PS-00366-2016

1/13 Procedimiento PS/00366/2016 RESOLUCIÓN R/00418/2017 En el procedimiento sancionador PS/00366/2016, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de septiembre de 2015 tiene entrada en la Agencia Española de Protección de Datos escrito remitido por A.A.A., ***NIF.1 en los que denuncia que: Endesa Energía SAU (EE), sin su consentimiento, le ha cambiado compañía de suministro de energía de la compañía, antes era “Gas Natural”. La contratación se llevó a cabo en su domicilio y el contrato de suministro fue firmado por su cónyuge, advirtiéndoles éste que no será válido el contrato sino es firmado por la titular. Presentó denuncia ante la Dirección General de Consumo de Madrid. No especifica la fecha de su presentación. Junto con la denuncia aporta copia de la siguiente documentación: + escrito de fecha 20/01/2015, remitido por Endesa a la reclamante en el cual le solicita que devuelva firmada la orden de domiciliación bancaria de pago de facturas para el suministro solicitado el 20/01/15. + escrito de fecha 23/07/2015, remitido por la DGC de la Comunidad de Madrid a la reclamante, en relación con su reclamación formulada contra Endesa Energía SAU. + escrito de fecha 18/08/2015, remitido por la DGC de la Comunidad de Madrid a la reclamante remitiéndole la contestación generada por Endesa a su reclamación. + escrito de 28/07/15 de Endesa comunicándole que el contrato estuvo en vigor en esa compañía de 04/02/15 a 01/05/15 y que se han dado instrucciones para que no se facture ningún importe por el suministro del periodo de vigencia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EE. Recibida la respuesta se emite el preceptivo informe: <<< Con fecha 18 de noviembre de 2015 se solicita a Endesa Energía SAU información relativa a Dña. A.A.A. con NIF ***NIF.1, en relación a la contratación de servicios realizada. De la respuesta recibida con fecha 15 de diciembre de 2015, se desprende lo siguiente: En los sistemas de la entidad Endesa Energía SAU (en adelante Endesa) figuran los siguientes datos de la denunciante: Nombre: B.B.B.. Documento: ***NIF.1. Dirección: (C/...1). Teléfono: ***TEL.1. Se acompaña impresiones de pantalla del sistema. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 SOBRE LA CONTRATACIÓN: La denunciante figura como titular de dos contratos: Contrato energético nº ***CONTRATO.1 línea 1 de electricidad: Fecha Alta: 04/02/2015. Fecha Baja: 01/05/2015. Contrato energético nº ***CONTRATO.2 línea 2 de gas: Fecha Alta: 21/01/2015. Fecha Baja: 20/04/2015. Al respecto, se adjuntan impresiones de pantalla del sistema. ENDESA aporta copia del documento de “Condiciones Particulares del Contrato de Energía y Servicios Adicionales” con número de solicitud ********1 (Comercial ******, Task Force ****), formalizado por el cónyuge de la interesada con fecha 5/01/2015 a través de dispositivo electrónico (Tablet). En el contrato figuran los datos de la reclamante (nombre, apellidos, NIF, datos bancarios) como titular del suministro de energía (electricidad y gas) y los datos de D. C.C.C. con NIF ***NIF.1, en calidad de cónyuge, respecto a los productos contratados de GAS + LUZ + SERVICIO MANTENIMIENTO. La compañía ENDESA añade que “únicamente es preciso estampar la firma para el suministro de gas, si el titular difiere del de electricidad.” Adjunto al contrato, no se acompaña copia del DNI ni documento acreditativo de la identidad de la denunciante. Se trata de una contratación gestionada por el distribuidor COMBRAY SOLUTIONS SL con CIF ESB******, el cual según se manifiesta recabó en el momento de formalización del contrato la siguiente documentación adjunta: Copia DNI de D. C.C.C., en el que coincide el domicilio indicado con la vivienda para la que se contrató el suministro ((C/...1), Madrid). Factura de suministro de gas natural y energía eléctrica emitida por su anterior suministrador GAS NATURAL SUR con fecha 16/12/2014, a nombre de la denunciante. No se aporta copia de las instrucciones facilitadas al distribuidor para realizar las altas de productos o servicios ni documentación acreditativa de los controles para la verificación del cumplimento de dichas instrucciones. Con motivo de la citada contratación, se emitieron respectivamente tres facturas por cada tipo de contrato: Contrato energético nº ***CONTRATO.2: Tres facturas, con fechas de emisión 19/02/2015, 27/04/2015 y 04/05/2015. Contrato energético nº ***CONTRATO.1: Tres facturas, emitidas con fechas 18/02/2015, 10/04/2015 y 10/06/2015. Se acompañan impresiones de pantalla del sistema. SOBRE RECLAMACIONES PRESENTADAS POR LA DENUNCIANTE O TERCEROS La denunciante formula en febrero de 2015 reclamación (nº ***NÚM.1) ante la compañía ENDESA, por estar en desacuerdo con el uso de sus datos personales