PS-00486-2013

1/16 AUDIENCIA NACIONAL Sección 1ª de la Sala de lo Contencioso-Administrativo C/ Goya, 14 28001 – Madrid N. Ref.: PS/00486/2013 Asunto: Acuse de recibo de sentencia de la Audiencia Nacional. En el recurso contencioso-administrativo nº 0000078/2014 interpuesto ante la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional por ENDESA ENERGIA, S.A., contra la Agencia Española de Protección de Datos acusamos recibo de la sentencia de 28 de enero de 2016 cuya parte dispositiva dice así: “FALLAMOS ESTIMAR el recurso contencioso-administrativo interpuesto por el Procurador don A.A.A., en nombre y representación de Endesa Energía SAU, contra la resolución de fecha 5 de febrero de 2014, dictada en el expediente sancionador PS/00486/2013, por el Director de la Agencia Española de Protección de Datos, que se anula por ser contraria a Derecho. Se condena al pago de las costas causadas a la Administración:” En su virtud, este Ente Público, de conformidad con lo dispuesto en los artículos 17.2 de la Ley Orgánica del Poder Judicial y 103 y siguientes de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-Administrativa, ACUERDA el cumplimiento en sus propios términos de la referida sentencia y su notificación a las partes interesadas. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 Procedimiento Nº PS/00486/2013 RESOLUCIÓN: R/00162/2014 En el procedimiento sancionador PS/00486/2013, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGIA, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 07 de marzo de 2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de denuncia presentado por D A.A.A., en el que denuncia que, teniendo contratado el suministro de gas con la empresa GAS NATURALFENOSA, sin embargo, desde el 11/07/2012 le comenzó a facturar el servicio de suministro la empresa ENDESA, con la que dice no haber contratado. Manifiesta el denunciante que se ha dirigido a ENDESA, y que le han aportado una copia del contrato, afirmando que varios de los datos que aparecen en el mismo son incorrectos (NIE, fecha de nacimiento, teléfono, modelo de caldera, número de cuenta bancaria), y que la firma no es suya. Junto con su denuncia aporta la siguiente documentación (incluida la que, a efectos de ampliación, le es solicitada desde la AEPD con fecha 19/04/2013): - Fotocopia del DNI - Copia de denuncia de 11/01/2013 presentada ante la Policía Nacional, exponiendo los hechos. - Copia de contrato de energía y servicios adicionales de ENDESA, fechado a 20/06/2012, relativo a la contratación del suministro de gas natural en (C/............................1) Madrid. El contrato aparece a nombre del denunciante, identificado mediante el NIE ***NIE.1. Como cuenta de domiciliación consta ***CCC.1, y como teléfono de contacto el ***TEL.1. El contrato aparece firmado (la rúbrica es muy diferente de la que consta en el DNI del denunciante). - Copia de facturas de GAS NATURAL emitidas a su nombre, de fechas 05/12/2008, 07/08/2009, 15/06/2011, 11/08/2011, 15/12/2011 y 13/02/2011. Todas ellas se refieren al domicilio sito en la (C/............................1) Madrid. Como documento de identificación aparece el NIE ***NIE.1, y como cuenta de domiciliación la ***CCC.1**** - Copia de facturas de ENDESA emitidas a su nombre de fechas 14/08/2012, 18/10/2012, 26/12/2012 y 14/02/2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 los Servicios de Inspección de esta Agencia se solicita información a la entidad ENDESA ENERGIA, S.A., teniendo conocimiento de que: Con fecha 10/06/2013 se solicita a ENDESA información relativa a A.A.A., NIF ***NIF.1, en relación a la contratación del suministro de gas. De la respuesta recibida se desprende lo siguiente: SOBRE LA CONTRATACIÓN: - Que en los sistemas de la entidad consta que el afectado estuvo dado de alta como cliente del servicio de suministro de gas entre el 11/07/2012 y el 03/05/2013. Se aporta impresión de pantalla al respecto. - Que el alta se produjo como consecuencia de un contrato suscrito con fecha 20/06/2012, del que se aporta copia (coincide con la copia aportada por el denunciante). - Que la contratación fue gestionada de manera presencial a través de los servicios prestados por la entidad SERVICRAE S.A. (en adelante SERVICRAE), con la que ENDESA