denunciante dirige escrito a la DG de Industria Energía y Minas de la Comunidad de Madrid para denunciar: <<< Que le han cambiado el contrato de electricidad que tenía a mi nombre con lberdrola para el piso de mi propiedad (C/............1) – Madrid (nº de contrato CONTRATO.1) y lo han puesto a nombre de B.B.B. con Galp Energía España el 20 diciembre 2012, sin su consentimiento. Me enteré del cambio por casualidad el 21 de marzo 2013, a través de una llamada telefónica a lberdrola para cambiar el citado contrato a Último recurso. Ante mi incredulidad me dan el teléfono de lberdrola Distribución 902****** para que me informen y allí me dicen que lo dieron de baja el 20 diciembre 2012 a petición de ‘GALP Energía España quien lo puso a nombre de B.B.B., mi sorpresa es mayor aun... les pregunto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 porque y me dicen que porque lo he autorizado yo. No es cierto, respondí, es la primera noticia que tengo, me preguntan si el piso está alquilado les digo que el piso (C/............1) no está alquilado, que no conozco o he autorizado al tal B.B.B. ni a GALP Energía España de ningún modo, me contestan que lberdrola ha seguido los procedimientos que tengo que reclamar a Galp Energía España. Pongo una reclamación a lberdrola en Atención al cliente, atendida por F.F.F., n° referencia el mismo del contrato que tenía hasta 20 diciembre 2012 y es CONTRATO.1. Llamo a Galp Energía España teléfono de contratación encontrado en Internet 902******1 no me dan ninguna explicación, dicen que reclame a lberdrola por no controlar. Pongo una reclamación a Galp Energía España a través de Atención al Cliente atendida por G.G.G., n° de referencia ***REF.1 En las reclamaciones telefónicas a ambas comercializadoras; lberdrola y Galp expongo y reitero que no he autorizado a ninguna persona física ni comercializadora de energía eléctrica el cambio de contrato, que han vulnerado mis derechos cediendo datos, código catastral del piso incluido, de forma inconsentida y que han incumplido su responsabilidad de proteger mis datos personales. Al día de la fecha no he recibido contestación a la reclamación de ninguna de las 2 comercializadoras. El día 25 de marzo 2013, 5 días después de informarme del cambio de contrato, lberdrola me llamó para volver a contratar telefónicamente como Último Recurso el mismo piso (C/............1) objeto de la reclamación, ya me han enviado el contrato impreso por correo con fecha 21 de marzo, y lo he devuelto firmado. Por tanto el piso de mi propiedad en (C/............1) – Madrid ha tenido suministro eléctrico con un contrato a nombre de B.B.B. con Galp Energía España desde 20 diciembre 2012 a 24 de marzo 2013, tres meses, sin mi conocimiento ni consentimiento. >>> 14. 03/05/13, la persona denunciante presenta “Hoja de reclamación / denuncia” en la DG de Consumo de la Comunidad de Madrid contra Iberdrola y Galp, incluyendo copia de la denuncia a la DG de Industria Energía y Minas de la Comunidad de Madrid. Dicha hoja de reclamación es remitida a la AEPD con entrada el 07/06/13. 15. 22/05/13, la persona denunciante (A.A.A.), alquila por doce meses, con la mediación de Provivienda de la Comunidad de Madrid, la vivienda de su propiedad en (C/............1) – Madrid a H.H.H. y I.I.I.. 16. 06/11/13, queda anotado en la base de datos de Galp que el caso denunciado ha sido objeto de análisis de la campaña de contratación irregular de 2011, con procedimiento interno de control de calidad, se comprueba que el cliente está inactivo y se procede al bloqueo de sus datos llevando la deuda a fallidos (147,47 €). La fecha de compensación de las tres facturas, anotada en la base de datos de Galp, es 13/11/13. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Se llega a la conclusión de que la actuación de las imputadas constituye, en cada una de las conductas, una infracción del artículo 6.1 de la LOPD y su principio del consentimiento, tipificada en el 44.3.