y el cambio de comercializadora efectuado sin su autorización, ante lo cual solicita grabación de la contratación. En los pantallazos aportados por la compañía, no se puede visualizar el día exacto de dicha reclamación. El equipo encargado de su gestión no pudo obtener copia de la documentación contractual, por lo cual una vez concluido el plazo para la recepción del control de calidad y estando el contrato firmado por el cónyuge tipificó la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 venta como incorrecta y procedieron a tramitar la reposición del suministro con su anterior comercializadora. No siendo aceptada la misma, se contactó con la interesada con fecha 08/04/2015 para indicarle que debía proceder a contratar con la empresa suministradora de su elección, continuando mientras tanto en vigor los contratos suscritos con Endesa. Finalmente, el cliente procedió a efectuar el cambio de comercializadora, quedando los contratos resueltos y procediendo la compañía a imputar el importe de las facturas a una cuenta de su titularidad con fecha 18/06/2015. De lo anteriormente expuesto, se adjuntan pantallazos de los registros en el sistema. Con fecha 22/07/2015, ENDESA recibe desde la Dirección General de Consumo, Subdirección General de Orientación al Consumidor (reclamaciones energía .consumo @madrid .org) reclamación de referencia ***REF.1-2015 formulada por la denunciante. En contestación a la misma remite escrito, de fecha 28/07/2015, en el que entre otros aspectos comunica: + En el caso objeto de la reclamación nº ***RECLAMACIÓN.1, la contratación comercial se llevó a cabo a través de tercera empresa especializada en este tipo de actividades. + El contrato de suministro eléctrico nº ***CONTRATO.1, correspondiente al punto de suministro sito en (C/...1), Madrid, estuvo en vigor con Endesa Energía desde el 04/02/2015 hasta el 01/05/2015. + Como deferencia comercial y atendiendo a la reclamación, no se ha requerido el pago al titular de ningún importe facturado durante el tiempo de vigencia del contrato. + Adjunta al escrito, copia de la carta de fecha 28/07/215 enviada al domicilio de la denunciante informándole en términos similares a los indicados en los puntos anteriores. Entre la documentación aportada por la compañía, se encuentra copia del escrito “ejercicio del derecho de acceso” formulado por la reclamante ante ENDESA con fecha de registro 19/06/2015, al cual acompaña copia del DNI de la denunciante. RESPECTO A LOS CONTACTOS MANTENIDOS CON LA DENUNCIANTE. ENDESA adjunta pantalla del sistema en la cual se relacionan los contactos mantenidos desde fecha 14/01/2015 hasta 28/05/2015. Cabe destacar los siguientes apuntes: Contacto del 14/01/2015: Motivo “modificación de datos personales”. Contactos del 20/01/2015: Motivos “altas en el cambio de comercializadora”. Contactos del 11/02/2015: Motivos “alta y modificación de la cuenta de domiciliación”. Contacto de 19/02/2015: Se intenta contactar con la denunciante en relación a la venta incorrecta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Contacto de 24/02/2015: Se contacta finalmente con la denunciante en relación a la venta incorrecta. Contactos del 08/04/2015: Motivo “se contacta con la denunciante y se le informa que su reclamación se cerró procedentemente”. Contactos del 08/04/2015: Motivos “baja del contrato y fin de suministro”. >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que EE realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco: dió de alta en su base de datos de clientes los datos personales de la denunciante como titular de contratos de suministros de electricidad y gas que ella no había suscrito ni autorizado, emitiendo posteriormente escritos, facturas y comunicaciones. CUARTO: Con fecha 05/09/16 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EE por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. QUINTO: Fue notificado el acuerdo de inicio a denunciante y denunciada. EE, tras obtener copia del expediente presentó alegaciones y solicitó el archivo del procedimiento al no haber infringido el art. 6.1 de la LOPD. Alega que <<< Que esta parte da por reproducidas y se ratifica íntegramente en las manifestaciones realizadas en su escrito de fecha 11 de diciembre de 2015, donde se daba cumplida respuesta a las cuestiones planteadas por la Agencia en su solicitud de información y donde igualmente se explicaban y detallaban de manera específica las razones que justificaban la actuación de Endesa. … la realidad es que el esposo de la denunciante, según consta en la documentación aportada por Endesa y conforme se desprende de la denuncia efectuada ante la Agencia, es quien realiza la contratación como unidad familiar en el punto de suministro de referencia. Es, por tanto, el esposo de la