suscribió un contrato de prestación de servicio el 20/07/2011 (se aporta copia del citado contrato). En el marco de ese contrato, SERVICRAE captaba nuevos clientes para ENDESA, estando obligada a formalizar, en nombre y representación de ENDESA, los preceptivos contratos, recabando para ello el consentimiento del potencial cliente. En este sentido, la cláusula séptima del contrato suscrito entre ENDESA y SERVICRAE prevé que esta última deberá verificar los siguientes aspectos: - - - Que el potencial cliente es el titular del punto de suministro. A tal efecto se le debe solicitar la exhibición de la última factura de suministro y, si fuera posible, realizar una copia de la misma y adjuntarla a la solicitud de contratación. La identidad del contratante. A tales efectos le solicitará la exhibición de DNI (o pasaporte) y, si fuera posible, realizará una copia del documento y lo adjuntará a la solicitud de contratación. ENDESA manifiesta que, ante la imposibilidad en muchos casos de realizar una copia de la factura y del DNI, tienen implementado un procedimiento de control de calidad consistente en realizar una llamada telefónica de verificación a efectos de confirmar el trato dispensado por los comerciales y, especialmente, la conformidad de los clientes con la contratación formalizada. Se aporta copia del documento que recoge el procedimiento de implantación del control de calidad en origen (v 9, julio 2011). Respecto a este procedimiento de verificación mediante llamada telefónica, ENDESA manifiesta que el mismo ya ha sido objeto de análisis tanto por la AEPD (cita el E/03556/2011) como por la Audiencia Nacional (cita la SAN de 27/01/2011, en relación al recurso presentado contra la Resolución del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 PS/00278/2009). Asimismo, expone que ENDESA ha obtenido de AENOR el certificado de su carta de servicios para el proceso de captación proactiva de clientes de Mercado Residencial y Pequeño Negocio, conforme a la UNE 93200:2008. Se aporta copia del citado certificado. - ENDESA aporta copia de una grabación telefónica que recoge, supuestamente, la verificación de la contratación objeto de investigación, en los términos expuestos en el apartado anterior. SOBRE LOS CONTACTOS: - ENDESA manifiesta que en sus sistemas consta una reclamación presentada por el afectado, a través de la OMIC de Madrid (presentada el 28/02/2013, habiéndosele dado traslado a ENDESA con fecha 08/04/2013). Como consecuencia de tal reclamación se procedió a imputar el importe de las facturas no abonadas por el denunciante a una cuenta titularidad de ENDESA así como a gestionar la devolución de los importes efectivamente abonados por el reclamante. Se aportan impresiones de pantalla al respecto y copia del expediente. - Según impresiones de pantalla adjuntas, en los sistemas de ENDESA constan los siguientes contactos con el afectado (al margen de la reclamación OMIC citada). - Con fecha 24/08/2012 se recibe una llamada telefónica. El cliente solicita que se le envíe el contrato. Con fecha 27/11/2012 se recibe un e-mail del cliente. Ejerce su derecho de acceso y solicita copia del contrato. Con fecha 22/04/2013 se recibe una llamada telefónica. El cliente manifiesta que no desea estar con ENDESA y se le informa de que debe llamar a la compañía con la que desea estar. SOBRE LA FACTURACIÓN: - ENDESA aporta impresión de pantalla reflejando las facturas emitidas: 1. De fechas 14/08/2012, 18/10/2012, 26/12/2012 y 14/02/2013. Estas cuatro facturas fueron abonadas por el cliente. ENDESA manifiesta que se gestionó la devolución de los importes mediante transferencia bancaria. 