PS-00548-2014

1/9 Procedimiento Nº PS/00548/2014 RESOLUCIÓN: R/00099/2015 En el procedimiento sancionador PS/00548/2014, instruido por la Agencia Española de Protección de Datos a la entidad IBERDROLA CLIENTES SAU, vista la denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9/10/13 tiene entrada en esta Agencia un escrito de D. B.B.B. en el que declara que su vecino (A.A.A., DNI G.G.G.) hizo un contrato de suministro eléctrico con IBERDROLA CLIENTES SAU, pero por error el comercial puso su nombre y DNI. El afectado aporta copia de un contrato de suministro eléctrico en el que figura su nombre y su DNI y del que manifiesta que la firma no es suya SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/06933/2013. Concluyéndose la investigación con el informe de la Inspección de Datos de fecha 23/9/14 TERCERO: El Director de la Agencia Española de Protección de Datos acordó, con fecha 6/10/14, iniciar procedimiento sancionador a IBERCLI por la presunta infracción del artículo 6 de la LOPD. CUARTO Se presentó, con fecha 27/10/14, escrito de alegaciones al Acuerdo de Inicio, por parte de la entidad denunciada, acompañada de documentación, que se han valorado en la resolución de este expediente QUINTO Por el instructor del procedimiento se apertura periodo de prácticas de pruebas, incorporando la documentación y alegaciones presentadas en el procedimiento de actuaciones previas de investigación SEXTO: Por el instructor del expediente se dictó propuesta de resolución, con fecha 11/7/14, notificada a la entidad denunciada, en el sentido de que por el Director de la Agencia se sancionase a IBERDROLA CLIENTES SAU por la infracción del art. 6 de la LOPD. SEPTIMO: La entidad denunciada ha presentado alegaciones a la Propuesta de Resolución manifestando su voluntad de proceder al pago voluntario de la sanción propuesta, acogiéndose al art. 8.2 del RD 1398/93 de 4 de Agosto. HECHOS PROBADOS 1º Consta denuncia presentada por D. B.B.B. en el que declara que su vecino (A.A.A., DNI G.G.G.) hizo un contrato de suministro eléctrico con IBERDROLA CLIENTES SAU, pero por error el comercial puso su nombre y DNI. El afectado aporta copia de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 contrato de suministro eléctrico en el que figura su nombre y su DNI y del que manifiesta que la firma no es suya. 2º Constan manifestaciones de la entidad denunciada relativas a que la contratación del suministro eléctrico a nombre del reclamante se debe a un error, fruto de la confusión originada con la documentación de la contratación relativa al suministro eléctrico del cliente de IBERCLI de nombre D. A.A.A., vecino de D. B.B.B. (denunciante), que ocasionó que el contrato de electricidad formalizado por el primero se activase a nombre del segundo. El error ya fue subsanado en cuanto tuvo conocimiento de ello. 3º Con fecha 19 de diciembre de 2012, D. A.A.A. (vecino del reclamante) formalizó con IBERCLI un contrato de electricidad para su domicilio de la calle D.D.D. en la población de H.H.H. (Huelva). El contrato se realizó de forma presencial mediante visita al domicilio del cliente de un agente comercial externo de IBERCLI pero, debido a una confusión con el segundo apellido del titular y con la documentación aportada por los dos vecinos, el agente comercial cumplimentó el contrato en el nº 28 de la calle D.D.D., a nombre de D. B.B.B. (denunciante), con el número de NIF también del denunciante pero con la fotocopia del NIF del vecino contratante D. A.A.A.. La factura de la anterior empresa comercializadora (ENDESA) que aportó el agente comercial a este contrato corresponde también a D. B.B.B. (reclamante). Toda la documentación que adjuntó el agente comercial a la contratación necesariamente tuvo que ser aportada, indistintamente, por los dos vecinos de la misma calle que, además, coincidían en el nombre y primer apellido. • Una vez formalizada la contratación, IBERGEN solicitó el acceso a la red para el contrato de electricidad a la empresa distribuidora de electricidad (SEVILLANA DE ELECTRICIDAD). El acceso a la red y la activación del contrato de electricidad se realizó con total normalidad por lo que IBERGEN comenzó a comercializar el contrato de electricidad a nombre de D. B.B.B. (denunciante) con los consumos que le trasladó la empresa distribuidora de electricidad en las facturas de peaje y que correspondían efectivamente al consumo realizado por D. B.B.B. (denunciante) en su propia vivienda. • Con fecha 4 de abril de 2013 se recibió una llamada en el teléfono del Cliente de IBERDROLA en la que D. B.B.B. indicó que no había firmado ningún contrato con IBERGEN y que tenía el suministro cortado. • El día 8 de abril de 2013, IBERGEN envió un escrito de contestación informando que, una vez revisada la contratación, ésta era correcta. No obstante, se le envió a D. B.B.B. una copia de toda la documentación relativa a la contratación para su tranquilidad, ya que ésta aparentemente era correcta. Además, se dieron de baja cautelarmente los servicios adicionales al suministro de electricidad que se habían contratado. • Con fecha 9 de mayo de 2013 el contrato de suministro eléctrico a nombre de D. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 B.B.B. cursó Baja en IBERGEN ya que se recibió una solicitud de baja al haber contratado el cliente con otra empresa comercializadora. • Con fecha 17 de julio de 2013 se recibió en IBERGEN un correo electrónico de la O.M.I.C. de H.H.H. en el que se indicaba que "... a D. B.B.B., con DNI: F.F.F.. se le ha hecho cliente vuestro sin solicitarlo y debido a un error del comercial; ya que, el mismo día del error de alta, un vecino de su calle, en c/ D.D.D. n° 29. llamado D. A.A.A.. Sí contrató el servicio con vosotros. El Reclamante Solicita la devolución de la cuantía por valor de 43,80 €, la cual ha pagado sin merecerlo (cortas y reconexiones)." El reclamante solicitaba una nueva revisión del DNI y de las firmas. Se recibió en IBERGEN una copia de los DNI de los dos vecinos para comparar las firmas que, aunque muy parecidas, no eran idénticas. • El día 30 de julio de 2013 IBERGEN envió a D. B.B.B. un acuse de recibo de la reclamación recibida a través de la O.M.I.C. informándole de que se había procedido al registro de la misma y que se estaba analizando