← España

PS-00437-2016

1/12 Procedimiento Nº PS/00437/2016 RESOLUCIÓN: R/00445/2017 En el procedimiento sancionador PS/00437/2016, instruido por la Agencia Española de Protección de Datos a la entidad IBERDROLA CLIENTES S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 16/09/2015 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en adelante, el denunciante), en el que manifiesta que: 1. El 23 de julio de 2014 solicitó a IBERDROLA CLIENTES S.A.U. (en adelante IBERDROLA), no recibir en adelante comunicaciones comerciales de la entidad. La solicitud fue contestada por IBERDROLA mediante escrito de 29 de julio de 2014 en el que se le informaba de que se atendería su solicitud. 2. A pesar de lo expuesto y que, desde junio de 2014, que no es cliente de IBERDROLA, ha recibido en fecha reciente una comunicación postal comercial de la entidad. Junto con el escrito de denuncia se aporta copia de la respuesta a la solicitud realizada y del exterior del sobre recibido por el denunciante. La Directora de la AEPD resolvió en fecha 29/01/2016 no incoar actuaciones inspectoras al considerar que el denunciante no había aportado evidencias de las que probase que el envío se había realizado con fecha posterior a su solicitud de oposición. El 15 de febrero de 2016 tiene entrada un recurso de reposición del denunciante en el que, además de reiterarse en los hechos descritos previamente, manifiesta que: - La comunicación comercial postal que recibió el verano de 2015 “Contrata la luz de tu segunda vivienda” finalizaba el 15 de septiembre y la campaña homologable actual expira el 15 de abril de 2016. - La diferencia en la puerta del domicilio al que iba dirigida la comunicación se debía a un error de IBERDROLA, pero el sobre contenía en la solapa su nombre y apellidos. Se aporta copia de la factura emitida el 3 de julio de 2014 con los consumos realizados hasta el 1 de julio de 2014 y en la que entre los puntos de atención más cercanos no figura el indicado en el escrito recibido en 2015 ((C/...1) Madrid). El denunciante infiere que la apertura del punto de información es posterior a su baja como cliente. El 2 de marzo de 2016 la Directora de la Agencia Española de Protección de Datos resuelve estimar el recurso interpuesto por el denunciante y ordena la apertura de las actuaciones previas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la IBERDROLA, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones previas de inspección E/977/2016 que se transcribe: “ACTUACIONES PREVIAS 1. El escrito de 29 de julio de 2014 remitido por IBERDROLA al denunciante informa de que han “...procedido a realizar dicha cancelación… Una vez finalizada la relación con contractual, los datos quedan únicamente disponibles para el cumplimiento de las obligaciones legales de conservación de datos…” 2. En los sistemas de IBERDROLA el denunciante consta como cliente del suministro de electricidad con fecha de alta 21 de abril de 2014 y de baja 1 de julio de 2014. La dirección que consta vinculada al denunciante es (C/...2) Madrid. 3. Al ser fotocopiado el sobre para aportar la copia como evidencia, la copia se oscureció de tal forma que si bien la mayor parte del texto que figura es legible, el texto de la esquina inferior izquierda de la parte trasera no lo es completamente. IBERDROLA aporta copia en color del modelo utilizado para maquetar los sobres y la transcripción del texto, que informa de que los datos utilizados para el envío fueron “…obtenidos de la base de datos de puntos de suministro (SIPS) de su empresa distribuidora…”. El mismo párrafo informa al receptor de la comunicación de la posibilidad de ejercer los derechos reconocidos por la LOPD (Ley Orgánica de Protección de Datos) ante la empresa distribuidora. 4. IBERDROLA aporta impresión de la información que constaba en el SIPS a 17 de julio de 2014 sobre el denunciante, que coinciden con los utilizados en la comunicación comercial. 5. IBERDROLA manifiesta que la legislación vigente (Ley 24/2013 del Sector Eléctrico, RD1435/2002 y Orden ITC/3860/2007) la habilitan para acceder a los datos contenidos en el SIPS y tratarlos con finalidades de promoción comercial. Se aporta copia del informe jurídico 21/2008 (“Tratamiento de datos en la base de datos de puntos de suministro”) en el que se argumenta que la cesión de los datos por parte de las empresas distribuidoras a las comercializadoras es habilitada por la Ley 54/1997 (derogada por la Ley 24/2013) que persigue garantizar la libre competencia. 6. IBERDROLA realiza una selección inicial de puntos de suministro incluidos en el SIPS que no fueran clientes de la entidad y que tuvieran alta probabilidad de ser una segunda vivienda. Del fichero obtenido se excluyen los registros de las personas incluidas en el fichero de exclusión común de tratamientos publicitarios “Lista Robinson”. A IBERDROLA no le consta que el denunciante esté o haya estado incluido en el fichero. 7. IBERDROLA atiende la solicitud de cancelación de datos realizada por el denunciante y la resuelve, tal y como informó a través del escrito de 29 de julio de 2014. La entidad considera que, dado que los datos para el envío se obtuvieron de un fichero distinto (SIPS) ha cumplido escrupulosamente con sus obligaciones legales.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 TERCERO: Con fecha 26 de septiembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a IBERDROLA, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada, con multa de 40.001 € A 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, IBERDROLA formuló escrito de alegaciones en el que solicita: - aplicación del artículo 45.5.
