PS-00347-2014

1/14 Procedimiento Nº PS/00347/2014 RESOLUCIÓN: R/02081/2014 En el procedimiento sancionador PS/00347/2014, instruido por la Agencia Española de Protección de Datos a la entidad Iberdrola Generación SAU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 24 de junio de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que sin su consentimiento Iberdrola ha utilizado sus datos personales, incluida cuenta bancaria, para dar de alta a su nombre los suministros de gas y electricidad. Al ponerse en contacto con la entidad le remitieron copia del contrato con sus datos pero sin firma. Al poner una reclamación por medio de la Oficina de Atención al Consumidor de Mollet del Vallés remitieron copia del contrato con una firma que no es la suya. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad Iberdrola Generación SAU, teniendo conocimiento de que: Los representantes de IBERDROLA GENERACIÓN S.A.U. aportan copia del contrato de electricidad y gas suscrito a nombre de A.A.A. con DNI ***DNI.1 en fecha 15/11/2012. Junto a este contrato no se ha recabado copia del DNI ni de ningún otro documento que permita acreditar la identidad del firmante. El contrato de electricidad con número de referencia ***REF.1 y el contrato de gas con número de referencia ***REF.2, están dados de alta a nombre de A.A.A. con DNI ***DNI.1. Dirección de suministro y correspondencia en (C/................1) (Barcelona). Teléfono de contacto ***TEL.1. El contrato de electricidad se encontraba no domiciliado y el suministro de gas se encontraba domiciliado en el número de cuenta bancada ***CCC.1, siendo titular A.A.A.. Suministro de electricidad fue dado de alta el 10/12/2012 y dado de baja desde el 10/03/2013. Suministro de gas fue dado de alta desde el 03/12/2012 y baja desde el 21/02/2013. En el fichero que contiene las reclamaciones presentadas por la afectada se verifica que consta la recepción de una reclamación presentada ante la Oficina de Atención al Consumidor de Mollet del Vallés con fecha de entrada 06/03/2013 en la que la afectada manifiesta que la contratación de los suministros de gas y electricidad se ha realizado de forma fraudulenta y que al solicitar a la entidad copia del contrato se lo enviaron sin firma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 También consta la recepción de una denuncia presentada ante la Dirección General de la Policía en fecha 17/06/2013 en la que manifiesta que se ha usurpado su identidad para contratar sin su consentimiento los suministros de gas y electricidad con IBERDROLA. Como consecuencia de los suministros facilitados a la reclamante se han emitido las siguientes facturas: Fecha de emisión 04/02/2013 por importe de 92.35 € rectificada en fecha 23/07/2013 Fecha de emisión 13/03/2013 por importe de 86.13 € rectificada en fecha 23/07/2013 Fecha de emisión 13/02/2013 por importe de 274.48 € Fecha de emisión 26/02/2013 por importe de 48.01 € Fecha de emisión 26/02/2013 por importe de 48.78 € Fecha de emisión 02/04/2013 por importe de 40.00 € Presentando un saldo pendiente de pago de 411.27 € TERCERO: Con fecha 16 de junio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad Iberdrola Generación SAU por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€., de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio Iberdrola Generación SAU (IBERGEN) mediante escrito, que tuvo entrada en el Registro de la AEPD el 15 de julio de 2014, formuló alegaciones en las que solicitó el archivo del expediente por inexistencia de responsabilidad de la entidad. En apoyo de su pretensión invoca los siguientes argumentos: La contratación de los suministros de gas y electricidad de la denunciante ha sido consecuencia de una actuación fraudulenta de la cual es responsable un agente comercial externo. IBERGEN ha actuado diligentemente y con total transparencia para procurar la rápida resolución del problema sin ningún coste para el afectado ya que todas las facturas fueron anuladas asumiendo IBERGEN el coste total de los consumos de gas y electricidad de la vivienda de la denunciante. Ausencia de culpabilidad de Ibergen en este posible delito de usurpación de identidad, falsedad documental y estafa. La responsabilidad en el tratamiento de los datos es de quien los obtuvo ilícitamente, los falsificó y los aportó a IBERGEN induciéndola a efectuar un tratamiento en la creencia legítima de que la denunciante deseaba contratar sus suministros de gas y electricidad. Ausencia de consecuencias gravosas para el cliente y ausencia de beneficios para IBERGEN. