PS-00408-2016

1/7 Procedimiento NºPS/00408/2016 RESOLUCIÓN:R/03238/2017 En el procedimiento sancionador PS/00408/2016, instruido por la Agencia Española de Protección de Datos a la entidad EDP COMERCIALIZADORA, S.A.U, vista la denuncia presentada por D. C.C.C., y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 08/01/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. C.C.C. (en lo sucesivo, el denunciante) en el que expone que NATURGAS ENERGÍA COMERCIALIZADORA, S.A.U., cuya actual denominación social es EDP COMERCIALIZADORA, S.A.U., ( en lo sucesivo, EDP o la denunciada), con quien no tiene contratado ningún servicio, ha incluido sus datos personales en el fichero ASNEF asociados incorrectamente a una deuda que no le pertenece. Añade que ejerció el derecho de cancelación de sus datos tanto ante la entidad denunciada como ante el fichero en el que han sido incluidos haciendo ambos caso omiso a su solicitud. Aporta copia de la denuncia policial presentada el 05/01/2014 en la que declaró que sospecha que el inquilino de un inmueble de su propiedad fue quien suscribió el contrato de suministro de gas a su nombre y sin su consentimiento, toda vez que el inicio y fin del contrato coincide con el tiempo en que esa persona fue arrendataria de la vivienda. Declaró también que personado en el Banco de Santander para conocer por qué no puede realizar ninguna operación de financiación le comunican que sus datos han sido incluidos en el fichero ASNEF. Estos hechos dieron lugar a la apertura por la AEPD de Actuaciones de Investigación Previa identificadas con la referencia E/2038/2015 y, posteriormente, al acuerdo de 29/12/2015, de la Directora de la Agencia, de apertura del procedimiento sancionador PS/723/2015. La entidad invocó en sus alegaciones al acuerdo de inicio del PS723/2015 (alegaciones que tuvieron entrada en el Registro de la AEPD el 25/01/2016) la caducidad de las actuaciones previas de inspección. El citado expediente sancionador, PS/723/2015, finalizó mediante resolución de la Directora de la AEPD de fecha 15/04/2016 en la que acordó declarar la caducidad de las actuaciones previas correspondientes al E/2038/2015, archivar el procedimiento sancionador iniciado contra NATURGAS (PS/723/2015) por una presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la LOPD y, habida cuenta de que las presuntas infracciones atribuidas a NATURGAS no habían prescrito, practicar nuevas actuaciones de investigación en el marco del expediente E/1738/2016. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones de investigación encaminadas a su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 esclarecimiento, teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIOES PREVIAS Con fecha 3/11/2015 los representantes de Naturgas aportan copia de un contrato suscrito a nombre de C.C.C. pero no adjuntan copia del DNI ni de consentimiento del titular para la contratación de este servicio. En el campo titular de pago consta A.A.A.. La entidad recibió una reclamación en fecha 16/02/2015 efectuada ante la Dirección General de Consumo de la Comunidad de Madrid dando respuesta en fecha 18/02/2015 comunicando que las facturas están anuladas y no hay ninguna deuda pendiente. En el fichero Asnef consta que la fecha de alta del incidente de 227,06 € comunicado por Naturgas es 21/11/2013 y la fecha de baja 13/11/2014. En el fichero de contactos de la entidad figura que con fecha 19/11/2014 se recibe en Naturgas escrito del reclamante que anexa denuncia de la policía. Con fecha 12/01/2015 se recupera el contrato del archivo y se determina que la que firmó el contrato es A.A.A. manteniendo el mismo titular que constaba en la compañía anterior. Así mismo se comprueba que no disponen de copia del DNI ni de grabación. Con fecha 13/01/2015 se procede a la anulación de las facturas pendientes. Con fecha 25/01/2016 el representante de EDP COMERCIALIZADORA, S.A.U.,anteriormente NATURGAS ENERGÍA COMERCIALIZADORA SAU -acompaña escritura de cambio de denominación social, con domicilio en (C/...1), y con C.l.F. ***CIF.1.>> TERCERO: Con fecha 13/09/2016 , la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EDP COMERCIALIZADORA, S.A.U., por presuntas infracciones de los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como infracciones graves en los artículos 44.3