denunciante quien, teniendo acceso a todos los datos de la misma, acepta y da su consentimiento a la contratación y corrobora los datos de su mujer. Así pues, se ha constatado que Endesa no da de alta el suministro sin la existencia previa de un soporte contractual que lo avala y respalda y que la Agencia parece ignorar, esto es, la copia del contrato formalizado en tableta electrónica donde expresamente acepta y consiente tanto la contratación como la utilización de los datos de su esposa para la prestación del suministro. Adicionalmente, a dicho contrato se acompañaba la copia del DNI del esposo de la denunciante así como la última factura de suministro de energía eléctrica y de gas natural emitida por el suministrador anterior, Gas Natural Servicios SDG, S.A., a nombre de la Sra. A.A.A.. En cuanto al citado DNI, es preciso reseñar que el domicilio señalado en el mismo coincide con la vivienda para la cual se contrató el suministro de energía v donde reside la Sra. A.A.A. conforme consta en el DNI de la interesada según la documentación obrante en el expediente administrativo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Así mismo, la fecha de nacimiento consignada en el contrato es el de la Sra. A.A.A., según la copia de su DNI aportada por ella misma. Por su parte, tanto el número de cuenta bancaria como el número de móvil indicados en el contrato de suministro con mi mandante coincide con los dígitos reflejados en la factura de suministro emitida por su anterior empresa comercializadora de energía v con el móvil facilitado por la Sra. A.A.A. en la reclamación efectuada a mi representada según se acreditaba con las impresiones de pantalla aportadas por Endesa. Por lo tanto, el tratamiento de los datos de la Sra. A.A.A. está amparado en la relación contractual formalizada con Endesa para el suministro de la energía eléctrica v gas natural para la vivienda en la que residía junto a su marido, el Sr. C.C.C.. … Conforme lo anteriormente expuesto y la documentación aportada, es evidente que Endesa contaba con el consentimiento de la titular para la contratación del suministro y, por tanto, para el tratamiento de sus datos y que ha actuado de forma diligente y de buena fe. En este punto, es preciso señalar que Endesa estimó la reclamación de la interesada y anulando el importe de las facturas emitidas con lo que ha disfrutado del suministro de energía eléctrica y gas natural de manera gratuita durante el tiempo en que estuvo en vigor la contratación con mi mandante. >>> SEXTO: Con fecha 07/10/16 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta por y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio. SÉPTIMO: El 20/01/17 por el instructor del procedimiento se emite propuesta de resolución sancionadora consistente en que Que por la Directora de la Agencia Española de Protección de Datos se sancione a Endesa Energía SAU con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la LOPD, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma Notificada la propuesta a la denunciada, EE presenta escrito de alegaciones en el que solicita el archivo del expediente por no haber vulnerado el art. 6.1 de la LOPD. Da por reproducidas y ratifica las anteriores y alega que quien firmó el contrato es el marido de la titular de los datos ante el comercial que visitó la vivienda (reconocido por la denunciante) y quien proporcionó todos los datos y son exactos, debiendo darse por válida la contratación. Que los suministros para la vivienda familiar solo pueden estar a nombre de uno de los cónyuges, aunque ambos sean usuarios de la misma; que en llamad posterior (grabada) confirma que es el cónyuge de la titular, que había sido informado correctamente y ratificaba la contratación; que para confirmar la fecha de nacimiento de la titular que la operadora le requería, le preguntó a su esposa que se encontraba en la vivienda. Que consideran que todo ello les legitimaban para considerar otorgado el consentimiento en el tratamiento subsiguiente. Que estimó la reclamación anulando las facturas y han disfrutado de un suministro gratuito mientras estuvieron en alta hasta la reposición a su antigua comercializadora, siendo responsable de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 tardanza la denunciante. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1 --- 05/01/15, fecha que figura en la fotocopia del formulario que presenta EE para acreditar que la persona denunciante ha solicitado contratación con dicha compañía. En dicho formulario figura: Código TF (****), Código comercial (******), "Le informamos de que su solicitud contratación ha quedado cursada con los siguientes datos: Código ********1, fecha 05-01-2015"; están marcadas las casillas de luz, gas y mantenimiento de gas; a continuación figura como orden de domiciliación un texto que culmina con la "firma cliente luz": rubrica, Fdo: C.C.C., DNI ***NIF.1 cónyuge. (Folio 24) Acompaña a dicho formulario fotocopia del DNI de dicha persona y de las facturas de luz y gas en la compañía Gas Natural Servicios SDG SA a nombre de la denunciante. (Folios 25-30). Igualmente acompaña impresión de las "Condiciones particulares del contrato de energía y/o servicios adicionales" sin fecha y con firmas de C.C.C.. En este formulario figura como titular del suministro de electricidad y gas la persona denunciante con todos sus datos de identidad, fecha de nacimiento y teléfono de contacto (***TEL.1), los datos del firmante como cónyuge, los datos del punto de suministro ((C/...1) <Madrid>) y los CUPS de luz y gas, comercializadora saliente Gas Natural SUR SDG SA, dirección de correspondencia y datos bancarios (***CCC.1). (Folios 22-23) 2 --- Endesa Energía SAU (EE) remite escrito de 20/01/15 dirigido a la persona denunciante (A.A.A., calle (C/...1) <Madrid>) adjuntando "Orden de domiciliación de adeudo directo SEPA" de pago recurrente -cumplimentado con sus datos personales de nombre, apellidos, DNI, domicilio y número de cuenta IBAN-, "que constituye la autorización y expresión de consentimiento proporcionada por usted a Endesa con el fin de permitir a ésta iniciar los cobros de facturas de fluido mediante el cargo en su cuenta tal y como nos solicitó el pasado 20/01/15". Adjuntaba también boletines de seguro de protección de pago (folios 3-8) 3 --- 21/01/15 y 04/02/15, fechas que figura en la base de datos de EE de alta de los contratos de gas y luz –respectivamente- a nombre de la denunciante para la vivienda de su domicilio. Las bajas son de 20/04/15 (gas) y 01/05/15 (luz) por cambio de comercializadora. (Folios 36-37, 20) 4 --- 10/02/15, fecha de la reclamación telefónica (***NÚM.1) efectuada por la denunciante manifestando que no ha firmado ningún contrato ni autorizado a nadie para hacerlo y cambiar de comercializadora, pide que se le envíe grabación de la contratación. En la base de datos queda anotado que al no recibir la documentación solicitada de control de calidad entienden "que se trata de una venta incorrecta porque el contrato fue firmado por el cónyuge". (Folio 33) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 5 --- 18/02/15, fecha de emisión de la factura de EE a nombre de la persona denunciante por el suministro de luz (6,13 €); 19/02/15 de gas (43,51 €); 10/04/15 de luz (119,73 €); 27/04/15 de gas (169,52 €); 04/05/15 de gas (37,96 €); y 10/06/15 de luz (39,60 €). EE afirma que de todas ellas fueron impagadas y el pago fue asumido por la compañía. (Folios 38, 20) 6 --- 08/04/15, en la base de datos queda anotado "Contactamos con cliente, me dice que ha devuelto recibos de Endesa, que ya reclamó y le dijeron que se le cambiaba a GN y no iba a pagar nada a Endesa. Informo que debe contactar con GN para que le repongan el contrato, tiene plazo de 20 días". (Folio 34) 7 --- 19/06/15, EE recibe el escrito de solicitud de ejercicio de derecho de acceso presentado por la denunciante. (Folios 31-32) 8 --- 28/07/15, fecha del escrito de EE, en respuesta a Consumo de la Comunidad de Madrid en relación con la reclamación formulada por la denunciante, comunicando el tiempo de alta del contrato de luz para el domicilio de la denunciante y que habían dado instrucciones para que no se le reclamara ningún importe facturado durante el tiempo de vigencia del contrato. (Folios 10-15, 40-44) FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a EE que ha quedado reflejada en los hechos declarados probados arriba relatados. EE –empresa comercializadora del grupo Endesa- es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio del consentimiento contenido en el artículo 6.1 de la LOPD. Los datos personales de la persona denunciante fueron tratados por EE al tramitar el alta en sus ficheros de los datos personales de la persona denunciante como titular de tres contratos que no había firmado, ni solicitado y emitir facturas a su nombre por el suministro de gas y luz correspondientes a la vivienda de su domicilio. Quien suscribe la solicitud de contratos que da lugar al alta en EE es un tercero -el cónyuge- ante el comercial que cumplimenta el formulario. No se ha aportado copia del DNI de la persona denunciante, ni tampoco del documento de representación que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 autorizaba al firmante para contratar en su nombre y con su consentimiento. No es competencia de esta Agencia decidir sobre la validez de dichos contratos de suministro y si dicha compañía comercializadora. Es competencia de la Agencia determinar si, para el tratamiento de los datos de la persona denunciante, EE