← España

PS-00484-2017

1/14 Procedimiento Nº PS/00484/2017 RESOLUCIÓN: R/00068/2018 En el procedimiento sancionador PS/00484/2017, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fechas 15/11/2016, 15/03/2017 y 27/03/2017, tuvieron entrada en esta Agencia escritos de A.A.A. (en lo sucesivo el denunciante) en los que denuncia a ENDESA ENERGÍA, S.A.U. (en lo sucesivo ENDESA) por los siguientes hechos: ha recibido publicidad junto con sus facturas de septiembre y noviembre de 2016 así como en enero de 2017, a pesar de haber ejercido su derecho de oposición al tratamiento de sus datos personales para fines publicitarios en el año 2011 ante Madrileña Suministro de Gas, entidad cedente de sus datos a Endesa. SEGUNDO: Tras la recepción de la denuncia, los Servicios de Inspección de esta Agencia realizaron actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. - En esta fase los representantes de Endesa realizan las siguientes manifestaciones: Como consecuencia de la compraventa de la cartera de clientes a MSG en fecha 01/09/2015, el denunciante fue dado de alta en el fichero de clientes de la entidad. En esta cesión de datos, la entidad cedente comunicó toda la información que tenía de sus clientes, incluido el ejercicio de los derechos ARCO que hubieran efectuado. Esta información fue incluida en el fichero de clientes de la entidad de forma previa al tratamiento de datos con finalidades publicitarias. De forma previa a la emisión de las correspondientes facturas se informó al denunciante por parte de MSG y por parte de ENDESA que iba a tener lugar la cesión de sus datos como consecuencia de la operación de compra venta y se informó a su vez de la posibilidad de ejercer el derecho de oposición. Además en las primeras facturas emitidas por Endesa, se informó nuevamente al cliente del procedimiento establecido para el ejercicio de sus derechos ARCO, y no se envió información comercial durante los primeros 6 meses (primeras 3 facturas). - Sobre el sistema de información de ENDESA se han realizado las siguientes verificaciones: Se comprueba que en el fichero de clientes constan los datos del denunciante con fecha de alta 01/09/2015. Se le han emitido 9 facturas, la primera de fecha 16/11/2015 y la última de fecha 07/03/2017. Se accede al registro de contactos mantenidos con este cliente, verificándose que figura una interacción de fecha 31/03/2017, relativa a una petición de inclusión en lista Robinson de la entidad, realizada por el equipo LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 A la vista de esta información, los representantes de la entidad manifiestan que esta interacción se debe a un alta en la lista Robinson realizada directamente por personal de la entidad, sin que medie ninguna petición por parte del interesado, como medida preventiva al tener conocimiento de la reclamación presentada ante la Agencia Española de Protección de Datos. No consta ninguna otra llamada o contacto con el cliente ni ejercicio alguno de derecho de oposición a recibir información comercial. Se verifica que las facturas de fechas 16/11/2015, 20/01/2016 y 07/03/2016 no contienen información comercial y que en la factura de fecha 20/01/2016 se incluía un documento que indica como ejercitar los derechos sobre el tratamiento de sus datos personales. Las facturas emitidas en fechas 06/05/2016, 07/09/2016, 07/11/2016, 23/01/2017 y 07/03/2017 contienen información comercial. La información cedida en su día a ENDESA por parte de MSG. Se conserva en los ficheros “Contactos” y “LOPD”. El fichero “Contactos” contiene información personal de cada cliente y asociado a éste, un campo denominado “Cl. Robinson” que puede tomar dos valores “Y/N”. “Y” indica que el cliente debe ser incluido en lista Robinson, y “N” que no debe serlo. Se realiza una búsqueda en el fichero “Contactos” a través del número de DNI ***DNI.1, localizándose los datos asociados al denunciante, verificándose que en “Cl. Robinson” figura el valor “N”. El número de cliente asociado al denunciante es ***NºC.1 El fichero “LOPD” contiene una referencia a los clientes de Madrileña Suministro de Gas que han ejercitado algún derecho ARCO, disponiendo de un registro que asocia el número de cliente con el derecho ejercitado. Se realiza una búsqueda en el fichero “LOPD” por la información asociada al número de cliente ***NºC.1 verificando que no consta el ejercicio de ningún derecho. A la vista de las comprobaciones realizadas, los representantes de ENDESA manifiestan que no hay constancia de que el afectado haya ejercitado su derecho de oposición a recibir información comercial. TERCERO: Con fecha 29 de septiembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ENDESA por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ENDESA mediante escrito de 11/10/2017 solicito copia del expediente y ampliación del plazo de alegaciones; tanto la copia como el plazo ampliado fueron comunicados mediante escritos del instructor de fecha 16/10/2017. La