- b)de la misma ley. A. Los datos personales de la persona titular en el contrato con Galp han sido tratados por las dos entidades (Mantservice y GALP) imputadas para la recogida de datos, tramitación de contratos y tratamientos posteriores. De la intervención de Mantservice en los hechos denunciados no hay pruebas concluyentes, tan solo indicios: las manifestaciones de GALP y anotaciones en su base de datos. En el contrato no figura anotado el nº de agente Mantservice ni quien lo cumplimentó ni ningún identificador del documento que de forma indubitada nos permita afirmar que Mantservice es la responsable. B. No ha sido acreditado quien proporcionó los datos a los empleados de la empresa contratada para la captación de clientes (Mantservice) o a GALP. Pero lo cierto es que alguien cumplimentó los formularios de contratación con los datos personales de la persona denunciante (domicilio y CUPS de electricidad y gas) sin su consentimiento inequívoco y los incorporó, junto con los de B.B.B. (nombre, apellidos, DNI, móvil y cuenta bancaria). La persona que figura como titular no fue identificada, y tampoco la persona que firma el contrato –distinta al titular de los datos- y si lo fueron no se realizó la documentación necesaria con copias del DNI de ambos. Tampoco se acredita la representación, que el titular de los datos pudiera haber otorgado a la persona que firma el formulario, con copia del documento de representación bastante. C. Mantservice, a pesar de ello, trató los datos cumplimentando el formulario de contratación y remitiéndolo a la comercializadora para quien prestaba el servicio, sin haber obtenido el consentimiento previamente, ni tener documentado el otorgamiento de consentimiento del titular para tratarlos. D. La comercializadora GALP, una vez en su poder los formularios de contrato cumplimentados, sin ninguna comprobación o verificación dió por buenos los datos proporcionados –a pesar de la ausencia de las copias del DNI del titular y del representante y del documento de representación-, los incorporó a su base de clientes e inició la gestión de los cambios de comercializadoras y dio de alta el contrato confortgas. E. C/ Jorge Juan, 6 28001 – Madrid Un año más tarde de la fecha del formulario de contratación Galp logra el www.agpd.es sedeagpd.gob.es 10/17 cambio de comercializadora y activa el suministro de electricidad. En la posterior gestión del contrato emitió facturas y comunicaciones, y utilizó los datos del titular del contrato en repetidas ocasiones. F. La firma que figura en los formularios de contratación es la misma que figura debajo del nombre de una de las personas que como arrendatarias suscribieron el contrato de alquiler de la vivienda el 25/01/07. III. La LOPD establece: “Artículo 6. Consentimiento del afectado “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento de los afectados para la recogida o tratamiento de los datos personales es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. Se les hace responsables a cada una de las entidades imputadas en el presente procedimiento de una infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Carece del consentimiento inequívoco de la persona titular de los datos personales el tratamiento efectuado por Mantservice y GALP. Los empleados o agentes de la primera, hacen tratamiento de los datos de dicha persona no identificada para cumplimentar los formularios de contratación y proporcionárselos a la segunda, sin su consentimiento inequívoco. La denunciante tenía un contrato de suministro de gas, electricidad y servicios con otras compañías, cuando los agentes de Mantservice, la empresa encargada del tratamiento para la contratación para GALP, cumplimentan un formulario de contratación con cambio de compañía comercializadora con datos personales de otra persona que no es identificada. Dichos datos son utilizados sin hacer obtenido consentimiento inequívoco, y sin que tuviera apoyo legal para hacerlo. La segunda trata los datos para iniciar los cambios de compañías comercializadoras -sin conseguirlo en gas-, incorporarlos a su fichero de clientes de confortgas y electricidad, emitir facturas y notificaciones, sin haber realizado actividad alguna para comprobar la identidad de los titulares de los datos y su consentimiento para tratar sus datos, y la representación o autorización de la titular de los datos personales para que pudiera realizar tratamiento de estos. Las imputadas no han acreditado motivo, razón o circunstancia que justificara ese tratamiento de datos sin consentimiento de la persona afectada. IV. El artículo 44.3.
- b)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. La Audiencia Nacional ha manifestado en su Sentencia de 22/10/2003 que “... la descripción de conductas que establece el artículo 44.3.