2. De fechas 17/04/2013, 07/05/2013 y 08/05/2013. Estas tres facturas resultaron impagadas por el cliente. ENDESA manifiesta que se realizaron las gestiones oportunas para su imputación a una cuenta titularidad de ENDESA. TERCERO: Con fecha 1 de octubre de 2013, el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 Protección de Datos acordó iniciar procedimiento sancionador a ENDESA ENERGÍA S.A., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave del artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001€ a 300.000 €, según lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ENDESA, mediante escrito que tuvo entrada en la AEPD el 31 de octubre de 2013 formuló alegaciones en las que solicitó el archivo de las presentes actuaciones. En apoyo de su pretensión invoca los siguientes argumentos: - Endesa Energía ha acreditado que procedió a tratar los datos del denunciante porque disponía de la solicitud de contratación debidamente cumplimentada y firmada (folios n° 38 al 41) - En virtud de la solicitud de contratación remitida por Servicrae (que se obligaba a recabar el consentimiento de los potenciales clientes) y la llamada de confirmación de la contratación del suministro de gas y del servicio de mantenimiento, Endesa procedió a tramitar los contratos. - Ante la reclamación del interesado mi mandante procedió a reintegrarle los importes efectivamente abonados y a imputar a una cuenta de su propia titularidad las facturas que no habían sido abonadas por el denunciante, renunciando al cobro de las mismas. Así mismo, Endesa Energía procedió a atender en tiempo y forma el derecho de acceso ejercitado por el interesado. - No concurren los requisitos de antijuricidad y culpabilidad de la infracción administrativa. QUINTO: Con fecha 6 de noviembre de 2013 se abrió el período de prueba, acordando practicar las siguientes diligencias probatorias: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ENDESA ENERGIA, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02571/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00486/2013 presentadas por ENDESA ENERGIA, S.A., y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 SEXTO: Con fecha 25 de noviembre de 2013 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se sancione a ENDESA ENERGIA, S.A., con multa de 50.000 € (cincuenta mil euros) por la infracción de los artículos 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.
2. b)de dicha norma. SEPTIMO: En fecha 13 de diciembre de 2013 tuvieron entrada en el Registro de la AEPD las alegaciones de ENDESA ENERGIA, S.A., a la Propuesta de Resolución en las que básicamente reiteran los argumentos expuestos en el curso del expediente, solicitan que se proceda al archivo del procedimiento sancionador. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El denunciante D. A.A.A. con número de NIF ***NIF.1, manifiesta que Endesa, trato sus datos personales sin su consentimiento al darle de alta en servicios de suministros de gas y mantenimiento que no había contratado. Se han emitido facturas (folio 1 a 11). SEGUNDO: Queda acreditado que ENDESA incluyó en sus registros los datos personales del denunciante por un contrato de gas con fecha de alta el 11/07/2012 y baja el 3/05/2013.(folio 74) TERCERO: Se emitieron facturas a nombre del denunciante bimensuales, salvo la última, entre el 14/08/2012 hasta el 08/05/2013. En total fueron 7. La empresa manifiesta que las tres últimas fueron impagadas (folios 33 y 75) CUARTO: Existe copia de un contrato supuestamente firmado por el denunciante, según manifiesta la denunciada, de fecha 20 de junio de 2012. La firma no coincide con la firma del DNI del denunciante. Tampoco coincide la fecha de nacimiento que aparece en el contrato con la que aparece en el DNI. En el contrato consta un NIE que no coincide con el DNI del titular (folios 2,3 y 38) QUINTO: Con fecha 11 de enero de 2013 el denunciante interpuso denuncia en la Dirección General de la Policía, dependencia de Madrid, Hortaleza donde se relata, entre otras cosas, que no se corresponde la firma del cliente con la suya, que él tiene DNI y no NIE desde 2007 y que no son correctos la fecha de nacimiento y el teléfono. (folios 4 y 5). SEXTO: Existe CD donde consta lo que la denunciada denomina en sus alegaciones “llamada de calidad”. En dicha llamada no consta la fecha en que se realizó. La fecha de nacimiento que expresa el interlocutor es diferente a la del denunciante y no consta en la conversación que se nombre el DNI del denunciante. (folio 29 y 143) SEPTIMO: Consta en los registros de Endesa que con fecha 24 de agosto de 2012 se recibe una llamada telefónica en la que el denunciante solicita que se le envíe el contrato. (folio 79) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 OCTAVO: Consta en la documentación un correo del denunciante de fecha 24 de noviembre de 2012, contestado por Endesa con fecha 10 de diciembre de 2012 donde el denunciante manifiesta, entre otros asuntos, que se le dio de alta sin su autorización (folio 69) NOVENO: El denunciante interpuso reclamación ante la OMIC con fecha 28 de febrero de 2013 (folio 59). En los registros de Endesa figura lo siguiente: Abrimos reclamación tras recibir documento de la OMIC con fecha 9 de abril de 2013. Cliente reclama el alta en Endesa sin su conocimiento. Solicita la baja inmediatamente. ( folio 55) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El precepto citado debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