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 QUINTO: Con fecha 16 de julio de 2014 se abrió el periodo de prueba, en el que se acordó practicar las siguientes diligencias probatorias: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante Iberdrola Generación SAU, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04241/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00347/2014 presentadas por Iberdrola Generación SAU, y la documentación que a ellas acompaña. SEXTO: Con fecha 1 de agosto de 2014 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se sancione a Iberdrola Generación SAU, con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
2. b)de dicha norma. SEPTIMO: En fecha 26 de agosto de 2014 tuvieron entrada en el Registro de la AEPD las alegaciones de Iberdrola Generación SAU a la Propuesta de Resolución solicitando la aplicación del artículo 45.4 y reconociendo voluntariamente la responsabilidad en aplicación de lo dispuesto en el artículo 8 del RD1398/1993 y en el artículo 45.5
3. d)de la LOPD: IBERGEN manifiesta que “se acoge a esta posibilidad reconociendo el error cometido al validar como correcta la contratación de electricidad y gas denunciada ya que no cumplía con los requisitos establecidos en los procedimientos establecidos por IBERGEN para la cumplimentación de los contratos realizados por agentes comerciales externos (recogida de DNI del titular, llamada de verificación de la contratación, etc.), incumpliendo con ello el principio de protección de datos recogido en el artículo 6.1 de la LOPD relativo al consentimiento del interesado para el tratamiento de sus datos de carácter personal”. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La denunciante, Dña. A.A.A., manifiesta que Iberdrola Generación SAU, trato sus datos personales sin su consentimiento y le pasó cargos de facturas de suministro de luz, sin haber firmado ningún contrato, requiriéndole posteriormente al pago. Solicitado el contrato a la entidad denunciada manifiesta la denunciante que le han falsificado la firma. (folio 1 a 3) SEGUNDO: Existe copia de un contrato de gas y electricidad supuestamente firmado por la afectada. La firma no coincide con la firma de la titular rubricada en su DNI, ni con la rúbrica que realizó en la denuncia ante la AEPD, ni con la firma de la denunciante en el atestado policial. (folios 7 a 10; 52 a 55; 1, 3 y 6) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 TERCERO: La entidad manifiesta que el suministro de electricidad fue dado de alta el 10/12/2012 y dado de baja desde el 10/03/2013. El suministro de gas fue dado de alta desde el 03/12/2012 y baja desde el 21/02/2013. (folio 51) CUARTO: Existen en el expediente duplicado de facturas de Iberdrola de electricidad a nombre de la denunciante Fecha de emisión 04/02/2013 por importe de 92.35 € rectificada en fecha 23/07/2013 Fecha de emisión 13/03/2013 por importe de 86.13 € rectificada en fecha 23/07/2013 Fecha de emisión 13/02/2013 por importe de 274.48 € Fecha de emisión 26/02/2013 por importe de 48.01 € Fecha de emisión 26/02/2013 por importe de 48.78 € Fecha de emisión 02/04/2013 por importe de 40.00 € Presentando un saldo pendiente de pago de 411.27 € a 26 de agosto de 2013 (folios 80 a 97) QUINTO: Existen requerimientos de pago de Iberdrola a la denunciante (folios 74 y 75) SEXTO: Con fecha 6 de marzo de 2013 la denunciante presentó un escrito en la Oficina del Consumidor del Ayuntamiento de Mollet del Vallés denunciando los hechos descritos en el hecho probado primero. (folios 11 y 12) SEPTIMO: Consta denuncia de la reclamante ante la Generalitat de Catalunya. Direcció General de la Policía, con fecha 17 de junio de 2013 sobre los hechos manifestados en el hecho probado primero. (folios 5 y 6) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El precepto citado debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
5. c)y 3,
6. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que se refiere a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme a este principio el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) III La cuestión central a los efectos que nos ocupan es determinar si Iberdrola Generación SAU, recabó y obtuvo el consentimiento inequívoco de la denunciante y titular de los datos que han sido objeto de tratamiento; tratamiento materializado, en esencia, en el alta de un contrato de gas y electricidad con la entidad o determinar si, al menos, la entidad denunciada desplegó la diligencia que las circunstancias de su actividad empresarial requerían a fin de dar cumplimiento a la obligación impuesta por el artículo 6.1 de la LOPD, precepto que supedita el tratamiento de los datos personales de un tercero a contar con su “consentimiento inequívoco”. Debe recordarse que la denunciante ha negado que ella hubiera contratado con la empresa denunciada. Así lo expuso en su escrito de denuncia, en la denuncia ante la policía y en el escrito presentado en la oficina del consumidor. (hechos probados primero, sexto y séptimo) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Por tanto hay que determinar si la entidad denunciada adoptó las medidas que la diligencia exige a fin de acreditar que la persona de quien se recabó y obtuvo el consentimiento al tratamiento era su titular; única hipótesis en la que el tratamiento que se ha venido haciendo de los datos de la afectada tendría amparo legal. A este respecto es fundamental advertir que IBERGEN - pese a que le fue solicitado en el escrito de información previa (folio 46), durante las Actuaciones de Inspección, no ha aportado al expediente copia del DNI de la denunciante ni de ningún otro documento que acredite su identidad. Debemos recordar, llegados a este punto, que corresponde a las entidades denunciadas la carga de la prueba del consentimiento de la titular de los datos. La doctrina emanada de la Audiencia Nacional en relación a la carga de la prueba sigue esta orientación de manera constante, pudiendo remontarnos a la STAN de 21 de diciembre de 2001.Muy significativa es la más reciente STAN de 27 de enero de 2011 (Rec 349/2009), en cuyo Fundamento de Derecho Tercero, la Audiencia declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. (El subrayado es de la AEPD) Cabe citar, asimismo, la STAN de 31 de mayo de 2006, (Rec 539/2004) en la que el Tribunal afirma: “Por otra parte es al responsable del tratamiento (por todas, Sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de los datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. La copia del contrato que IBERGEN ha aportado a la AEPD se encuentra firmado. No obstante, la firma que consta en el documento es, a simple vista, diferente de la firma de la denunciante, de la que tenemos ejemplos en el escrito de interposición de la denuncia ante la AEPD, en la copia de su DNI y en la firma de la denunciante en el atestado policial, según consta también en el hecho probado segundo. Parece procedente traer a colación la STAN de 29 de octubre de 2009 (Rec. 585/2008), por cuanto su pronunciamiento es plenamente extrapolable al supuesto que analizamos. En el asunto examinado por la Sentencia la firma que aparecía en el documento aportado por la denunciada en prueba de la contratación tampoco coincidía – como acontece ahora - con la del denunciante. La Audiencia (Fundamento de Derecho quinto) declaró que “La denunciante, (….) insiste en que nunca firmó la documentación que aparece a los folios 73 y 74 del expediente administrativo. Por lo tanto, el tratamiento de datos realizado por XXXX Asistencia Técnica y Asesoramiento no contaba con el consentimiento de la denunciante que no firmó ningún contrato y la recogida de datos y el tratamiento posterior para la entrega a la empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 de Gas Natural con la que XXXX Asistencia Técnica y Asesoramiento había acordado el contrato de colaboración comercial nunca contó con el consentimiento expreso de la denunciante. Basta comparar las firmas de la denunciante que obran en los folios 73 y 74 con la que obra en la denuncia ante la Agencia y en el acta de su declaración testifical, para comprobar cómo dichas firmas no coinciden por lo que, unido a la contundente declaración de la denunciante en el sentido de que nunca había firmado ningún documento, permite concluir que la recurrente no disponía del consentimiento de la denunciante y no se justifica el tratamiento de datos realizado lo que obliga a la confirmación de la resolución impugnada” (El subrayado es de la AEPD) De las consideraciones precedentes se concluye que la entidad denunciada no ha aportado pruebas que acrediten que recabaron y obtuvieron el consentimiento inequívoco de la afectada y que actuaron - en el cumplimiento de la obligación impuesta por el artículo 6.1 LOPD – con la diligencia que las circunstancias del caso requieren. Esto, por cuanto la entidad no ha aportado copia