1. b)y 44.3 c), respectivamente, pudiendo ser sancionada cada una con multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, EDP, mediante escrito presentado por Correo administrativo el 30/09/2016, que tuvo entrada en la AEPD el 04/10/2016, formuló alegaciones en las que solicitó que se dictara resolución de archivo fundada en la caducidad de las actuaciones previas y, subsidiariamente, se acordara el archivo con fundamento en que la actuación de EDP fue ajustada a Derecho, no incurrió en infracción alguna de la LOPD y no realizó tratamiento alguno de los datos personales del denunciante. - C/ Jorge Juan, 6 28001 – Madrid Se refiere en primer término la denunciada a la caducidad de las actuaciones previas. A propósito de esta cuestión argumenta que aunque la Resolución de 15/04/2016, que acordó el archivo del PS 723/2015 por haber caducado las actuaciones previas, ordenó que se www.agpd.es sedeagpd.gob.es 3/7 - - - abrieran nuevas actuaciones de investigación en el marco del E/1738/2016, “ninguna comunicación recibió mi mandante en relación con dichas Actuaciones Previas hasta que ahora se le notificó el inicio del presente expediente sancionador”. Y añade que la AEPD no ha llevado a cabo ninguna actuación de investigación previa en el marco del E/ 1738/2016 razón por la cual, a su juicio, al amparo del artículo 122.4 del RLOPD, las actuaciones previas habrían caducado. Menciona en tal sentido diversas Sentencias de la Audiencia Nacional que anula resoluciones de la AEPD por transcurso del plazo de caducidad: SAN 09/04/2013 (Rec. 8/2012); 17/06/2014 (Rec. 273/2013); 13/02/2015 (Rec. 301/2013), 19/07/2013 (Rec.233/2012) Respecto a las infracciones de la LOPD que se le imputan, EDP niega su comisión y argumenta que “actuó en todo momento de acuerdo con la normativa aplicable, (….) y en todo caso de buena fe, con la debida diligencia y cuidado y observando la prudencia oportuna” todo ello “en el contexto temporal en el que nos encontrábamos”, año 2011, cuando “los protocolos de seguridad establecidos por las distintas compañías … no eran, ni de lejos, tan exhaustivos, complejos y garantistas como lo son hoy en día” Destaca que hasta transcurridos tres años desde realizada la contratación, noviembre de 2014, no recibe la primera reclamación del denunciante. Explica que la labor comercial para la captación de clientes se llevó a cabo a través de un contrato suscrito en 2011 con una empresa externa, Redes de Campo, S.L... Invoca la normativa sectorial, el Real Decreto 1434/2002 y el acceso legítimo a la Bases de Datos de puntos de suministro para concluir que “el conjunto de datos que figuran en el contrato se obtuvieron –por EDP y por otras comercializadoras – de esta base de datos y al amparo de la normativa sectorial…”. Subraya que en la fecha de la contratación la normativa vigente no permitía realizar simultáneamente un cambio de comercializadora y un cambio de titularidad del suministro, por lo que el cambio de aquella se efectuaba manteniendo al titular pero incluyendo los datos del usuario como “titular del pago”. Niega haber ocasionado perjuicios al denunciante con su conducta y considera que es la entidad la perjudicada. A su juicio los hechos serían encuadrables en los artículos 1888 a 1894 del Código Civil. QUINTO: Con fecha 29/12/2016, de conformidad con lo prevenido en el artículo 17.1 del R.D. 1389/1993, se abrió un periodo de prueba acordando practicar las siguientes diligencias probatorias 1. Se da por reproducida a efectos probatorios la denuncia interpuesta por C.C.C. y su documentación; los documentos obtenidos por la Inspección de Datos de la AEPD ante ASNEF EQUIFAX, S.L., relativos a las incidencias informadas al fichero ASNEF asociadas al NIF del denunciante, así como los obtenidos ante EDP COMERCIALIZADORA, S.A.U. (anteriormente NATURGAS ENERGÍA COMERCIALIZADORA SAU); documentos todos ellos que integraban el expediente de investigación E/2083/2015. 2. Asimismo, se da por reproducida a efectos de prueba la resolución dictada por la AEPD en el PS 723/2015, en el que se declararon caducadas las actuaciones citadas y el archivo del expediente sancionador y se ordenó la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 práctica de nuevas actuaciones en el marco del E/01738/2016. 3. Finalmente, se dan por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del PS/00408/2016 presentadas por EDP COMERCIALIZADORA, S.A.U., y la documentación que a ellas acompaña. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO: D. C.C.C., con DNI E.E.E., manifestó en escrito de 31/12/2014, que tuvo entrada en la AEPD el 08/01/2015, que EDP le atribuye una deuda inexistente, pues nunca ha sido cliente de esa entidad, y ha incluido sus datos personales en un fichero de morosidad. (Folios 1 y 2) SEGUNDO: D. C.C.C. interpuso denuncia en una Comisaría de la Policía Nacional el 05/11/2014, en la que se personó en compañía de su esposa por ser ambos copropietarios de la vivienda sita en Madrid, calle D.D.D., que estuvo arrendada desde el año 2006 y que en 11/08/2011 fue arrenda a D. F.F.F.., quien permaneció en la vivienda hasta el 30/11/2012. Declaró que la vivienda tenía contratado el suministro de gas con Gas Natural. Que personado en su entidad bancaria, BANCO SANTANDER, con el objeto de comprobar el motivo por el que no podía realizar ninguna operación de financiación le comunicaron que sus datos estaban incluidos en el fichero de morosidad ASNEF y tras varias gestiones tuvo noticia de que existía una deuda pendiente a su nombre con NATURGAS por importe de 227,06 euros (Folios 10 y 11) TERCERO: El denunciante presentó reclamación ante la denunciada por correo certificado con acuse de recibo, que fue recibida por EDP el 10/11/2014. En ella solicita que se