4. c)y 3,
5. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que se refiere a la necesidad de contar con el consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 afectado para que puedan tratarse sus datos personales. Conforme a este principio el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) III La cuestión central a los efectos que nos ocupan es determinar si ENDESA ENERGÍA recabó y obtuvo el consentimiento inequívoco del denunciante y titular de los datos que han sido objeto de tratamiento; tratamiento materializado, en esencia, en el alta de contratos de gas y mantenimiento con la entidad, o determinar si, al menos, la entidad denunciada desplegó la diligencia que las circunstancias de su actividad empresarial requerían a fin de dar cumplimiento a la obligación impuesta por el artículo 6.1 de la LOPD, precepto que supedita el tratamiento de los datos personales de un tercero a contar con su “consentimiento inequívoco”. Debe recordarse que el denunciante ha negado que hubiera contratado con la empresa denunciada. Así lo expuso en su escrito de denuncia, donde incluyó denuncia ante la Dirección General de la Policía (hecho probado primero) Por tanto hay que determinar si las entidad denunciada adoptó las medidas que la diligencia exige a fin de acreditar que la persona de quien recabó y obtuvo el consentimiento al tratamiento era su titular; única hipótesis en la que el tratamiento que han venido haciendo de los datos del afectado tendría amparo legal. A este respecto es fundamental advertir que ENDESA - pese a que le fue solicitado en el escrito de información previa, durante las Actuaciones de Inspección, no ha aportado al expediente copia del DNI del denunciante ni de ningún otro documento que acredite su identidad. (folio 24, 31 Y 32) Debemos recordar, llegados a este punto, que corresponde a las entidad denunciada la carga de la prueba del consentimiento del titular de los datos. La doctrina emanada de la Audiencia Nacional en relación a la carga de la prueba sigue esta orientación de manera constante, pudiendo remontarnos a la STAN de 21 de diciembre de 2001.Muy significativa es la más reciente STAN de 27 de enero de 2011 (Rec 349/2009), en cuyo Fundamento de Derecho Tercero, la Audiencia declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. (El subrayado es de la AEPD) Cabe citar, asimismo, la STAN de 31 de mayo de 2006, (Rec 539/2004) en la que el Tribunal afirma: “Por otra parte es al responsable del tratamiento (por todas, Sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de los datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. La copia del contrato que ENDESA ha aportado a la AEPD se encuentra firmado. No obstante, la firma que consta en el documento es, a simple vista, diferente de la firma del denunciante, de la que tenemos ejemplos en el escrito de interposición de la denuncia en la AEPD y en la copia del DNI (folios 1 y 2). Tampoco coincide la fecha de nacimiento que aparece en el contrato con la que aparece en el DNI. En el contrato consta un NIE que no coincide con el DNI del titular (hecho probado cuarto) Parece procedente traer a colación la STAN de 29 de octubre de 2009 (Rec. 585/2008), por cuanto su pronunciamiento es plenamente extrapolable al supuesto que analizamos. En el asunto examinado por la Sentencia la firma que aparecía en el documento aportado por la denunciada en prueba de la contratación tampoco coincidía – como acontece ahora - con la del denunciante. La Audiencia (Fundamento de Derecho quinto) declaró que “La denunciante, (….) insiste en que nunca firmó la documentación que aparece a los folios 73 y 74 del expediente administrativo. Por lo tanto, el