disponía de su consentimiento inequívoco o había actuado con la diligencia necesaria para su obtención. No se ha acreditado que lo tuviera. Y los documentos y contactos posteriores no subsanan esa carencia, al contrario, la persona denunciante ratifica su posición de que la compañía carecía de su consentimiento inequívoco. Ha de concluirse que EE ha realizado un tratamiento de datos personales sin la diligencia exigible, a la vista de la prueba documental aportada, para identificar al titular y documentar dicha identidad y la representación de la persona firmante para dicha contratación. El tratamiento efectuado infringe el principio del consentimiento en la normativa de protección de datos. III. La LOPD establece: “Artículo 6. Consentimiento del afectado “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento del afectado para la recogida o tratamiento de los datos personales del mismo es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. Se le hace responsable a EE en el presente procedimiento de una infracción del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (FS. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Carece del consentimiento inequívoco de la persona denunciante el tratamiento efectuado por la comercializadora al tramitar el cambio de compañía, el alta en sus bases de datos y la emisión de factura. EE no ha acreditado motivo, razón o circunstancia que justificara ese tratamiento de datos sin consentimiento de la persona afectada. En este caso los datos personales de la persona denunciante, sin su consentimiento, son usados para cumplimentar un formulario de contratación primero, para darle de alta en el fichero de clientes, gestionar los cambios de compañía y emitir facturas. IV. El artículo 44.3.
4. b)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
5. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. La Audiencia Nacional ha manifestado en su Sentencia de 22/10/2003 que “... la descripción de conductas que establece el artículo 44.3.
6. d)de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos, realizando envíos publicitarios”. En este caso, ha incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. Ha tratado los datos de la persona denunciante sin contar con su consentimiento, lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
7. c)de la citada Ley Orgánica. V. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracciones graves, la sanción que procede imponer a HC Energía debe ser de un importe comprendido entre 40.001 y 300.000 euros. VI. El artículo 45.5 de la LOPD, establece: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
8. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
9. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
10. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
11. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
12. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Pero en el presente caso no se aprecia ninguna de dichas circunstancias VII. El artículo 45.4 de la LOPD, establece: "La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
13. a)El carácter continuado de la infracción.
14. b)El volumen de los tratamientos efectuados.
15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
16. d)El volumen de negocio o actividad del infractor.
17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
18. f)El grado de intencionalidad.
19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Es necesario examinar las circunstancias de aplicación del 45.4. Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que pertenece a un grupo que tiene como actividad la prestación y la facturación de suministros de energía y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene el Grupo, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. (45.4.c)) - En lo que se refiere al volumen de negocio hay que hacer constar que es un hecho notorio que excluye la necesidad de aportar elemento probatorio alguno. Pertenece a uno de los grupos energéticos más importantes de la península ibérica. (45.4.d)) - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos como cliente a la persona denunciante y ordenó el cambio de comercializadora no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a quien a los supervisores de todos ellos. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.f)) - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. (45.4.g)) El balance de todas las circunstancias permite graduar la sanción en un importe de 50.000 € para EE. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Endesa Energía SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
23. b)de la LOPD, una multa 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a Endesa Energía SAU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es