representación de ENDESA mediante escrito de 25/10/2017 formuló en síntesis las siguientes alegaciones: la ausencia de antijuridicidad en la conducta imputada y que, subsidiariamente, en caso de no ser atendida dicha petición se pondere la sanción a imponer reduciéndola al concurrir circunstancias atenuantes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 QUINTO: Con fecha 30/10/2017 se inició el período de práctica de pruebas, acordándose las siguientes: - Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/00750/2017. Asimismo, se daban por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00484/2017 presentadas por ENDESA. - Solicitar al denunciante documentación que obrara en su poder relacionada con procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia (comunicaciones, reclamaciones a otros órganos, etc.) ó, si lo estima oportuno, cualquier otra manifestación en relación con los hechos denunciados. SEXTO: En fecha 13/12/2017, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a ENDESA por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, con multa de 5.000 € (cinco mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de ENDESA mediante escrito de fecha 08/01/2018 mostrando su disconformidad con la sanción propuesta, sin haber tenido en cuenta las circunstancias concurrentes en el presente caso. HECHOS PROBADOS PRIMERO. En fecha 15/11/2016 tiene entrada en esta Agencia escrito del denunciante manifestando que en la compañía ENDESA le ha remitido comunicaciones comerciales tanto en facturas como en folletos anexos a las mismas sin su consentimiento. SEGUNDO. Consta aportada copia del DNI del denunciante nº ***DNI.1. TERCERO. El denunciante ha aportado copia de las facturas de septiembre, noviembre de 2016 y de enero de 2017, emitidas a nombre del denunciante y remitidas a su domicilio particular, conteniendo publicidad comercial, así como la publicidad recibida en folletos aparte en la que se promociona la “Solución integral caldera” y “Solución integral aire acondicionado” de Endesa. CUARTO. Consta comunicación enviada por correo electrónico de fecha 25/12/2011, desde la cuenta de correo ***EMAIL.1 para el destinatario ***EMAIL.2 el denunciante comunica lo siguiente a MADRILEÑA: (…)NO LES DOY MI CONSENTIMIETNO PARA EL TRATAMIENTO DE MIS DATOS PERSONALES PARA FINES DISTINTOS DEL MANTENIMIENTO DE LA RELACION CONTRACTUAL DE SUMINISTRO DE GAS. Es decir, NO les doy mi consentimiento para el envío de información comercial por cualquier medio, NO les doy mi consentimiento para que mis datos personales sean cedidos a empresas del grupo Galp (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 QUINTO. Consta MADRILEÑA respondió informando al denunciante que habían procedido a excluir los datos de éste para tratamientos relacionados con publicidad del sector energético y otros sectores, remisión de comunicaciones comercial por medio de correo electrónico y teléfono móvil y para la cesión de datos a empresas del grupo GALP con fines comerciales. SEXTO. Consta escrito dirigido al denunciante y remitido a su domicilio (no consta el remitente ni la fecha), en el que le informaba que a partir de 01/11/2015 ENDESA pasaría a ser su suministrador de gas natural como consecuencia de la adquisición de GALP, pasando a enviarle las facturas y a gestionar los cobros y que el suministro de electricidad y servicios subsidiarios con MADRILEÑA a partir de dicha fecha serian también prestados y gestionados por dicha compañía. Asimismo, le informaba en relación con los datos de carácter personal que serían transferidos a ENDESA con la finalidad de poder gestionar su contrato siendo incorporados a un fichero cuyo responsable es la citada empresa e informándole de los derechos ARCO. SEPTIMO. ENDESA en fecha 20/01/2016 remitió al denunciante escrito en el que la daba la bienvenida a la compañía y en folio aparte le informaba de una serie de cuestiones, entre otras, la relativa al origen de sus datos de carácter personal coincidiendo con lo señalado en la comunicación anterior. OCTAVO. Consta Acta de Inspección E/00750/2017/I-1, de fecha 06/04/2017, llevada a cabo en las dependencias de la entidad. Los inspectores informan a los representantes de la entidad que el motivo de las presentes actuaciones es conocer las razones por la que al denunciante se le envía información comercial en las facturas a pesar de que manifiesta haber ejercitado su derecho de oposición por ante MADRILEÑA. Los representantes de ENDESA realizan las siguientes manifestaciones: “Como consecuencia de la compraventa de la cartera de clientes a MADRILEÑA, en fecha 1 de septiembre de 2015, el denunciante fue dado de alta en el fichero de clientes de ENDESA. En esta cesión de datos, la entidad cedente comunicó toda la información que tenía de sus clientes, incluido el ejercicio de los derechos ARCO que hubiera efectuado. Esta información fue incluida en el fichero de clientes de Endesa previo al tratamiento de sus datos con