de ningún documento que identifique a la denunciante y que confirme que fue ella quien otorgó el consentimiento a la contratación. Tampoco puede atribuirse a la copia del contrato facilitado por IBERGEN la virtualidad probatoria, por cuanto además de no aportar copia del DNI, pasaporte u otro documento de identidad que permitiera en la recogida de datos comprobar que la persona titular de los datos de estos contratos era la que estaba frente al tramitador, tampoco la firma de la denunciante es similar a la recogida en el contrato. En este sentido la Sentencia de la Audiencia Nacional de 6 de mayo de 2011(Rec 123/2010) establece lo siguiente en referencia al artículo 6.1 de la LOPD: “En interpretación de tal precepto este Tribunal ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009 ), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada, pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar tal consentimiento de inequívoco. Por ello, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la ley, sólo el consentimiento legítima el tratamiento y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado”. IBERGEN ha aportado un contrato escrito firmado para justificar el consentimiento. Precisa que la comercialización se realizó por un agente comercial externo de otra compañía. En este sentido hay que argumentar a IBERGEN lo que la Sentencia de la Audiencia Nacional de 10 de febrero de 2011(Rec 62/2010) establece: “Es cierto que Endesa Energía no ha tenido contacto directo con los "clientes", pues dichas contrataciones se efectuaron a través del agente comercial Intecas, con el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 había suscrito un "Contrato de prestación de servicios y comercialización entre Endesa y el punto de servicio Instalaciones Técnicas Castellón de Gas, S.L." el 9 de septiembre de 2004 -folios 42 y siguientes del expediente-. En virtud del citado contrato Endesa encomienda a dicha entidad, entre otros cometidos, la captación de nuevos clientes del servicio de suministro energético y la formalización en nombre y representación de Endesa Energía de los preceptivos contratos, en la forma y las condiciones que se establecen en los anexos correspondientes. Sin embargo, dicha circunstancia no puede servir para eximir de responsabilidad a la recurrente, por cuanto como viene reiterando la Sala, la responsabilidad en que, en su caso, haya podido incurrir dicho distribuidor o agente comercial al facilitar a Endesa Energía datos de los denunciantes, sin su consentimiento, no la eximen del cumplimiento de la normativa en materia de protección de datos personales, ya que es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión”. En el caso que nos ocupa ha quedado acreditado que IBERGEN incorporó los datos de la denunciante a sus ficheros asociados a los suministros de gas y electricidad y facturó a la reclamante. (hechos probados tercero, cuarto y quinto) Se esgrime además en las alegaciones al acuerdo de inicio de este procedimiento que la contratación de los suministros de gas y electricidad de la denunciante ha sido consecuencia de una actuación fraudulenta de la cual es responsable un agente comercial externo. Esta Agencia es consciente de los fraudes realizados y de lo fácil que resulta acceder por distintos medios a los datos personales de los ciudadanos. Pero la responsabilidad que se exige a la denunciada no es una responsabilidad objetiva, porque lo esencial es haber acreditado que actuó con la diligencia que corresponde a quien como ella, por razón de la actividad que desarrolla, se ve obligada a tratar continuamente datos personales. Por la misma razón no se exige por la Agencia ninguna responsabilidad a las entidades que son – además del titular de los datosvíctimas de un fraude cuando han actuado diligentemente, con independencia de que exista finalmente una suplantación de personalidad del titular de los datos tratados, siempre que se acredite que la responsable del fichero adoptó las medidas encaminadas a asegurarse de que quien prestó el consentimiento era el verdadero titular de los datos que le fueron facilitados. En consecuencia, la conducta de Iberdrola Generación SAU anteriormente descrita vulnera el principio del consentimiento que proclama el artículo 6.1 de la LOPD, infracción tipificada en el artículo 44.3.
7. b)de la citada Ley Orgánica que dispone: “Son infracciones graves, (..):
8. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 IV El artículo 44.3.