  2. d)de la LOPD al reconocer el error administrativo consistente en el envío de una comunicación postal con contenido comercial al denunciante con posterioridad a su solicitud de oposición a recibir comunicaciones comerciales. - Aplicación del artículo 45.4 de la LOPD: o o o o o o o o Se envió una única comunicación (apartado.
  3. a)El envío afectó a un único cliente (apartado
  4. b)o La actividad de la empresa es la comercialización de gas y electricidad, no el tratamiento de datos para su explotación comercial (apartado
  5. c)La infracción no ha supuesto ningún beneficio (apartado
  6. e)Ausencia de intencionalidad (apartado
  7. f)IBERDOLA no ha sido sancionada por infracciones de la misma naturaleza (apartado
  8. g)No se han causado perjuicios (apartado h). Existían procedimientos adecuados para la recogida y tratamiento de datos personales (apartado
  9. i). No se han efectuado más denuncias o reclamaciones por hechos como el presente (apartado
  10. j)QUINTO: En fecha 03/02/2017 se formuló propuesta de resolución en el sentido de imponer a IBERDROLA una multa de 10.000 € por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  11. b)de dicha norma. SEXTO: Notificada la propuesta IBERDROLA solicita que se imponga la sanción mínima de 900 € al tratarse de una única incidencia que ha afectado a un único cliente. HECHOS PROBADOS PRIMERO: En los sistemas de IBERDROLA constan los datos personales del denunciante (nombre y apellidos) como cliente del suministro de electricidad con fecha de alta 21 de abril de 2014 y de baja 1 de julio de 2014. La dirección que consta vinculada al denunciante es (C/...2) Madrid y la identificación de punto de suministro (CUPS) ES *************. SEGUNDO: Consta en el expediente copia de carta de fecha 29/07/2014 remitida por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 IBERDOLA al denunciante en el que se le informa de lo siguiente: “Atendiendo a su petición recibida el día 23 de julio, en la que nos expresa, al amparo del art. 16 de la L.O. 15/1999, de Protección de Datos de carácter personal, el deseo de cancelar sus datos contenidos en nuestro fichero, le informamos que hemos procedido a realizar dicha cancelación y que únicamente nos constan en el mismo los datos necesarios para el cumplimiento de la relación contractual que ha mantenido con Iberdrola. Una vez finalizada esta relación contractual, los datos quedan únicamente disponibles para el cumplimiento de las obligaciones legales de conservación de datos a efectos de reclamaciones y fiscales, hasta que proceda su cancelación definitiva, una vez transcurridos los plazos previstos en la normativa vigente. Asimismo le informamos que no se cederán los datos relativos a su persona que se encienten en nuestros ficheros a cualquier otra empresa o entidad, con la excepción de aquellas cesiones que sean obligadas por Ley. Además, le informamos que sus datos no serán tratados para comunicaciones publicitarias.” TERCERO: En fecha 08/07/2015 el denunciante recibió una comunicación comercial de IBERDROLA remitida por vía postal en la que se hacía constar su nombre y apellidos y dirección (C/...2) Madrid. En la comunicación se le informaba del origen de los datos utilizados para el envío en el siguiente sentido: “Datos de contacto obtenidos de la base de datos de puntos de suministro (SIPS) de su empresa distribuidora (Ley 24/2013 y RD 1435/2002). Puede ejercer los derechos de la LO 15/1999, o prohibir la difusión de los datos que señale enviando un escrito a la empresa distribuidora, cuya dirección puede consultar en www.minetur.gob.es y www.cnmc.es..” CUARTO: IBERDROLA aportó impresión de la información sobre el denunciante que constaba en la base de datos de puntos de suministro (SIPS) en julio de 2015 que coinciden con los utilizados en la comunicación comercial (nombre y apellidos del denunciante, domicilio (C/...2) Madrid), en relación con el punto de suministro identificado con el CUPS ES *************. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  12. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. El presente procedimiento se circunscribe a determinar si el tratamiento de los datos personales del denunciante contenidos en la base de datos de punto de suministro (SIPS) efectuado por IBERDROLA para enviarle una comunicación comercial en fecha 08/07/2015 es acorde a la normativa de protección de datos, tomando en consideración que, tras la solicitud de cancelación de datos efectuada por el denunciante, IBERDROLA en fecha 29/07/2014 le confirmó que sus datos no serán tratados para comunicaciones publicitarias En este punto cabe señalar que la cesión de los datos por los distribuidores de energía y el posterior tratamiento de los mismos por parte de los comercializadores del sector energético se encuentra habilitada en la Ley 54/1997, de 27 de diciembre, del Sector Eléctrico y en la Ley 34/1998, de 7 de octubre, del Sector de Hidrocarburos. De acuerdo con lo anterior, los datos personales de los usuarios pueden obtenerse de las bases de datos de puntos de suministro. Las entidades del sector, deben contar con una base de datos denominada Sistema de Información de Puntos de Suministro (SIPS) que contiene una serie de datos personales de los titulares de los puntos de suministro de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 gas y electricidad. De hecho, el artículo 7 del Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, en su redacción vigente hasta el 05/12/2015 disponía lo siguiente: “Las empresas distribuidoras deben disponer como soporte del sistema de intercambio de información de una base de datos referidos a todos los puntos de suministro conectados a sus redes y a las redes de transporte de su zona, permanentemente completa y actualizada, en la que consten al menos los siguientes datos relativos al punto de suministro: (…) Nombre y apellidos, o en su caso denominación social y forma societaria, del titular del punto de suministro. (…) Las empresas distribuidoras deberán garantizar el acceso a las bases de datos de puntos de suministro a través de medios telemáticos. En particular, las empresas distribuidoras deberán contar con los medios necesarios para que cualquier comercializador o la Oficina de Cambio de Suministrador…pueda descargar y proceder al tratamiento de los datos referidos a la totalidad de los puntos de suministro conectados a las redes del distribuidor y a las redes de transporte de su zona, así como llevar a cabo una selección detallada de los puntos de suministro respecto a los cuales quiere acceder a sus datos, en función de las diferentes categorías de datos que componen las citadas bases.” Por tanto si bien los comercializadores están legalmente habilitado para acceder a los datos personales contenidos en la base de datos de punto de suministro, en este caso IBERDROLA accedió a la misma y obtuvo los datos del denunciante y los trató con la finalidad de enviarle una carta comercial obviando que éste había solicitado la cancelación de sus datos y la entidad le había confirmado que no serían tratados con fines publicitarios. Cabe recordar en este punto la SAN (recurso 830/2015) de fecha 3 de mayo de 2016 que en un caso similar al presente señala: “SEGUNDO.- La resolución impugnada sanciona a la entidad demandante por la comisión de una infracción administrativa en materia de protección de datos de carácter personal, consistente en el tratamiento de datos de carácter personal del denunciante sin su consentimiento, pues remitió una comunicación comercial a su domicilio, empleando sus datos personales, pese a que este había ejercido su derecho de cancelación de sus datos personales ante el grupo empresarial al que pertenecía dicha empresa y había obtenido la tutela de dicho derecho de la Agencia Española de Protección de Datos. Sustenta su recurso la demandante en que la utilización de datos en la comunicación de carácter comercial que ha provocado la resolución sancionadora, se encontraba justificada, ya que se efectuó obteniendo los datos del denunciante de la base de datos de puntos de suministro de su empresa distribuidora, Gas Natural Distribución SDG SA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 (GND), al amparo de lo dispuesto en el art. 43 del RD 1434/2002, de 27 diciembre , por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de gas natural. Considera, además, que en base al precepto citado las empresas comercializadoras tienen acceso a las mencionadas bases de datos de puntos de suministro, pudiendo descargar dicha base de datos y proceder al tratamiento de los datos contenidos en la misma. Añade que al realizar la comunicación comercial no constaba en la base de datos de la distribuidora que el denunciante hubiera prohibido la difusión de los mismos, por lo que se trataba de datos accesibles a todas las comercializadoras y que podían ser tratados. Pues bien, el artículo 44.3.