finalidades publicitarias. De forma previa a la emisión de las correspondientes facturas se informó al cliente por parte de MADRILEÑA y por parte de ENDESA que iba a tener lugar la cesión de sus datos como consecuencia de la operación de compra venta y se informó a su vez de la posibilidad de ejercer el derecho de oposición. Además en las primeras facturas emitidas por ENDESA, se informó nuevamente al cliente del procedimiento establecido para el ejercicio de sus derechos ARCO, y no se envió información comercial durante los primeros 6 meses (primeras 3 facturas). Los inspectores solicitan acceso al sistema de información de ENDESA sobre el que se realizan las siguientes verificaciones: • Se comprueba que en el fichero de clientes constan los datos del reclamante con fecha de alta 01/09/2015. Se le han emitido 9 facturas la primera de fecha 16/11/2015 y la última de fecha 07/03/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 (…) • Se accede al registro de contactos mantenidos con este cliente, verificándose que figura una interacción de fecha 31/03/2017 relativa a una petición de inclusión en lista Robinson de la entidad, realizada por el equipo LOPD. A la vista de esta información, los representantes de la entidad manifiestan que esta interacción se debe a un alta en la lista Robinson realizada directamente por personal de la entidad, sin que medie ninguna petición por parte del interesado, como medida preventiva al tener conocimiento de la reclamación presentada ante la Agencia Española de Protección de Datos. No consta ninguna otra llamada o contacto con el cliente ni ejercicio alguno de derecho de oposición a recibir información comercial. (…) • Se solicita impresión de las facturas emitidas por ENDESA a nombre del denunciante, verificándose que las de fechas 16/11/2015, 20/01/2016 y 07/03/2016 no contienen información comercial. Además la factura de fecha 20/01/2016 incluía un documento que indica como ejercitar los derechos sobre el tratamiento de sus datos personales. Las facturas emitidas en fechas 06/05/2016, 07/09/2016, 07/11/2016, 23/01/2017 y 07/03/2017 sí contienen información comercial. • Se solicita acceso a la información original que en su día se cedió a ENDESA por parte de MADRILEÑA. Los representantes de la entidad, manifiestan que acordaron con la compañía cedente el formato y el contenido de los ficheros con la información necesaria para la migración. Entre estos ficheros se encuentran “Contactos” y “LOPD”. El fichero “Contactos” contiene información personal de cada cliente y asociado a éste, un campo denominado “Cl. Robinson” que puede tomar dos valores “Y/N”. “Y” indica que el cliente debe ser incluido en lista Robinson, y “N” que no debe serlo. Se realiza una búsqueda en el fichero “Contactos” a través del número de DNI ***DNI.1, localizándose los datos asociados al reclamante, verificándose que en “Cl. Robinson” figura el valor “N”. El número de cliente asociado al denunciante es ***NºC.1 El fichero LOPD contiene una referencia a los clientes MADRILEÑA que han ejercitado algún derecho ARCO, disponiendo de un registro que asocia el número de cliente con el derecho ejercitado. Se realiza una búsqueda en el fichero LOPD por la información asociada al número de cliente ***NºC.1 verificando que no consta el ejercicio de ningún derecho. (…) A la vista de las comprobaciones realizadas, los representantes de ENDESA manifiestan que no hay constancia de que el afectado haya ejercitado su derecho de oposición a recibir información comercial. Los inspectores de la Agencia recaban la documentación relacionada en la presente acta, que es entregada de forma voluntaria por los representantes de ENDESA. (…)”. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a ENDESA en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte en el apartado 2, del mismo artículo, se señala que: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 ENDESA no ha acreditado que cuente con el consentimiento del denunciante para el tratamiento de sus datos de carácter personal con fines comerciales y publicitarios, materializado en la remisión de facturas de fechas 06/05/2016, 07/09/2016, 07/11/2016, 23/01/2017 y 07/03/2017 conteniendo información comercial así como folletos anexos a las mismas en los que se promocionan productos de la compañía bajo la forma de “Solución integral caldera” y “Solución integral aire acondicionado”. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a ENDESA tratar los datos de la denunciante sin su consentimiento. III La Audiencia Nacional en numerosas sentencias ha trasladado a las entidades denunciadas la carga de probar el consentimiento para el tratamiento de los datos de carácter personal. En este sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Por tanto, correspondía a ENDESA estar en condiciones de acreditar que había obtenido el consentimiento de la denunciante para el tratamiento de sus datos con fines comerciales pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le correspondía aportar la prueba de que dicho consentimiento ha sido prestado. IV El artículo 3 en su apartado
