1/8 Procedimiento Nº PS/00338/2015 RESOLUCIÓN: R/03056/2015 En el procedimiento sancionador PS/00338/2015, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía SAU, vista la denuncia presentada, y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha de 14/7/4 tiene entrada en esta Agencia un escrito de D. C.C.C. en el que declara que Endesa Energía SAU (en adelante ENDESA) ha dado de alta un suministro sin su consentimiento y le ha incluido en fichero de morosos. Se aporta diversa documentación en relación a los hechos denunciados. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/05150/2014. Concluyéndose la investigación con informe siguiente de la Inspección de Datos de fecha 28/4/15. TERCERO: El Director de la Agencia Española de Protección de Datos acordó, con fecha 18/6/15 iniciar procedimiento sancionador a ENDESA por la presunta infracción del artículo 6 de la LOPD. CUARTO Se presentó, con fecha 27/10/14, escrito de alegaciones al Acuerdo de Inicio, por parte de la entidad denunciada, acompañada de documentación, manifestando, en síntesis, lo siguiente: 1º Que los hechos denunciados se refieren a datos de un empresario individual en el ejercicio de su actividad comercial y por tanto están fuera del campo de aplicación de la LOPD 2º Se acompaña grabación telefónica en que el interesado confirmó la contratación con la entidad denunciada. Indicando que se trata de la contratación del suministro para su negocio QUINTO: Por el instructor del procedimiento se apertura, con fecha 17/8/15 periodo de prácticas de pruebas con la incorporación de las actuaciones de investigación previa y las alegaciones y documentación presentada por la entidad denunciada SEXTO: Se emitió propuesta de resolución con fecha 14/10/15 en el sentido de que por la Directora de la Agencia se declarase el archivo del presente procedimiento HECHOS PROBADOS 1º Consta denuncia presentada por D. C.C.C. manifestando que Endesa Energía SAU (en adelante ENDESA) ha dado de alta un suministro sin su consentimiento y le ha incluido en fichero de morosos. 2º Consta la siguiente documentación aportada por el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 1. Corporación Legal de 5/3/2014 reclamando deuda con ENDESA por importe de 554,34€ y aviso de posible inclusión en ficheros de morosidad. 2. ENDESA a Junta de Castilla y León de 21/05/2014 donde informan que han procedido a anular los expedientes de dudoso cobro a nombre del denunciante. 3. EQUIFAX de 6/3/2014 de respuesta a la petición de cancelación del denunciante, comunicando la baja cautelar con la entidad ENDESA ENERGIA SAU de los datos del denunciante. 3º En los ficheros de entidad EQUIFAX consta la siguiente información relativa al NIF E.E.E.. * Impresión de consulta al fichero Asnef, actualmente no consta información. * Notificaciones realizadas al titular de referencia por su inclusión en el fichero a instancias de ENDESA al domicilio de (C/.......1) (Burgos): -- Alta de 19/02/2014 por importe de 173,99€ sin fecha de devolución. -- Alta de 19/02/2014 por importe de 380,35€ sin fecha de devolución. * Relación de las consultas efectuadas en los últimos seis meses. Incidencias incluidas en su momento por Endesa, ya canceladas y bloqueadas: -- Alta de 19/02/2014 por importe de 173,99€ y baja de 6/03/2014. -- Alta de 19/02/2014 por importe de 380,35€ y baja de 6/03/2014. * Contactos con el denunciante: -- Carta dirigida al denunciante de 6/3/2014 comunicando la baja cautelar con la entidad ENDESA ENERGIA SAU de los datos asociados a su NIF. -- Solicitud de derecho de cancelación de 25/02/2014 del denunciante a Equifax. -- Escrito de Equifax de 26/02/2014 donde constan dos anotaciones a nombre del denunciante por la entidad ENDESA ENERGIA SAU con fecha de alta 19/02/2014 e importes respectivos, 173,99€ y 380,35€. -- Anotación en el expediente con fecha 6/3/2014 de la comunicación de Suplantación de Identidad. 4º Se aportado por Endesa copia del contrato de energía a nombre de D. C.C.C. para el suministro de energía en el domicilio de Cno. B.B.B.) 5º Se aportado copia de la grabación telefónica relativa a la confirmación de la contratación con Endesa. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/5150/2014, se determinó que, salvo prueba en contrario, que ENDESA no ha acreditado la existencia de consentimiento del denunciante para el tratamiento de sus datos personales, facturándole por unos servicios cuya contratación por el mismo no se ha acreditado. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. III Antes de analizar las cuestiones de fondo, se hace preciso responder a la alegación realizada por alega la representación de ENDESA en el sentido de que los datos facilitados por el denunciante con ocasión de la contratación y, por ello, los propios de la deuda originada por el impago de tales servicios, lo fueron en su condición de empresario o profesional, por lo que el tratamiento queda fuera del ámbito de aplicación de la LOPD. En relación a si el tratamiento de datos realizado se enmarca o no en el ámbito de aplicación de la LOPD, su artículo 1 señala que: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas,….”. La sentencia del Tribunal Supremo (Sala Tercera) de fecha 20 de febrero de 2007 (Rec. 732/2003) que, aunque referida a la LORTAD, sienta una doctrina plenamente aplicable bajo la vigencia de la LOPD; en ella se expone que: “Subjetivamente el ámbito de la LORTAD, como señala la sentencia recurrida, se concreta a los datos de las personas físicas, así resulta de los arts. 2.1 y 3 de la misma, señalando este último que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”; en el mismo sentido se expresa la Directiva 95/46/CE del Parlamento Europeo y del Consejo, relativa a la protección de las personas físicas en lo que respecta al tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 datos personales y a la libre circulación de estos datos...”. “Es claro que los Arquitectos y Promotores a los que se refiere el litigio participan de la naturaleza de personas físicas y que no dejan de serlo por su condición de profesionales o agentes que intervienen en el mercado de la construcción , por lo que los datos personales relativos a los mismos, quedan amparados y sujetos en cuanto a su tratamiento informatizado a las previsiones de la LORTAD; y es que desde este punto de vista subjetivo la exclusión del ámbito de aplicación de la LORTAD no viene determinada por el carácter profesional o no del afectado o titular de los datos objeto de tratamiento, sino por la naturaleza de la persona física o jurídica titular de los datos, en cuanto sólo las personas físicas se consideran titulares de los derechos a que se refiere el art. 18.4 de la Constitución”. “Por ello, la argumentación que la parte recurrente efectúa en relación con el carácter empresarial de la actividad desarrollada por los profesionales... (…) no priva ni altera la naturaleza de tales datos en cuanto conciernen a dichas personas físicas”. Para concluir, la sentencia de la Audiencia Nacional de 10 de septiembre de 2009 señala que es preciso diferenciar cuándo un dato del empresario o profesional se refiere a la vida privada de la persona y cuándo a la empresa o profesión; dado que sólo en el primer caso cabe aplicar la protección de la LOPD. Esta labor de diferenciación puede basarse en dos criterios distintos y complementarios: la clase y naturaleza de los datos tratados, (atendiendo a que estén en conexión o se refieran a una esfera íntima y personal o a otra profesional) y la finalidad del tratamiento y las circunstancias en que éste se desarrolla. La sentencia citada manifiesta que en el supuesto que se enjuicia (en el que se incluyeron los datos del denunciante en un fichero de solvencia patrimonial), “se han tratado datos en el ámbito profesional del afectado, pero que también afectan a la esfera personal del mismo en cuanto identifican y permiten la identificación de su persona y cuyo conocimiento o empleo por terceros puede afectar a uno de los derechos inherentes a su persona, cuál es la elección de un representante de sus intereses profesionales”. En consecuencia, la precedente alegación debe ser desestimada. IV El artículo 6.1 y 2 de la LOD dispone que: ”1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. V A la vista de la documentación obrante en el expediente aportada por la entidad denunciada debe de procederse al archivo del presente expediente sancionador por ausencia del elemento subjetivo de culpabilidad, necesario en la actuación de ENDESA, para ejercer la potestad sancionadora. Se contiene en la denuncia una supuesta contratación inconsentida por parte del denunciante, del suministro de gas y electricidad relativa a un domicilio de que es titular: “ A.A.A.” Se ha aportado por la entidad denunciada copia del contrato de suministro a dicho domicilio, apareciendo en el mismos los datos personales del denunciante, una cuenta bancaria, y el código CUPS de suministro. Figurando firmados por el cliente, no habiéndose aportado copia del DNI. Se ha aportado grabación de la conversación telefónica realizada