PS-00422-2013

1/9 Procedimiento Nº PS/00422/2013 RESOLUCIÓN: R/00387/2014 En el procedimiento sancionador PS/00422/2013, instruido por la Agencia Española de Protección de Datos a la entidad Iberdrola Comercialización de Último Recurso SAU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28 de septiembre de 2012 tiene entrada en esta Agencia un escrito de A.A.A. (denunciantes) en el que denuncian a Iberdrola Comercialización de Último Recurso SAU (Ibercur) porque tiene contratado el suministro de electricidad con dicha compañía, al igual que lo tenía el anterior propietario de la vivienda. Reciben en su domicilio las facturas en papel correspondientes al citado suministro, del que es titular A.A.A., y el anterior propietario recibe también una copia de dicha factura por correo electrónico. Tanto ellos como el anterior propietario han contactado varias veces con Ibercur solicitando el cese del envío de la factura por correo electrónico SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección realizan actuación inspectora en la sede social de Ibercur, levantándose el acta correspondiente. Dichas actuaciones previas terminan con el informe de Inspección. TERCERO: De todo lo actuado en las actuaciones previas de investigación se concluyó, salvo prueba en contrario, que Ibercur, como responsable del fichero, vulneró el deber de secreto que le incumbía a tenor del artículo 10 de la LOPD al comunicar a una persona distinta a la titular del contrato, facturas con los datos personales del titular del contrato. CUARTO Con fecha 02/01/13 por el Director de la Agencia Española de Protección de Datos se acuerda iniciar procedimiento sancionador a Iberdrola Comercialización de Último Recurso SAU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 10 de dicha norma, tipificada como grave en el artículo 44.3.

1. d)de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio a IBERCUR, formula alegaciones y solicita la el archivo del expediente y con carácter subsidiario la sanción mínima de la escala de las leves por la aplicación del 45.5 y 4 de la LOPD. Alega que: 1 -- El error administrativo origen del procedimiento sancionador fue un caso puntual, con una causa identificada y fue debido a un error administrativo. 2 – El error no ha causado daño al afectado, con tratamiento de algunos datos básicos ya conocidos por el tercero, sin beneficio para Ibercur. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 3 – Tiene implementadas todas las medidas de seguridad exigidas en el reglamento de la LOPD. 4 – Existencia de disminución cualificada de la culpabilidad de la compañía y antijuricidad de los hechos. SEXTO: Con fecha 07/10/13 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, junto con los documentos generados en las actuaciones previas de Inspección y las alegaciones de la imputada. Se requiere a denunciantes que aporten documentos sobre los hechos. La persona denunciante aporta los documentos que le fueron solicitados. SEPTIMO: Con fecha 16/01/14, el Instructor del Procedimiento formuló propuesta de resolución sancionadora consistente en Que por el Director de la Agencia Española de Protección de Datos se sancione a Iberdrola Comercialización de Último Recurso SAU por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha norma, una multa de 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. OCTAVO: La propuesta le fue notificada a Ibercur y presentó alegaciones. Solicitó la aplicación del 45.5.