con los servicios afectados para responderle en el menor plazo posible. • Con fecha 24 de septiembre de 2013 IBERGEN envió una carta de contestación a D. B.B.B. disculpándose por la confusión y le informó de que, una vez revisada de nuevo toda la documentación y la firma relativa a la contratación, procedía atender la solicitud de devolución del importe de 43,80 euros reclamados que se le abonarían ya que la factura correspondiente había sido anulada. Así mismo se le informó de que el contrato de suministro eléctrico se encontraba ya dado de baja desde el día 9 de mayo de 2013. • Con fecha 15 de noviembre de 2013 tuvo entrada en IBERGEN una Solicitud de la Junta Arbitral de Consumo de la Comunidad Autónoma de Andalucía por la que se solicitó a IBERGEN, en nombre de D. B.B.B., una compensación por daños y perjuicios por la suspensión de suministro ocurrida, el tiempo dedicado por éste para resolver el error y las llamadas realizadas a IBERGEN. • El día 3 de diciembre de 2013 IBERGEN envió contestación a la Junta Arbitral de Consumo, explicó detalladamente lo sucedido en la contratación del suministro eléctrico, lamentando los hechos ocurridos y abonó a D. B.B.B. el importe de 150 euros como compensación a las molestias ocasionas por el incidente. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/06933/2013 se dictó por el Director de la Agencia, Acuerdo de Inicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Procedimiento Sancionador (PS/358/2014) al apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción. Por parte de la entidad denunciada se han presentado las siguientes alegaciones ante dicho Acuerdo: * Que reconoce su responsabilidad en el error cometido al validar como correcta una contratación de electricidad sin detectar la confusión con la documentación aportada por dos consumidores (vecinos de la misma calle y coincidentes en nombre y primera apellido) en el momento de la contratación presencial. Dicho error provocó que se activase un contrato de electricidad al consumidor que no la deseaba. * En consecuencia se solicita la aplicación de lo dispuesto en el art. 45.5d) de la LOPD * Así mismo se solicita la aplicación de lo establecido en el art, 45.4 de la LOPD en consideración a los criterios que se detallan en las alegaciones. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye, además, un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. V El art.3
4. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El artículo 6.1 de la LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. Precepto que no establece ni requiere que el consentimiento tenga que prestarse de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 forma determinada, ni expresa o por escrito. Por consiguiente el consentimiento se puede producir de forma expresa (oral o escrita) o por actos reiterados del afectado que revele que efectivamente ha dado ese consentimiento con los requisitos expuestos, consentimiento tácito. La carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. En este supuesto por parte de IBERCLI ha reconocido voluntariamente su responsabilidad, reconociendo el error cometido al validar como correcta una contratación de electricidad sin detectar la confusión con la documentación aportada por los dos consumidores (vecinos de la misma calle y coincidentes en nombre y primer apellido) en el momento de la contratación presencial. Dicho error provocó que se activase un contrato de electricidad al consumidor que finalmente no lo deseaba. Por todo ello al quedar constatado que IBERCLI no contaba con el consentimiento inequívoco del titular de los datos, para el tratamiento de los mismos se ha acreditado la vulneración del art. 6.1 LOPD. VI El artículo 44.3.
5. b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IBERCLI. a través de sus empleados o agentes, ha realizado un contrato, sin controlar ni realizar un trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar. En definitiva, es necesario que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente ha prestado su consentimiento al contrato del servicio y, en consecuencia, al tratamiento de sus datos personales. En el caso que nos ocupa han tratado los datos de la persona denunciante sin contar con su consentimiento lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
6. b)de la citada Ley Orgánica. VII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
7. a)El carácter continuado de la infracción.
8. b)El volumen de los tratamientos efectuados.
9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
10. d)El volumen de negocio o actividad del infractor.
11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
12. f)El grado de intencionalidad.
13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En este caso existe por parte de IBERCLI un reconocimiento voluntario de su responsabilidad por lo que es de aplicación lo dispuesto en el art. 45.5.d de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Junto a ello existen otras circunstancias que minoran de forma cualificada su responsabilidad, en especial, en primer lugar, que el tratamiento inconsentido de los datos del denunciante derivan de un error material de carácter puntual, en base a cual se dio de alta un contrato con su cliente a nombre del denunciante mezclándose los datos de ambos al coincidir su nombre y primer apellido, y en segundo lugar que ha existido una actuación diligente por parte de IBERCLI, que una vez recibida la reclamación del denunciante procedió a la devolución del importe facturado, indemnizándole por la molestias causadas, y evitando todo tratamiento posterior de sus datos personales. En consecuencia al haber reconocido voluntariamente la culpabilidad y aplicando los criterios de ponderación referidos en el párrafo anterior, se considera procedente imponer una multa de 10.000 € por la infracción del art. 6 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad, IBERDROLA CLIENTES SAU IBERDROLA CLIENTES SAU IBERDROLA CLIENTES SAU por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
22. b)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES SAU IBERDROLA CLIENTES SAU IBERDROLA CLIENTES SAU y a D. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-00000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es