tratamiento de datos realizado por XXXX Asistencia Técnica y Asesoramiento no contaba con el consentimiento de la denunciante que no firmó ningún contrato y la recogida de datos y el tratamiento posterior para la entrega a la empresa de Gas Natural con la que XXXX Asistencia Técnica y Asesoramiento había acordado el contrato de colaboración comercial nunca contó con el consentimiento expreso de la denunciante. Basta comparar las firmas de la denunciante que obran en los folios 73 y 74 con la que obra en la denuncia ante la Agencia y en el acta de su declaración testifical, para comprobar cómo dichas firmas no coinciden por lo que, unido a la contundente declaración de la denunciante en el sentido de que nunca había firmado ningún documento, permite concluir que la recurrente no disponía del consentimiento de la denunciante y no se justifica el tratamiento de datos realizado lo que obliga a la confirmación de la resolución impugnada” (El subrayado es de la AEPD) De las consideraciones precedentes se concluye que la entidad denunciada no ha aportado pruebas que acrediten que recabó y obtuvo el consentimiento inequívoco del afectado y que actuó - en el cumplimiento de la obligación impuesta por el artículo 6.1 LOPD – con la diligencia que las circunstancias del caso requieren. Esto, por cuanto la entidad no ha aportado copia de ningún documento que identifique al denunciante y que confirme que fue él quien otorgó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 el consentimiento a la contratación. Tampoco puede atribuirse a la copia del contrato facilitado por ENDESA la virtualidad probatoria que esta entidad le otorga, por cuanto además de no aportar copia del DNI, pasaporte u otro documento de identidad que permitiera en la recogida de datos comprobar que la persona titular de los datos de estos contratos era la que estaba frente al tramitador, tampoco la firma del denunciante es similar a la recogida en el contrato. En este sentido la Sentencia de la Audiencia Nacional de 6 de mayo de 2011(Rec 123/2010) establece lo siguiente en referencia al artículo 6.1 de la LOPD: “En interpretación de tal precepto este Tribunal ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009 ), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada, pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar tal consentimiento de inequívoco. Por ello, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la ley, sólo el consentimiento legítima el tratamiento y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado”. ENDESA ha declarado que la contratación con el denunciante se llevó a efecto mediante un contrato escrito firmado por el denunciante. Precisa que la contratación fue gestionada de manera presencial a través de los servicios prestados por la entidad SERVICRAE S.A. (en adelante SERVICRAE), con la que ENDESA suscribió un contrato de prestación de servicio el 20/07/2011 (se aporta copia del citado contrato). En el marco de ese contrato, SERVICRAE captaba nuevos clientes para ENDESA, estando obligada a formalizar, en nombre y representación de ENDESA, los preceptivos contratos, recabando para ello el consentimiento del potencial cliente. En este sentido hay que argumentar a ENDESA lo que la Sentencia de la Audiencia Nacional de 10 de febrero de 2011(Rec 62/2010) establece: “Es cierto que Endesa Energía no ha tenido contacto directo con los "clientes", pues dichas contrataciones se efectuaron a través del agente comercial Intecas, con el que había suscrito un "Contrato de prestación de servicios y comercialización entre Endesa y el punto de servicio Instalaciones Técnicas Castellón de Gas, S.L." el 9 de septiembre de 2004 -folios 42 y siguientes del expediente-. En virtud del citado contrato Endesa encomienda a dicha entidad, entre otros cometidos, la captación de nuevos clientes del servicio de suministro energético y la formalización en nombre y representación de Endesa Energía de los preceptivos contratos, en la forma y las condiciones que se establecen en los anexos correspondientes. Sin embargo, dicha circunstancia no puede servir para eximir de responsabilidad a la recurrente, por cuanto como viene reiterando la Sala, la responsabilidad en que, en su caso, haya podido incurrir dicho distribuidor