  13. b)de la LOPD establece como infracción grave "Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo". Asimismo, el artículo 6 LOPD establece en su apartado primero que "El tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El artículo 3
  14. h)LOPD define el "consentimiento del interesado" como "Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen" Por otro lado, conviene recordar que, tal y como dispone el artículo 3
  15. a)LOPD , por dato de carácter personal hemos de entender "cualquier información concerniente a personas físicas identificada o identificables". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado esta sala reiteradamente, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el artículo 6.1 LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos. Expuesto lo anterior, se anticipa ya que, no resultando controvertida la remisión por la sancionada de una comunicación comercial al domicilio del denunciante, haciendo uso para ello de sus datos personales ni que el denunciante había ejercitado su derecho de cancelación de sus datos personales del grupo empresarial al que pertenece la sociedad demandante, resulta evidente el tratamiento por parte de GNS de datos de carácter personal del denunciante sin su consentimiento, incurriendo, por ello, en la infracción tipificada en el artículo JURISPRUDENCIA 4 44.3.
  16. b)LOPD , pues fueron incorporados a los sistemas de información de dicha compañía y empleados con la finalidad publicitaria señalada, no solo sin que constara C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 que contara con el consentimiento de aquella para dicho tratamiento de datos, sino en contra de su voluntad manifestada expresamente. La existencia de una base de datos de puntos de suministro en la empresa distribuidora del denunciante, GND, al amparo de lo dispuesto en el artículo 43 del RD 1434/2002, de 27 de diciembre , y su accesibilidad para las compañías comercializadoras, como la recurrente, no justificaba en modo alguno el tratamiento de datos realizado por la demandante, pues, como decíamos, el denunciante había ejercitado con anterioridad a aquel tratamiento inconsentido su derecho de cancelación de sus datos personales de las empresas del grupo empresarial al que pertenecían ambas compañías, recibiendo como respuesta de su empresa matriz, Gas Natural SDG SA, que sus datos habían sido cancelados en todas las empresas del grupo, excepto GND, la cual que por imperativo legal debía mantenerlos, aunque los tenía bloqueados solo a disposición de Administraciones Públicas, Jueces y Tribunales. En tales circunstancias, resulta evidente que el tratamiento de los datos personales del denunciante por GNS para remitirle comunicaciones comerciales no se encontraba amparado por la norma reglamentaria expresada, a lo que debe añadirse la ausencia de relación contractual entre aquella compañía y el denunciante que pudiera justifiarlo. Por consiguiente, han de ser rechazadas las alegaciones de la demandante, al quedar constatada la concurrencia de tipicidad y culpabilidad en su conducta infractora.” En consecuencia cabe concluir que IBERDROLA es responsable de la infracción del artículo 6.1 de la LOPD al tratar los datos del denunciante para enviarle una comunicación comercial por vía postal cuando éste había solicitado la cancelación de sus datos y así le había sido confirmado por IBERDROLA, además de informarle que no serían tratados para comunicaciones publicitarias, es decir trató sus datos personales sin su consentimiento. III El art. 44.3.
  17. b)de la LOPD establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso IBERDROLA al tratar los datos del denunciante sin su consentimiento, han cometido la infracción tipificada en dicho artículo. IV El artículo 45 apartados 2, 4 y 5 de la LOPD establece lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  33. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso alega IBERDROLA la aplicación del artículo 45.5.
  34. d)de la LOPD al reconocer la existencia de un error al enviarle la comunicación comercial tras su oposición al envío de tales comunicaciones. No cabe aceptar dicho reconocimiento de culpabilidad por cuanto el referido precepto exige su carácter espontáneo, circunstancia que no se produce en este caso por cuanto en las actuaciones de inspección efectuadas IBERDROLA afirmó la legalidad de su proceder. No obstante lo anterior si cabe apreciar la concurrencia de criterios del artículo 45.4 de la LOPD que permiten aplicar lo dispuesto en su artículo 45.5.a), y así debe considerarse: - El volumen de los tratamientos efectuados. Se realiza un tratamiento de datos acotado al envío publicitario denunciado (artículo 45.4.b)). - Ausencia de perjuicios alegados por el denunciante (artículo 45.4.h)). En cuanto a la graduación de la sanción conforme a lo establecido en el artículo 45.4 de la LOPD cabe recordar: - IBERDROLA se trata de una gran empresa cuya actividad está vinculada la tratamiento de datos de carácter personal habida cuenta su actividad como una de las principales empresas distribuidoras de energía eléctrica del país (artículo 45.4.
  35. c)y d)) - No se ha constatado la existencia de beneficios (artículo 45.4.e)). Conforme a los criterios de graduación señalados procede imponer a IBERDROLA una multa de 10.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERDROLA CLIENTES S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  36. b)de la LOPD, una multa de 10.000 € (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES S.A.U., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.