- d)de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos, realizando envíos publicitarios”. En este caso, han incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. Han tratado los datos de la persona titular de los datos sin contar con su consentimiento, lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
- c)de la citada Ley Orgánica. V. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracciones graves, la sanción que procede imponer a cada una de ellas debe ser de un importe comprendido entre 40.001 y 300.000 euros. VI. El artículo 45.5 de la LOPD, establece que La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. A. Mantservice, no recibe las notificaciones, no se ha hecho cargo de ninguna de las notificaciones enviadas al domicilio social de la sociedad. Estimamos que concurren circunstancias que operan como atenuante de la conducta que ahora se enjuicia de Mantservice e relación con el 45.5.a). Como se analizara en el siguiente fundamento. Mantservice es una empresa pequeña, de una sola persona, creada ex profeso para el encargo de Galp, que ha actuado sin tener un protocolo concreto establecido por parte de la responsable del fichero GALP. B. GALP en su escrito de alegaciones solicita la aplicación del 45.5.a),
- b)y
- c)de la LOPD de forma subsidiaria. Las circunstancias en relación con el apartado
- a)se analizan en el fundamento siguiente. En cuanto al apartado
- b)ha de analizarse la reacción de Galp ante las reclamaciones de la persona denunciante –titular de los contratos antes del cambio de comercializadora a favor de Galp-. La primera es el 22/03/13 porque la denunciante no ha contratado con Galp para el suministro a su vivienda, siguen las reclamaciones a la DG de Industria y Energía (02/04/13), a la DG de Consumo (03/05/13) de la Comunidad de Madrid, y la notificación (30/09/13) de la solicitud de información de la Inspección de Datos de la AEPD. Galp tiene anotado en su base de datos que el 13/11/13 realizó compensación de las tres facturas, tras llevar la deuda a fallidos y bloquearlos datos. Han transcurrido más de siete meses desde la primera reclamación. No puede considerarse diligente su actuación regularizadora. No ha sido acreditado que la actuación de la persona denunciante o de la titular de los datos personales en la contratación haya podido inducir a la comisión de la infracción. Una identificación de la persona titular de los datos y de la persona que firma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 el contrato que pudiera representar al titular, hubiera evitado el tratamiento de los datos personales que constituyen la infracción imputada. No es posible, en consecuencia la aplicación del citado apartado c). VII. El artículo 45.4 de la LOPD, establece que 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Es necesario examinar las circunstancias de aplicación del 45.4. Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: A. Respecto a Mantservice: - El carácter no continuado de la infracción pues los datos eran entregados a Galp en breve plazo. - El volumen del tratamiento es reducido. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es escasa, pues la empresa fue creada para la prestación del servicio a Galp. Tiene un reducido tratamiento de datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 personal, estando, por tanto, su actividad provisionalmente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio de hay que hacer constar que es una empresa unipersonal cuya actuación se ha reducido a la captación de clientes para Galp en alguno de los distritos de Madrid y pueblos colindantes, durante escasos meses. - El beneficio obtenido no se ha acreditado, aunque puede deducirse que no ha habido. - El grado de intencionalidad puede ser valorado como el de una persona física, pequeño empresario, que actúa exclusivamente para la empresa que le ha contratado. - La imputada no ha sido objeto de sanción por infracciones similares. - No se ha acreditado daño cuantificable en euros. - No tenía procedimientos implantados propios ni requeridos por cláusula de su contrato de servicio. Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y habida cuenta de que concurre en el presente caso diversas circunstancias de las exigidas para la aplicación del 45.5.
- b)procede imponer sanción dentro del tramo inferior, el de las leves. Además, sin perjuicio de las consideraciones precedentes, ante los hechos acaecidos, se estima conveniente valorar y encuadrarla en el apartado
- j)del artículo 45.4, (“cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”), considerándola como una circunstancia atenuante de la culpabilidad. Todo ello permite fijar la sanción a Mantservice con una multa de 3.000 € por la infracción del artículo 6.1 de la LOPD de la que es responsable. B. Respecto a Galp: - El carácter continuado de la infracción queda fuera de duda en el caso de GALP, pues los datos han sido tratados -contraviniendo el principio del consentimientodurante más de 22 meses. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que GALP es empresa que tiene como actividad la prestación de facturación de suministros de energía y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene el Grupo, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio hay que hacer constar que es un hecho notorio que excluye la necesidad de aportar elemento probatorio alguno. Pertenece a uno de los grupos energéticos más importantes de la península ibérica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos como cliente los datos de una persona no identificada como titular de un contrato y ordenó los cambios de comercializadoras no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a quien a los supervisores de todos ellos. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño o perjuicio cuantificado en euros, pero deben tenerse en cuenta los perjuicios en el área de la intimidad personal, de su salud y estabilidad personal, de su imagen y credibilidad, el tiempo y el esfuerzo que necesariamente se ha visto obligada a dedicar en la gestión de las denuncias y el presente procedimiento sancionador, y todas las gestiones a que se ve obligado la persona denunciante. - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contempladas en el 45.4 de la LOPD permite graduar la sanción en un importe de 50.000 € para GALP. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Imponer las siguientes sanciones: 1) A Servicio Técnico Mantservice SLU multa de 3.000 € (tres mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. 2) A Galp Energía España SAU multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a Galp Energía España SAU, Servicio Técnico Mantservice SLU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es