o agente comercial al facilitar a Endesa Energía datos de los denunciantes, sin su consentimiento, no la eximen del cumplimiento de la normativa en materia de protección de datos personales, ya que es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión”. En el caso que nos ocupa ha quedado acreditado que ENDESA incorporó los datos del denunciante a sus ficheros asociados a un suministro de gas y facturó al reclamante. (hechos probados segundo y tercero) Por ello el responsable del fichero ENDESA ha de acreditar el consentimiento inequívoco por parte de la persona que lo otorga. En consecuencia, la conducta de ENDESA anteriormente descrita vulnera el principio del consentimiento que proclama el artículo 6.1 de la LOPD, infracción tipificada en el artículo 44.3.
6. b)de la citada Ley Orgánica que dispone: “Son infracciones graves, (..):
7. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV El artículo 44.3.
8. b)de la LOPD, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, Procede a continuación abordar si la conducta de ENDESA, que estimamos vulnera el artículo 6.1 de la LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3
9. b)y si, en tal caso, la infracción es imputable a esa entidad. A) Respecto a la primera de las cuestiones planteadas, una vez constatado que la denunciada realizó la acción típica – infracción del principio del consentimientodebemos analizar si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el ámbito del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
10. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD). En esta misma Sentencia la Sala de lo Contencioso- Administrativo de la Audiencia Nacional hace referencia también al grado de diligencia que es exigible a aquellas entidades cuya actividad conlleva un continuo tratamiento de datos de clientes y de terceros, indicando a este respecto lo siguiente: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) ENDESA ha invocado que no concurre el elemento subjetivo de la culpabilidad. Afirma además que la solicitud de contratación y la “llamada de calidad” (hecho probado sexto) dotaban a dicha contratación de una apariencia de veracidad y que ante la ausencia de culpabilidad impedía apreciar la comisión de un ilícito por parte de la denunciada. Frente a tal argumento debe señalarse en primer término que basta la mera inobservancia de la diligencia exigible para que esté presente el elemento culpabilístico de la infracción, sin que sea preciso con carácter imprescindible la culpa grave. El elemento subjetivo de la culpabilidad se concreta aquí en la falta de diligencia observada por ENDESA, que no han aportado prueba determinante, de que recabaron y obtuvieron del afectado su consentimiento para la contratación de dichos servicios a la que se vinculan sus datos personales. Por otro lado la nombrada “llamada de calidad” incluye diferencias como la fecha de nacimiento, omisiones como la fecha de grabación y el NIF del denunciante, además no acredita la identidad del denunciante, ya que en el imaginario de que acreditara alguna identidad podría ser la del firmante. En el asunto que nos ocupa no existe ninguna duda de la presencia del elemento subjetivo de la culpabilidad, concretado en la grave falta de diligencia demostrada por ENDESA, responsable del fichero al que se incorporaron los datos del denunciante asociados al alta de un contrato de gas y mantenimiento, sin contar con su consentimiento. En este sentido podemos traer a colación la STAN de 29 de abril de 2010 en la que el Tribunal manifiesta que “La cuestión no es dilucidar si la recurrente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación.” (El subrayado es de la AEPD) Como se ha precisado en los Fundamentos Jurídicos precedentes ENDESA no ha aportado copia del DNI u otro documento que acredite la identidad de la contratante, lo que demuestra que no adoptó con ocasión de la contratación la diligencia que es exigible, máxime cuando el desarrollo de su actividad profesional conlleva un continuo tratamiento de datos personales. La vinculación entre la omisión de la diligencia debida y la responsabilidad derivada de no recabar y conservar la copia de un documento identificativo del titular de los datos tratados, la establece la Audiencia