3. d)de la LOPD por el reconocimiento espontaneo de culpabilidad y el importe mínimo de la sanción del tramo de las leves en aplicación del 45. 4 de la LOPD. Alega que fue un acto puntual de un error administrativo, que únicamente se revelaron datos de nivel básico y que el destinatario ya conocía por la relación que le unía con los denunciantes. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1. 24/09/09, fecha de la suscripción del servicio de duplicado de factura por F.F.F. (DNI I.I.I., H.H.H.) que permanece en alta a la fecha -04/04/13- del Acta de Inspección incorporada al procedimiento. El servicio consiste en remitir una copia de la factura por correo electrónico además de la copia en papel remitida al domicilio. (folios 13-15, 27) 2. 22/03/11, se produce el cambio de titular del contrato de suministro eléctrico a la vivienda E.E.E.. Hasta ese momento el titular era F.F.F. (DNI I.I.I.) y a partir de esa fecha es A.A.A., DNI D.D.D.. Así consta en el fichero de clientes de IBERCUR, reflejado en el Acta de Inspección incorporada al procedimiento. (folios 13-15, 22-25, 31) 3. 23/05/12, los denunciantes envían a IBERCUR el siguiente mensaje: “”De: ‘ A.A.A.”‘ G.G.G.> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Enviado el miércoles, 23 de mayo de 2012 21:37 Para: “..........@ibordrola.es” <..........@ibordrola.es> Asunto: INCIDENCIA: Factura enviada a persona ajena al contrato Buenas tardes: Les ruego que se hagan cargo de la siguiente incidencia que les comento a continuación sobre el servicio de electricidad que tengo contratado con lberdrola: Referencia del contrato: ***CONTRATO.1 Los datos que tiene Iberdrola para la facturación son correctos. La dirección postal es correcta, el nombre del titular (que es mi marido) es correcto y el n° de cuenta donde me Yo recibo en papel la factura sin ningún problema. Ahora bien: el anterior inquilino de este piso recibe un duplicado de mi factura. He llamado a atención al cliente y me dicen que debo contactar con el servicio técnico electrónico para que solucionen el problema. Espero una respuesta por su parte para informarme de por qué sucede esto y qué es lo que tienen que hacer para arreglar el problema. Cordialmente, A.A.A. ***TEL.1.”” Al día siguiente y por el mismo medio arrastrando el correo anterior, le piden que les indique cuál es su número de contrato. Los denunciantes remiten otra vez el dato solicitado añadiendo todos los demás datos de identidad, domicilio y teléfono de contacto. IBERCUR responde que se envía a la dirección señalada para ese fin. (folios 7-8, 20-21, 69-75, 86-88, 95-97) 4. 17/07/12, los denunciantes envían a IBERCUR el siguiente mensaje: De: ‘ A.A.A.’ < G.G.G.> Enviado el: martes, 17 de julio de 2012 10:30 Para: ‘………..@iberdrola.com” <……..@iberdrola.com> Asunto: Re: EMAIL ID; ***** / INCIDENCIA; Factura enviada a persona ajena al contrato Buenos días; La incidencia que les comenté hace dos meses sigue sin solucionarse. HAY UNA PERSONA TOTALMENTE AJENA AL CONTRATO DE REFERENCIA QUE ESTÁ RECIBIENDO C C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Nos hemos puesto en contacto varias veces tanto yo como la persona que esté recibiendo estos duplicados de factura para advertirles de la situación y solicitar la cancelación de el Por favor, dejen de enviar duplicados de MIS facturas a Otras personas que nada tienen que ser conmigo. Si esta situación se mantiene así, no me queda otra opción que tomar otro Atentamente, A.A.A.. “” Después de un intercambio de mensajes Ibercur mantiene su respuesta inicial: “las facturas las recibe a través del correo postal y a la dirección de correspondencia del punto de suministro”. (folios 7, 20, 89-94) 5. 09/08/12, IBERCUR emite una factura por el consumo de electricidad del periodo 10/07 a 09/08 suministrado a la vivienda propiedad de los denunciantes A.A.A.. El contrato (***CONTRATO.1) y la factura (***FACTURA.1) está a nombre de A.A.A., DNI D.D.D. y dirigida a su dirección postal. (folios 3-4, 18-19) 6. 10/08/12, IBERCUR remite a la dirección de correo electrónico de F.F.F. (DNI I.I.I.) el siguiente mensaje: “De: ..........@ibordrola.es Fecha: 10 de agosto de 2012 04:57:41 GMT-’-02:00 Para: H.H.H. Asunto: Factura: ***FACTURA.1 Estimado/a ***NOMBRE.1, De acuerdo a su solicitud, le adjuntamos duplicado de la factura ***FACTURA.1 correspondiente al contrato ***CONTRATO.1. Gracias a este nuevo servicio, ahora ya puede recibir su factura de una forma cómoda, rápida y sencilla; es una ventaja más de nuestra oficina virtual, que como sabe le permite realizar todas sus gestiones relacionadas con el suministro eléctrico dónde y cuándo usted prefiera. ¡Usted decide! Conectándose a www.iberdrola.com pronto podrá descubrir nuevos e interesantes servicios, porque en IBERDROLA trabajamos para hacer que su vida sea, cada día, MAS FACIL. Si tiene cualquier duda o sugerencia no dude en ponerse en contacto con nosotros a través de la dirección www.iberdrola.com o llamando al teléfono del cliente 902******. Agradeciendo su colaboración, reciba un cordial saludo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 IBERDROLA.” Ese mismo día el mensaje es reenviado por el destinatario con la factura adjunta a los denunciantes, verdaderos titulares del contrato (folios 1, 5, 16) 7. 