por Endesa, realizada con objeto de confirmar la anterior contratación, en el transcurso de la misma se acepta por quien dice llamarse D. C.C.C. la contratación de dicho suministro, Habiéndose aportado en el transcurso de la misma, por el receptor de la llamada su segundo apellido, y la dirección completa de su domicilio. Esta circunstancia dota a dicha contratación, por parte de la entidad denunciada, de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. No cabe apreciar culpabilidad alguna en la actuación de esta entidad, que actuó con la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. Respecto de la ausencia de culpabilidad, puede traerse a colación la SAN 28/6/13, Rec. 572/11 que, en un supuesto análogo, y en el que actuaba como demandante la entidad denunciada afirma que: <<<<< En esta línea en la STC de 25 de enero de 1999, se declara que la potestad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 sancionadora de la Administración debe ejercitarse en consonancia con las garantías, debidamente atemperadas, reconocidas en el art. 24.1 de la Constitución, especialmente las derivadas de la presunción de inocencia, en los términos previstos en las sentencias del Tribunal Constitucional 76/1990, 120/1994, 154/1994, 23/1995, 97/1995, 147/1995 y 45/1997, que implica que la carga de la prueba de los hechos constitutivos de la infracción recaiga sobre la Administración. Así las cosas, la recogida de datos fue efectuada por Rasuvalcan, S.L., por encargo de la parte actora, por medio de sus empleados o agentes. Se recogieron datos personales del denunciante, tales como nombre, apellidos, y dirección postal, datos de vivienda, de su contrato de suministro de gas y su cuenta bancaria. El procedimiento de contratación que expone la parte recurrente en su escrito de demanda es perfectamente compatible con lo que obra en autos: Endesa Energía S.A., Sociedad Unipersonal contrata a través de empresas comercializadoras (PdS) y la ahora entidad actora se limita a comprobar la corrección de los datos facilitados por el cliente (en especial el que hace referencia a la identificación del punto de suministro) y que solo obra en la factura por lo que solo el cliente puede facilitarlo. Tal y como dijimos en un caso semejante al que nos ocupa, en igualmente existía una grabación telefónica de fecha 26 de febrero de 2009 entre el denunciante y una de las operadoras de la parte actora a los efectos de comprobar la veracidad de la contratación, en la Sentencia de 27, no 26 como aduce la parte actora, de enero de 2011 -recurso nº. 782/2009-, se deduce el consentimiento del titular de los datos para su tratamiento por la empresa recurrente, respondiendo éste en sentido afirmativo a que era el titular del contrato, que lo firmó el mismo y el servicio de mantenimiento, así como que facilitó los datos al comercial, incluido el número de cuenta bancaria. Pero además, en vía administrativo se envió por la Agencia de Protección de Datos la grabación al denunciante para que manifestara si era él quien decía ser en dicha grabación, no contestando. Por lo tanto, en principio parece existir la contratación, por lo que no cabe apreciar un tratamiento de datos personales sin consentimiento, debiéndose anular la sanción, y, en consecuencia, estimar el recurso contencioso-administrativo. >>>> VI Cabe, pues, deducir que la entidad denunciada actuó de manera diligente en la adopción de las medidas necesarias para la comprobación de la identidad de la denunciante. En este sentido cabe hacer mención a la Sentencia de la Audiencia Nacional 29/04/2010, Rec. 700/2009, que indica lo siguiente: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” VII Consecuentemente, y faltando el hecho determinante presupuesto de la actividad sancionadora, esto es, el tratamiento inconsentido de los datos del denunciante por parte de ENDESA ENERGIA SAU es necesario aplicar el principio de presunción de inocencia que debe de regir sin excepciones en el ordenamiento sancionador y que ha de ser respetado en la imposición de cualesquiera sanciones, ya que el ejercicio del ius puniendi en sus diversas manifestaciones se encuentra condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990 de 26 de abril considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” Vistos los preceptos citados y demás de general aplicación, Por el Director de la Agencia Española de Protección de Datos Se ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a Endesa Energía SAU y a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es