PS-00317-2015

1/14 Procedimiento Nº PS/00317/2015 RESOLUCIÓN: R/03284/2015 En el procedimiento sancionador PS/00317/2015, instruido por la Agencia Española de Protección de Datos a las entidades IBERDROLA CLIENTES, S.A.U., (IBERCLI) e IBERBILSA CONSULTAS Y SERVICIOS, S.L., (IBERBILSA), vista la denuncia presentada y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha de 27/6/14, tiene entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. denunciando que siendo titular de un contrato de energía, se modificó la compañía distribuidora de la energía (Iberdrola último recurso a Iberdrola clientes) sin su consentimiento, y a través de una tercera empresa Iberbilsa. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/04907/. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 23/9/14 TERCERO: Con fecha 19/6/15 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las entidades IBERDROLA CLIENTES (IBERCLI) e IBERBILSA CONSULTA Y SERVICIOS (IBERBILSA) por presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3

1. b)CUARTO: Por parte del representante de IBERCLI se han presentado, con fecha, 20/7/15, escrito de alegaciones al acuerdo de inicio manifestando, en síntesis, lo siguiente: Del reconocimiento voluntario de responsabilidad Que IBERCLI se acoge a esta posibilidad reconociendo el error cometido al validar como correcta una contratación de electricidad sin detectar que en la documentación aportada en el momento de la contratación no constaba la autorización del titular del contrato a su esposa que fue la persona que aportó a IBERCLI todos los datos personales De a aplicación del art, 45.4 de la LOPD En especial que se atendió a la reclamación del denunciante inmediatamente tan pronto como se tuvo noticia de que el titular no deseaba el contrato de electricidad con IBERCLI y se llevaron las gestiones necesarias para retornar el contrato con la anterior comercializadora. QUINTO: Con fecha 10/9/15 se inició el período de práctica de pruebas, en el que se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A.y su documentación, los documentos obtenidos y generados por los Servicios de Inspección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 ante IBERDROLA CLIENTES SAU y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04907/2014. SEXTO: Se dictó, con fecha 21/10/15, la siguiente propuesta de resolución: <<<<< Que por la Directora de la Agencia Española de Protección de Datos se sancione a IBERDROLA CLIENTES, S.A.U. con multa de 10.000 € (diez mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma. Que por la Directora de la Agencia Española de Protección de Datos se sancione a IBERBILSA con multa de 3.000 € (tres mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma. >>>>> SEPTIMO: Por parte de IBERCLI se presentaron alegaciones, con fecha 4/11/15, a dicha propuesta, no considerando ajustada una multa de 10.000€ por una única incidencia que ha afectado a un único cliente y que fue resuelta de forma inmediata. Por parte de IBERBILSA no se han presentado alegaciones HECHOS PROBADOS 1º Consta denuncia presentada por de D. A.A.A. manifestando que en la factura del periodo de facturación del 17 de marzo de 2014 al 8 de abril de 2014, a nombre del denunciante, comprueba que Iberdrola Comercialización ha cambiado su contrato, nº de contrato ***CONTRATO.1, a Iberdrola Generación, S.A.U., nº de contrato ***CONTRATO.2, sin su consentimiento, se adjunta ambas facturas. 2º Constan actuaciones previas de inspección abiertas ante Iberdrola Generación, S.A.U y Iberdrola Comercialización acreditándose los siguientes hechos: 2.1. Que los activos, pasivos y demás relaciones jurídicas afectas a la rama de actividad de comercialización minorista de energía ejercida por Iberdrola Generación, S.A.U. a la que corresponde el contrato de suministro en cuestión, han sido objeto de escisión de dicha sociedad y transmitidos en bloque a favor de Iberdrola Clientes, S.A.U., la cual ha quedado subrogada en todos los derechos y obligaciones derivados de dichos contratos, de acuerdo con lo indicado en la escritura de escisión parcial de la sociedad Iberdrola Generación, S.A.U. a favor de Iberdrola Clientes, S.A.U. 2.2 Que con fecha 1/7/09 Iberdrola Comercialización como comercializadora de último recurso, asumió la comercialización de los puntos de suministro eléctricos que los consumidores suministrados por un distribuidor que no hubieran optado por elegir empresa comercializadora. Los contratos relativos a dichos puntos de suministro pasaron a ser suministrados por la comercializadora de último recurso perteneciente al grupo empresarial de la empresa distribuidora de cada zona. Por ello, Iberdrola Comercialización asumió el contrato de electricidad del denunciante para el domicilio ubicado en (C/.......1), en ***LOCALIDAD.1 sucediendo a la empresa distribuidora con los derechos y obligaciones establecidos en el artículo 45 de la Ley 54/1997, de 27 de noviembre, del Sector Eléctrico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 2.3 El consentimiento del denunciante a la contratación con Iberdrola Comercialización, por tanto, a la emisión de las facturas correspondientes al contrato de electricidad, estuvo autorizada por la entonces vigente Ley 54/1997, de 27 de noviembre, del