9. b)de la LOPD, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, Procede a continuación abordar si la conducta de Iberdrola Generación SAU, que estimamos vulnera el artículo 6.1 de la LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3
10. b)y si, en tal caso, la infracción es imputable a esa entidad. A) Respecto a la primera de las cuestiones planteadas, una vez constatado que la denunciada realizó la acción típica – infracción del principio del consentimientodebemos analizar si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el ámbito del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la AEPD) Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
11. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD). En esta misma Sentencia la Sala de lo Contencioso- Administrativo de la Audiencia Nacional hace referencia también al grado de diligencia que es exigible a aquellas entidades cuya actividad conlleva un continuo tratamiento de datos de clientes y de terceros, indicando a este respecto lo siguiente: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) Iberdrola Generación SAU han invocado que no concurre el elemento subjetivo de la culpabilidad. Frente a tal argumento debe señalarse en primer término que basta la mera inobservancia de la diligencia exigible para que esté presente el elemento culpabilístico de la infracción, sin que sea preciso con carácter imprescindible la culpa grave. El elemento subjetivo de la culpabilidad se concreta aquí en la falta de diligencia observada por IBERGEN, que no han aportado prueba determinante, de que recabaron y obtuvieron de la afectada su consentimiento para la contratación de dichos servicios a la que se vinculan sus datos personales. En el asunto que nos ocupa no existe ninguna duda de la presencia del elemento subjetivo de la culpabilidad, concretado en la grave falta de diligencia demostrada por IBERGEN, responsable del fichero al que se incorporaron los datos de la denunciante asociados al alta de un contrato de gas y otro de electricidad, sin contar con su consentimiento. En este sentido podemos traer a colación la STAN de 29 de abril de 2010 en la que el Tribunal manifiesta que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación.” (El subrayado es de la AEPD) Como se ha precisado en los Fundamentos Jurídicos precedentes IBERGEN no ha aportado copia del DNI o de otro documento que acredite la identidad de la contratante, lo que demuestra que no adoptaron con ocasión de la contratación la diligencia que es exigible, máxime cuando el desarrollo de su actividad profesional conlleva un continuo tratamiento de datos personales. La vinculación entre la omisión de la diligencia debida y la responsabilidad derivada de no recabar y conservar la copia de un documento identificativo del titular de los datos tratados, la establece la Audiencia Nacional en su Sentencia de 19 de mayo de 2011 (Rec. 622/2009). Aunque el supuesto analizado en la citada Sentencia no versa sobre una infracción del artículo 6.1 LOPD -sino del 4.3 -, es plenamente aplicable al asunto que nos ocupa. En la referida Sentencia de 19 de mayo de 2011 la Audiencia Nacional manifiesta (Fundamento de Derecho cuarto) que “Evidentemente, un mayor cuidado y diligencia por parte de la recurrente en el tratamiento de los datos de sus clientes le habría obligado a custodiar una copia del DNI o del permiso de residencia al momento de dar de alta la contratación y ello le habría permitido apercibirse de que el número que figuraba en sus ficheros no correspondía con la clase de documento de que disponía el cliente y, de ese modo, al dar de alta la incidencia por el impago lo habría hecho en relación con el verdadero deudor y no en relación con el denunciante que nunca ha sido cliente de la entidad ahora recurrente”. ( El subrayado es de la AEPD). Por tanto estas medidas encaminadas a acreditar que contaban con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 consentimiento inequívoco del titular de los datos tratados y que aquél a quien se solicitan es quien dice ser, y es efectivamente titular de los datos que facilita, es lo que conlleva a apreciar una falta de diligencia por parte de la entidad denunciada. B) Respecto a la segunda de las cuestiones planteadas, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
12. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En este caso la infracción del artículo 6.1 es imputable a IBERGEN en su condición de responsable del fichero al que, sin consentimiento del afectado, se incorporaron sus datos personales. V El artículo 45 de la LOPD, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
13. a)El carácter continuado de la infracción.
14. b)El volumen de los tratamientos efectuados.
15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
16. d)El volumen de negocio o actividad del infractor.
17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
18. f)El grado de intencionalidad.
19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 debida a una falta de diligencia exigible al infractor.