Nacional en su Sentencia de 19 de mayo de 2011 (Rec. 622/2009). Aunque el supuesto analizado en la citada Sentencia no versa sobre una infracción del artículo 6.1 LOPD -sino del 4.3 -, es plenamente aplicable al asunto que nos ocupa. En la referida Sentencia de 19 de mayo de 2011 la Audiencia Nacional manifiesta (Fundamento de Derecho cuarto) que “Evidentemente, un mayor cuidado y diligencia por parte de la recurrente en el tratamiento de los datos de sus clientes le habría obligado a custodiar una copia del DNI o del permiso de residencia al momento de dar de alta la contratación y ello le habría permitido apercibirse de que el número que figuraba en sus ficheros no correspondía con la clase de documento de que disponía el cliente y, de ese modo, al dar de alta la incidencia por el impago lo habría hecho en relación con el verdadero deudor y no en relación con el denunciante que nunca ha sido cliente de la entidad ahora recurrente”. ( El subrayado es de la AEPD). Por tanto estas medidas encaminadas a acreditar que contaban con el consentimiento inequívoco del titular de los datos tratados y que aquél a quien se solicitan es quien dice ser, y es efectivamente titular de los datos que facilita, es lo que conlleva a apreciar una falta de diligencia por parte de las entidades denunciadas. B) Respecto a la segunda de las cuestiones planteadas, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
11. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En consecuencia, ENDESA, en su condición de responsable del fichero , es responsable de una infracción del artículo 6.1 de la LOPD. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción de la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
12. a)El carácter continuado de la infracción.
13. b)El volumen de los tratamientos efectuados.
14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
15. d)El volumen de negocio o actividad del infractor.
16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
17. f)El grado de intencionalidad.
18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las circunstancias mencionadas no se dan en el presente supuesto, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados
27. d)y
28. e)del referido artículo y por otro, a la especial diligencia y conocimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008. Así mismo impide la aplicación del artículo 45.5
29. b)el hecho de que consta en la documentación una reclamación por email del denunciante de fecha 24 de noviembre de 2012, contestado por Endesa con fecha 10 de diciembre de 2012 donde el denunciante manifiesta, entre otros asuntos, que se le dio de alta sin su autorización (hecho probado octavo) y sin embargo no se le dio la baja en el contrato de gas hasta el 3 de mayo de 2013 (más de 4 meses después), según se hace constar en el hecho probado segundo. Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, estimamos que en el presente caso concurren varias circunstancias que operan como agravantes. Nos referimos a las siguientes: El importante volumen de negocio de ENDESA, (apartado d, del artículo 45.4), toda vez que estamos ante una de las grandes empresas del sector energético en España por cuota de mercado y a la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal, (apartado c,), pues la actividad empresarial de ENDESA exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. Al tener la infracción imputada la consideración de infracción grave, en aplicación de lo previsto en el apartado 2 del artículo 45 procede imponer una multa cuyo importe esté comprendido entre 40.001 € y 300.000 €. En el presente caso, habida cuenta de que no concurren circunstancias que permitan aplicar el efecto jurídico previsto en el artículo 45.5 de la LOPD y valoradas la circunstancias agravantes que concurren, contempladas en el artículo 45.4, se estima procedente imponer una multa de 50.000 € por la infracción del artículo 6.1 de la LOPD de la que es responsable Endesa Energía S.A. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGIA, S.A., por la infracción del artículo 6.1, tipificada como infracción grave en el artículo 44.3.
30. b)de dicha norma una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGIA, S.A. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es