04/04/13, fecha del acta de la Inspección de Datos donde se hace constar que, una vez verificada la suscripción al servicio de duplicado de factura por correo electrónico del anterior propietario, los representantes de Ibercur proceden a darlo de baja con esa misma fecha. (folio 15) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. IBERCUR es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio del deber de secreto contenido en el artículo 10 de la LOPD. Las personas denunciantes mantenían con IBERCUR una relación contractual de suministro de energía. El consumo daba lugar a la emisión de facturas. La factura en papel era remitida a la dirección postal del titular del contrato. Por correo electrónico IBERCUR remitía una copia de esa factura al antiguo titular del contrato, que lo comunicaba a los denunciantes. Estos hicieron diversa reclamaciones por correo electrónico a la compañía pero esta siguió enviado las facturas de los denunciantes al anterior titular. En conclusión, IBERCUR ha realizado un tratamiento de los datos personales de la persona denunciante, comunicándoles a un tercero infringiendo el principio de deber de secreto exigido. III El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 El deber de secreto profesional que incumbe a “el responsable del fichero y a quienes intervengan en cualquier fase del tratamiento…”, recogido en el artículo 10 de la LOPD, comporta que éstos no puedan revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de marzo, y por lo que ahora interesa, comporta que los datos tratados automatizadamente no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el presente caso partimos del hecho de que datos personales de un cliente de IBERCUR, contenidos en las facturas del consumo de electricidad de su casa han sido comunicados a una tercera persona sin tener el consentimiento de la persona titular de los datos (hoy denunciante). La actuación es imputable a la entidad denunciada, que incurre en una infracción al deber de secreto que exige el artículo 10 de la LOPD. IBERCUR debe tener en cuenta su obligación de guardar y proteger los datos de sus clientes. Los datos personales de la persona denunciante llegaron a poder de tercera persona. El hecho indica que el responsable del fichero incumplió su deber de secreto a través de la acción, omisión o negligencia de algunos de sus empleados. IV El artículo 44.3.
5. d)de la LOPD establece que es infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” Los datos personales contenidos en los mensajes y facturas adjuntas a los que tuvo acceso el tercero destinatario del mismo están incorporados a un fichero de clientes de la sociedad imputada. Sobre los cuales la imputada tenía el deber de guardar secreto que exige el artículo 10 de la LOPD. V. El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “ euros. 1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. IBERCUR pretende la aplicación del artículo 45.5.
21. d)de la LOPD al reconocer la responsabilidad en los hechos constitutivos de la infracción. Pretensión que debe ser atendida. Alega que la causa es un error administrativo ajeno a su voluntad, y que los datos revelados eran de conocimiento del destinatario por la relación entre este y los denunciantes, que habían comprado a aquel. Se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves. Ha de tenerse en cuenta para la graduación de la sanción especialmente el tiempo transcurrido desde la primea reclamación de los denunciantes, 23/05/12, hasta que dan de baja el servicio de envío de copia de facturas por correo electrónico, 04/04/13, con motivo de la Inspección efectuada en sus oficinas. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de la misma, en aplicación del principio de proporcionalidad, procede la imposición de multa por importe de 20.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Iberdrola Comercialización de Último Recurso SAU, por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
22. d)de dicha norma, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Último Recurso SAU y a A.A.A.. Iberdrola Comercialización de TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es