22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La Sentencia de la Audiencia Nacional de 21 de enero de 2004 (Rec. 1939/2001), señaló que dicho precepto “no es sino una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Por ello el citado artículo 45.5 de la LOPD debe aplicarse con rigor y cuando estén plenamente acreditadas las circunstancias que lo justifican. Hay que señalar que no hay razones que lleven a apreciar la atenuante privilegiada del artículo 45.5. No es posible, tampoco, admitir que hubiera reaccionado con diligencia ante la irregularidad cometida, ya que se siguió requiriendo el pago incluso con posterioridad a la baja de la denunciante en dichos contratos dados de alta sin el consentimiento de la reclamante ( folios 32 y 33), constan así mismo un certificado de facturación donde se siguen tratando datos de la denunciante varios meses después del cambio de compañía, mostrando dicho certificado un saldo de 411,27 euros a favor de la entidad denunciada a fecha 26 de agosto de 2013. Por otro lado la entidad denunciada tenía conocimiento de las reclamaciones ante la OMIC y la Policía, ya que fueron aportadas también por la misma entidad denunciada. IBERGEN en las alegaciones a la Propuesta de Resolución manifiesta que reconoce voluntariamente la responsabilidad en aplicación de lo dispuesto en el artículo 8 del RD1398/1993 y en el artículo 45.5
28. d)de la LOPD. En contestación a esta alegación hay que señalar, en primer lugar, que el reconocimiento de la responsabilidad no puede ir acompañado de alegaciones relativas al derecho sustantivo aplicado, ni al fondo del asunto, porque se está rebatiendo la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 imputación realizada. En el antecedente cuarto se resumen las alegaciones realizadas al acuerdo de inicio por IBERGEN entrando sobre el fondo del asunto y alegando, así mismo, su actuación diligente, circunstancia que se contradice con el reconocimiento de la responsabilidad que se realiza con posterioridad en las alegaciones a la propuesta de resolución, una vez conocida la sanción propuesta. En segundo lugar, y es consecuencia de lo expresado con anterioridad, el artículo 45.5
29. d)no puede convertirse en un argumento estratégico para poder obtener la reducción de una sanción, porque se estaría actuando en fraude de ley, más aún si tenemos en cuenta que cuando la denunciada realiza el supuesto reconocimiento de la responsabilidad es con posterioridad a la propuesta de sanción, en las alegaciones a la propuesta de resolución, cuando ésta posibilidad fue ofrecida anteriormente en el mismo acuerdo de inicio y sin embargo la denunciada realizó alegaciones sobre el fondo del asunto. Por tanto sólo una voluntad clara e inequívoca del reconocimiento de la culpabilidad habilita para la aplicación del artículo en cuestión en su apartado d). En consecuencia la sanción a imponer será la prevista en el artículo 45.2 de la LOPD para las infracciones graves, que oscila entre 40.001€ y 300.000€. Respecto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, estimamos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia de IBERGEN. Entre ellas cabe citar las siguientes: - El carácter continuado de la infracción imputada, (apartado
30. a)del artículo 45.4, pues los datos de la denunciante fueron tratados en sus ficheros durante un periodo de tiempo, asociados a servicios de gas y electricidad y se emitieron facturas como se ha acreditado en los hechos probados. - “La vinculación de la actividad de IBERGEN con la realización de tratamientos de datos de carácter personal”, apartado c), ya que el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales, tanto de clientes como de terceros. - El volumen de negocio de IBERGEN (apartado d, del artículo 45.4), dado que estamos ante una empresa con una importante cuota de mercado, hecho notorio sobre el que no es necesaria prueba. Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, cuya presencia ha quedado acreditada, y habida cuenta de que no concurre en el presente caso ninguna de las atenuantes privilegiadas descritas en el artículo 45.5 de la citada Ley Orgánica, se sanciona a la entidad Iberdrola Generación SAU con una multa de 50.000 €, por la infracción del artículo 6.1 de la LOPD de la que es responsable. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 PRIMERO: IMPONER a la entidad IBERDROLA GENERACIÓN S.A.U. por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
31. b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA GENERACIÓN S.A.U. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es