anule la facturación emitida a su nombre correspondiente a la vivienda sita en Madrid, calle D.D.D., pues ni ha contratado ni ha consentido la contratación habiéndose producido una suplantación de personalidad y que se proceda a dar de baja sus datos de los ficheros de solvencia patrimonial (Folios 12 y 13) CUARTO: El denunciante ejercitó el derecho de acceso ante EQUIFAX IBÉRICA, S.L., en fecha 03/10/2014. La entidad respondió el 27/10/2014 que sus datos habían sido incluidos en el fichero por NATURGAS, con fecha de alta 21/11/2013, por un saldo deudor de 227,06 euros (Folios 9 y 12) QUINTO: EQUIFAX IBÉRICA, S.L., informó a la Inspección de Datos que NATURGAS había comunicado al fichero, vinculado al DNI del denunciante, una incidencia por un saldo deudor de 227,06 euros, con fecha de alta 21/11/2013. La incidencia se dio de baja en fecha 13/11/2014. (Folios 35, 29,30) SEXTO: EDP, en respuesta al requerimiento de la Inspección de Datos, no ha aportado copia del DNI ni pasaporte o cualquier otro documento acreditativo de la identidad del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 SÉPTIMO: EDP, en respuesta al requerimiento de la Inspección de Datos, aportó copia del contrato en el que constan los datos del denunciante como titular (nombre y dos apellidos y DNI) para el punto de suministro de la vivienda sita en calle D.D.D.. La contratación se efectuó a través de la empresa de venta externa Madrid Redes de Campo, S.A., en fecha 01/06/2011 (Folio 49) OCTAVO: En el formulario del contrato que EDP aportó consta como “Titular del pago” “ B.B.B.” y un NIF que no coincide con el del denunciante. (Folio 72) NOVENO: EDP aportó una impresión de pantalla de sus ficheros en la que figuran los datos personales del denunciante (nombre, apellidos y NIF) asociados a un contrato de suministro de gas para la vivienda antes citada (Folio 96) NOVENO EDP recibió el 16/02/2015 a través de la Dirección General de Consumo de la CCAA de Madrid la reclamación formulada por el denunciante el 08/01/2015 con la que se le daba traslado de la copia de la denuncia policial y del acceso solicitado por el denunciante ante EQUIFAX IBÉRICA, S.L. Respondió el 18/02/2015 que se habían anulado las facturas emitidas al denunciante (Folios 74, 94 y 95) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). II El artículo 48 de la LOPD dispone en su apartado 3 que “Los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, tendrán una duración máxima de seis meses.” Paralelamente, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD) , señala en su artículo 128: “1. El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación. 2. El vencimiento del citado plazo máximo, sin que se haya dictada y notificada resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones”. La Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Públicas (LPACAP) en su artículo 84 establece: “1. Pondrán fin al procedimiento la resolución, el desistimiento, la renuncia al derecho en que se funde la solicitud, cuando tal renuncia no esté prohibida por el ordenamiento jurídico, y la declaración de caducidad”. Es preciso poner de manifiesto, al hilo de lo anterior, que el volumen de denuncias que esta Agencia recibe y que está obligada a tramitar, muchas de las cuales desembocan en la apertura de expedientes sancionadores, continúa incrementándose anualmente sin que, paralelamente, los medios humanos disponibles para atender los asuntos de su competencia se incrementen, más bien, al contrario, lo que ha generado en ocasiones situaciones en las que no ha sido posible dar curso en plazo a las actuaciones procedimentales oportunas, generando así la indeseada caducidad del expediente. III A tenor de la exposición precedente, y toda vez que el acuerdo de inicio del PS/00408/2016 se firmó por la Directora de la Agencia Española de Protección de Datos el 13/09/2016, tomando en consideración que en fecha 13/03/2017 –cuando se cumplía el plazo de duración máxima del procedimiento que contempla la Ley (ex artículo 48 LOPD)- no se había dictado resolución sancionadora, procede declarar la caducidad del citado expediente sancionador. En el presente caso, las presuntas infracciones atribuidas a EDP COMERCIALIZADORA, S.A.U., habrían prescrito en fecha 27/10/2017, estando en curso el procedimiento cuya caducidad se declara, por lo que no cabe, al amparo del artículo 95.3 LPACAP, la apertura de un nuevo procedimiento sancionador por los mismos hechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la caducidad del procedimiento sancionador PS/00408/2016, seguido frente a EDP COMERCIALIZADORA, S.A.U, por haber transcurrido el plazo máximo de duración del procedimiento sin que se haya dictado resolución, de conformidad con los artículos 48.3 de la LOPD y 128.2 del RLOPD, lo que pone fin al procedimiento referenciado, tal y como señala el artículo 84.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. SEGUNDO: NOTIFICAR la presente resolución a EDP COMERCIALIZADORA, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es