Sector Eléctrico no siendo preciso recabar el consentimiento exigido en el art. 11.1 de la LOPD. 2.4 En el caso del contrato del denunciante sus datos fueron comunicados por la empresa distribuidora Iberdrola Distribución Eléctrica, S.A.U. a Iberdrola Comercialización para que ésta asumiese el suministro automáticamente de acuerdo con lo establecido en la normativa sobre la Tarifa de Último Recurso indicada anteriormente. Por ello, no fue necesario formalizar una nueva contratación con la empresa Comercializadora de Último Recurso, ya que ésta tenía la obligación de asumir el suministro automáticamente en las mismas condiciones que la empresa distribuidora mantenía con el cliente, según lo dispuesto en la normativa sobre el mecanismo de traspaso de los clientes de mercado a tarifa al suministro de último recurso, contrato nº ***CONTRATO.1. 2.5 Que con fecha 10/3/14, se formalizó el contrato de electricidad a nombre del denunciante, de forma presencial mediante visita de un agente comercial externo de Iberdrola Clientes, para la vivienda del denunciante y de su esposa Dña. B.B.B.. Los datos y documentos necesarios para la contratación fueron aportados por su esposa, con DNI ***DNI.1 y domiciliada en la misma dirección del suministro, según consta en su DNI, la cual firmó (“por orden”) el documento autocopiativo de contratación con su propio nombre y apellidos y aportó copia de su documento de identidad, se adjunta copia de ambos documentos y de Carta al distribuidor de electricidad y Orden de domiciliación de adeudo directo SEPA, que se encuentran firmados, contrato nº ***CONTRATO.2. 2.6 Se manifiesta que el cliente conserva una copia de todos estos documentos y el agente comercial devuelve a Iberdrola Clientes una copia de la hoja de contratación firmada por el cliente, de la solicitud de cambio de comercializador firmada igualmente por el cliente y una factura con datos técnicos del punto de suministro de electricidad facilitada voluntariamente por el cliente. 3º El establecimiento colaborador que formalizó la contratación fue IBERBILSA S.L. con CIF.: B*******, se ha adjuntado copia del contrato suscrito por dicha entidad con Iberdrola Clientes de fecha 1 de enero de 2014, en la cláusula Décimo sexta.- Datos de Carácter Personal se detallan los aspectos contemplados en el artículo 12 de la Ley Orgánica y en el Real Decreto 1720/2007. Se ha aportado Guía del Club del Colaborador que detalla el procedimiento para la tramitación de altas de las contrataciones formalizadas por el agente colaborador y Código de Conducta en la venta para Equipos Externos. 4º Que con fecha 17/3/14, la empresa distribuidora IBERCLI comunicó electrónicamente a Iberdrola Comercialización el cese de comercialización del citado contrato de electricidad por “cambio de empresa comercializadora a petición del cliente”, cesando ese mismo día la comercialización del contrato de electricidad de esta vivienda. En consecuencia a partir de dicha fecha Iberdrola Clientes procedió a la activación del contrato de electricidad con toda normalidad y por lo tanto a la entrega de energía y su facturación, 5º Con fecha 6/5/14, se recibió en IBERCLI una reclamación del denunciante, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 correo electrónico, indicando que no se había realizado ninguna contratación. Iberdrola Clientes contactó con el teléfono del titular del contrato (teléfono ***TEL.1) y que consta en el mismo, atendió la llamada Dña. B.B.B., quien se identificó como esposa del denunciante y confirmó que efectivamente que había recibido al agente comercial y que ella misma había firmado el contrato de la vivienda, facilitando los datos de su esposo, datos de domiciliación y de la vivienda así como una copia de su DNI. 6º Constan las siguientes actuaciones realizadas por IBERCLI en contestación a la reclamación del denunciante: 6.1 Con fecha 26/5/14 contestó a la reclamación enviando una carta de contestación al denunciante en la que se le informó que se había atendido su deseo de no contratar la electricidad con Iberdrola Clientes y que, por ello, se habían realizado las gestiones necesarias para retornar el contrato de electricidad a la anterior comercializadora. Así mismo se le informó de que este hecho no supondría ningún coste económico para él, se adjunta copia de la citada carta. 6.2 El día 27/5/14, el contrato de electricidad se da de baja con IBERCLI por cambio de comercializadora cesando la comercialización del contrato de electricidad de esta vivienda. 7º Que en consecuencia la fecha de activación del contrato con IBERCLI fue el 17/3/14 y la fecha de baja el 27/5/14, por lo que el contrato se encuentra en estado de BAJA por cambio de comercializadora solicitado por el cliente. Se emitieron dos facturas en abril y mayo de 2014. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/04907/2014 se dictó por el Director de la Agencia, Acuerdo de Inicio de Procedimiento Sancionador (PS/317/2015) al apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción. Dichos indicios estaban motivados en que se modificó un contrato de suministro (por IBERCLI a través de una tercera empresa IBERBILSA) sin haberse acreditado el consentimiento del titular dicho contrato para dicha modificación. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
3. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. IV El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. V En el presente caso, ha quedado acreditado que un comercial de la empresa IBERBILSA se personó en el domicilio del denunciante, y que fue la esposa del mismo, Dña B.B.B. quien formalizó el contrato de electricidad, (a favor de la comecializadora IBERCLI), aportándose para dicha contratación los datos del titular y firmándose el contrato “por orden” de Sr. A.A.A.. Pero sin acreditar la autorización del mismo para contratar a su nombre. Posteriormente, con fecha 6/5/14, el denunciante presentó una reclamación ante IBERCLI manifestando que no se había realizado ninguna contratación. Contestándose por la entidad denunciada que se había atendido su deseo de no contratar la electricidad con IBERDROLA CLIENTES y que, por ello, se habían realizado las gestiones necesarias para retornar el contrato de electricidad a la anterior comercializadora. La infracción cuya comisión se atribuye a la entidad denunciada IBERCLI consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular del contrato anteriormente mencionado y la emisión de facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
5. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). En el presente caso, el afectado niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Existe una consolidada Jurisprudencia de la Audiencia Nacional en casos similares al que nos ocupan: -SAN 10/06/11 “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más la firma del contrato se corresponde con la inquilina de la vivienda”. -SAN 18/03/11 “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de servicios S.A no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos y, ello sin perjuicio de la responsabilidad en que pueda haber incurrido la distribuidora Avanza respecto de la hoy recurrente”. -SAN 06/10/11 “No ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) o haber acreditado alguna actividad posterior a la contratación para verificar la realidad de esta; ni se usó la técnica de la llamada de comprobación ni se cotejó mínimamente la documentación remitida por la Empresa comercializadora exigiendo la entrega de una simple fotocopia del DNI”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Así las cosas, no consta que los datos de carácter personal del denunciante, materializado en la contratación del servicio referenciado (electricidad), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
6. b)de la LOPD, y no encontrándonos en ninguno de los supuestos contemplados en el art. 6.2 de la LOPD en los que no es preciso el consentimiento del afectado. Por consiguiente, se ha de concluir que existe culpa o falta de diligencia que se aprecia en el caso de autos, al haberse realizado el tratamiento de los datos personales del denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la Entidad denunciada. VI En el presente supuesto de hecho, se procedió, igualmente, a la apertura de procedimiento sancionador a la Entidad iBERBILSA por presunta vulneración del principio del consentimiento consagrado en el art. 6.1 LOPD. La Entidad IBERBILSA Formalizó un contrato con la IBERCLI que tenía por objeto: “La colaboración entre el socio colaborador e Iberdrola para la realización de las actividades referidas a la contratación de suministros de electricidad y de gas natural y de otros productos y servicios de Iberdrola” Esta figura se enmarca dentro de la modalidad de contrato de comisión mercantil regulada con carácter general en el art. 244 y ss. del Código de Comercio. “Se reputará comisión mercantil el mandato, cuando tenga por objeto un acto u operación de comercio y sea comerciante o agente mediador del comercio el comitente o el comisionista”. Dentro del marco de la Legislación vigente en materia de protección de datos, conviene acotar dos aspectos: Primero, la Entidad IBERBILSA ostenta la condición de encargado del tratamiento—art. 3
7. g)LOPD—que dispone: “Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. Segundo. Consentimiento. El art. 3
8. h)de la LOPD—LO 15/1999—dispone que: “Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Las principales atribuciones de la Entidad IBERBILSA cláusulas del contrato firmado de fecha (1/1/14). A saber: quedan plasmadas en las “Garantizar un tratamiento adecuado de los datos de carácter persona correspondiente a los clientes de Ibergen e Ibercur a los que tengan acceso como encargado del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 tratamiento” las mismas se explicitan la cláusula décima sexta del referido contrato que se ha incorporado al presente procedimiento. En el presente caso, la entidad IBERBILSA no aporta ningún medio de prueba admisible en derecho—ex art. 80 Ley 30/92—que permita desvirtuar que contaba con el consentimiento inequívoco del denunciante a la hora de darle de alta en el servicios de suministro de electricidad ofertado por la Entidad IBERCLI. En este sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2011 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia Española de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D… (Nombre, apellidos, domicilio), y a la recurrente le incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,…debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que en el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por tanto, la vulneración del art. 6.1 LOPD por parte de IBERCLI se deriva de la falta de consentimiento del denunciante para tratar los datos personales y no acreditar la existencia de consentimiento voluntario e inequívoco a la hora de cambiar de Entidad suministradora de gas, electricidad y servicio de mantenimiento. Cabe recordar, en este sentido, que el titular de los datos es el que tiene el poder de disposición de los mismos—principio del consentimiento—y, asimismo, en esta materia debe operar el derecho a la información en el momento de la recogida de sus datos, siendo también responsable en este caso la Entidad encargada del tratamiento— de informar al afectado/s a qué usos van a ser sometidos los mismos. Por tanto, la actuación de la Entidad denunciada IBERBILSA Fue manifiestamente negligente pues no desarrollo ninguna medida tendente a constatar que contaba con el consentimiento del titular del contrato para la modificación del mismo La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” con los que mantenía una relación contractual era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. Por todo lo expuesto, se considera que la Entidad denunciada IBERBILSA ha incurrido en la infracción descrita, ya que ha vulnerado el citado principio, consagrado en el artículo 6.1 de la LOPD, por tratar los datos de la afectada sin su consentimiento, que encuentran su tipificación en el artículo 44.3b) de la citada Ley Orgánica. VII Debe tenerse en cuenta que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". VIII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: “
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente .
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “…no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. En el presente caso, no consta que los datos de carácter personal del denunciante, materializado en la contratación del servicio referenciado (electricidad), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
24. b)de la LOPD, por lo que, debe considerase que resulta acreditada la infracción atribuida a las entidades denunciadas. No obstante deben tenerse en cuenta las circunstancias relevantes en el presente procedimiento que permiten ponderar la responsabilidad de las empresas denunciadas de cara a la aplicación de la facultad contemplada en el 45.5 y que son las siguientes: A) Que por parte de IBERCLI, en las alegaciones al Acuerdo de Inicio se ha procedido al reconocimiento voluntario de su responsabilidad. Al validar como correcta una contratación sin detectar que en la documentación aportada no constaba la autorización del titular del contrato. (Aplicación del art. 45.5
25. d)de la LOPD. B) Actuación diligente, procediéndose a regularizar la situación tan pronto como se tuvo conocimiento de la reclamación presentada por el denunciante. (Aplicación del artículo 45.5.b En cuanto a la ponderación de la responsabilidad de IBERBILSA como encargada del tratamiento (art. 3 g LOPD) se ha acreditado que un comercial de la misma fue quien comercializó la contratación, mediante visita al domicilio con fecha 10/3/14, y que los datos y documentos necesarios para la contratación fueron aportados por Dña. B.B.B., que firmó “por orden” el documento autocopiativo de contratación con su propio nombre y apellidos. No cabe duda que el comercial tiene una serie de obligaciones contractuales y en todo caso debe garantizar el cumplimiento de las exigencias de consentimiento En el presente caso, el contrato no ha sido firmado por el titular del contrato de suministro y por tanto no se ha acreditado que se contara con su consentimiento. Por lo que queda acreditada la comisión de la infracción descrita en el art. 44.3
26. b)LOPD por parte de la Entidad IBERBILSA. A la hora de motivar la sanción a imponer a la Entidad IBERBILSA nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. —45-4
27. c)LOPD--. El volumen de negocios o actividad del infractor. —45.4
28. d)LOPD--. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. —45.4
29. h)LOPD--. En conclusión, teniendo en cuenta los supuestos contemplados en el art. 45 5 y teniendo según los criterios de graduación de las sanciones establecidos en el artículo 45.4, que buscan guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los criterios siguinientes para la graduación de la sanción a aplicar:
30. a)Existencia de intencionalidad o reiteración,
31. b)La naturaleza de los perjuicios causados, C) La reincidencia. Procede imponer una multa de 10.000 euros a IBERCLI y una multa de 3.000 euros a IBERBILSA Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERDROLA CLIENTES, S.A.U., (IBERCLI) por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de la LOPD, una multa 10.000€, (diez mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO IMPONER a la entidad IBERBILSA CONSULTAS Y SERVICIOS, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de la LOPD, una multa 3.000€, (tres mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a IBERBILSA CONSULTAS Y SERVICIOS, S.L., IBERDROLA CLIENTES, S.A.U., y a D. A.A.A. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es