  4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento. Art 43 LOPD, por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso estamos ante un tratamiento de datos personales del denunciante por parte de ENDESA, en sus ficheros y por su cuenta, lo que les sitúa en una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. V La representación de la entidad ha alegado que el fichero cedido por MADRILEÑA (empresa que fue absorbida por ENDESA), no consta que el denunciante hubiera ejercitado su derecho de oposición; que el denunciante fue informado de la operación de adquisición de MADRILEÑA por ENDESA y que en dicha comunicación se le ofrecía la posibilidad de ejercitar el derecho de oposición y, por último, que el denunciante no había realizado ningún tipo de manifestación en dicho sentido durante el periodo concedido de seis meses. Sin embargo tales manifestaciones no pueden ser admitidas. En el presente caso resulta claro que el denunciante ejército su derecho de oposición en relación con la remisión de publicidad manifestando claramente que no deseaba recibirla y que dicho derecho fue ejercitado ante MADRILEÑA, entidad que posteriormente seria absorbida por ENDESA. En hechos probados, ordinales quinto y sexto, consta acreditado que dicha oposición fue ejercitada con el siguiente tenor (…) NO LES DOY MI CONSENTIMIETNO PARA EL TRATAMIENTO DE MIS DATOS PERSONALES PARA FINES DISTINTOS DEL MANTENIMIENTO DE LA RELACION CONTRACTUAL DE SUMINISTRO DE GAS… MADRILEÑA respondía informando al denunciante que habían procedido a excluir sus datos para tratamientos relacionados con publicidad del sector energético y otros sectores, etc. Por tanto, corresponde al responsable del fichero articular los medios necesarios para saber si cuenta o no con el consentimiento del titular de los datos y más aún cuando otorgó el derecho de oposición y se hizo eco de la revocación del denunciante. Dispone el art. 48 del RD 1720/2007, de 21 de diciembre (RDLOPD en adelante) que: Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 Por consiguiente, resulta irrelevante que en el fichero cedido por MADRILEÑA no constara que el denunciante hubiera ejercitado su derecho de oposición o bien que el denunciante fuera informado de la operación de adquisición de MADRILEÑA por ENDESA, ya que ENDESA no constaba con el consentimiento del denunciante para el tratamiento de sus datos con fines promocionales. Además, en relación con lo alegado por ENDESA de que en esa misma comunicación al denunciante se le ofreció la posibilidad de ejercitar el derecho de oposición, hay que indicar que en el anverso del escrito de 20/01/2016 se indicaba, si así lo deseaba, ejercer sus derechos sobre el tratamiento de sus datos personales, pero no se informaba al destinatario de que sus datos serían utilizados con fines publicitarios y, consecuentemente, tampoco se solicitaba su consentimiento para ello. Además, el art. 16.5 del a LOPD establece que: Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado. De lo expuesto, se deduce que cuando se haya ejercido un derecho ARCO (que requiere el mantenimiento mínimo de los datos para dotar de protección y eficacia al derecho que se trate) o bien no hayan prescrito las acciones derivadas de los productos o servicios que se traten, se deben guardar los datos. A mayor abundamiento, la cesión de la cartera de clientes únicamente conllevaba la cesión para tratar datos con la finalidad de prestar el servicio contratado. En el presente caso, hay que entender acreditado que se han utilizado los datos del denunciante para realizar una determinada promoción ajena a la finalidad para la que se contaba con los datos del denunciante que era, exclusivamente, lo relativo a la facturación de los servicios y suministros de gas. Como señala la A.N. en sentencia de 17/11/2011: “Es cierto que en el caso presente la publicidad se insertaba en la facturas que se debían remitir el denunciante en relación a los consumos que realizaba; basta con examinar las facturas para comprobar como se hacían promoción de determinados servicios en la parte baja de la factura y en el reverso de la misma. Se trata de una forma publicitaria clara pero que se produce en unidad con el documento que incorpora los datos de la facturación. Encubierta ó no, y simultaneada con la facturación ó no; la realidad es que se ha acreditado que la entidad recurrente ha realizado publicidad y la ha remitido al denunciante sin contar con el consentimiento para ello y eso supone un tratamiento de datos sin consentimiento”. En conclusión, ENDESA no ha aportado prueba alguna que legitime el tratamiento de datos personales del denunciante con posterioridad al ejercicito ejercitado por éste, lo que hace decaer su legitimación incurriendo en un tratamiento de datos personales sin consentimiento. VI Dispone el artículo 44.3.
  6. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VII El artículo 45 de la LOPD, establece en sus apartados 2 a 5, lo siguiente: “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. ENDESA ha alegado la aplicación subsidiaria del artículo 45.4 y 5 de la LOPD, ponderando la sanción a imponer reduciéndola en su importe mínimo al concurrir circunstancias atenuantes y, en alegaciones a la Propuesta, reitera su disconformidad con la misma al no haber tenido en cuenta circunstancias que deberían suponer una reducción de la sanción e incluso su archivo. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. ENDESA ha vulnerado el artículo 6.1 de la LOPD, al tratar los datos personales de la denunciante sin su consentimiento, materializado en la remisión de las facturas de fechas 06/05/2016, 07/09/2016, 07/11/2016, 23/01/2017 y 07/03/2017 conteniendo información comercial y folletos anexos a las mismas en los que promociona productos de la compañía bajo la forma y lema “Solución integral caldera” y “Solución integral aire acondicionado”, por lo que su actuación ha de ser objeto de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permite apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5.
  22. a)de la LOPD: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”; así concurren el apartado
  23. h)“La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas”, puesto que la publicidad se remitió junto con las facturas por lo que el daño o perjuicio sufrido fue insignificante y la intromisión en la privacidad del denunciante tuvo un escaso impacto; el apartado
  24. j)“Cualquier otras circunstancia que se relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta situación infractora”, pues si bien ENDESA no obtuvo el consentimiento del denunciante para tratar sus datos con fines publicitarios le informó de la posibilidad de ejercer el derecho de oposición, sin realizar campañas publicitarias hasta pasados seis meses, haciendo posible la aplicación de una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. ENDESA ha invocado el supuesto previsto en el artículo 45.5.
  25. e)“Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”, consecuencia de la absorción de MADRILEÑA y GAS NATURAL por la entidad denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 Sin embargo, tal alegación no puede ser admitida; en primer lugar, en cuanto a la aplicación del artículo 45.5 LOPD invocado hay que señalar, como se indica en párrafo precedente, que en el acuerdo de inicio ya se estimó la procedencia de su aplicación debido a la concurrencia de la atenuante privilegiada prevista en el artículo 45.5.
  26. a)de la LOPD al concurrir algunos de los criterios enunciados en el artículo 45.4 de la LOPD y, por tal razón, dado que la vulneración del artículo 6.1 de la LOPD tiene la consideración de infracción grave, procedía imponer una sanción cuyo importe oscilara entre 900 y 40.000 euros correspondiente a las infracciones leves que son las que siguen en gravedad a la infracción grave apreciada, por lo que no es posible volver a aplicar el citado artículo. Además, no sería posible la aplicación de la atenuante alegada puesto que a pesar de que ENDESA absorbió a MADRILEÑA y GAS NATURAL, entidad ante la que el denunciante ejercitó el derecho a que sus datos no fueran utilizados con fines comerciales y publicitarios, la infracción no la han cometido las entidades absorbidas (MADRILEÑA y GAS NATURAL), sino precisamente la absorbente (ENDESA), por lo que no es posible su aplicación. También la representación de ENDESA ha invocado los criterios señalados en el artículo 45.4., apartados
  27. e)y
  28. f)de la LOPD a efecto de graduar la cuantía de la sanción a imponer. No obstante, en cuanto a la circunstancia prevista en el apartado
  29. e)del artículo 45.4, ausencia de beneficios, tampoco pueden aceptarse, pues no puede invocarse la citada circunstancia cuando lo que se pretende es el envió de publicidad con la finalidad precisamente de obtenerlos. En relación a la circunstancia prevista en el apartado
  30. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec. 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la entidad hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 se advierten circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Así, concurren las agravantes previstas en el apartado
  31. c)del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues como consecuencia de la actividad que realiza la citada compañía se ve abocada a un tratamiento continuo de datos, tanto de sus clientes como de terceros y del apartado
  32. d)del artículo 45.4, “volumen de negocio” del infractor, ya que se trata de una gran empresa por cuota de mercado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, en particular la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de las mismas, se propone una multa de 5.000 €, de la que ENDESA debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA, S.A.U. por una infracción del artículo 6.1 de la LOPD de la LOPD, tipificada como grave en el artículo 44.3.
  33. b)de la LOPD, una multa de 5.000 € (cinco mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  34. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.