PS-00597-2016

1/7 Procedimiento Nº: PS/00597/2016 RESOLUCIÓN R/00487/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00597/2016, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA XXI, S.L.U., vista la denuncia presentada por DÑA. D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/12/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ENDESA ENERGÍA XXI, S.L.U., mediante el Acuerdo que se transcribe: <<HECHOS PRIMERO: Con fecha de 19 de enero de 2016 tiene entrada en esta Agencia un escrito de D.D.D. en el que declara: Hace unas semanas ha recibido una llamada de una asesoría jurídica en la que le reclaman el pago de una factura de ENDESA por suministro de energía en un inmueble en el que no reside. En ENDESA le han informado de que en el contrato correspondiente a dicho inmueble figuran sus datos personales (nombre y apellidos, dirección electrónica y números de teléfono), así mismo le informan de que van proceder a subsanar el error. Con fecha 17 de diciembre de 2015, comprueba que en la página web de ENDESA, utilizando su usuario y contraseña, visualiza todos los datos de otra persona con la que no tiene ninguna relación. Ha intentado contactar con ENDESA pero no le ha sido posible. Con su denuncia aporta: Copia impresa de la pantalla de la Oficina Virtual de ENDESA, en la que consta el acceso a las facturas de “ C.C.C.”. Copia de dos facturas de ENDESA ENERGIA XXI S.L.U., de octubre y noviembre de 2015, a nombre de C.C.C.. Posteriormente, con fecha 23 de febrero de 2016, la denunciante aporta la siguiente información a requerimiento de esta Agencia: Copia impresa de las pantallas de acceso a la Oficina Virtual de ENDESA, con el identificador de la denunciante, donde accede a sus datos y a los de C.C.C., incluidas las facturas de este cliente. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ENDESA ENERGÍA XXI, S.L.U., teniendo conocimiento de que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 En la inspección realizada en ENDESA ENERGÍA XXI, S.L.U. en fecha 13/06/2016 se han realizado las siguientes comprobaciones en su fichero de CLIENTES. 1 Se realiza una búsqueda por el número de DNI de la denunciante verificando que consta como titular de dos contratos de energía eléctrica, uno de ellos en vigor y con fecha de alta 29 de diciembre de 2014. 2 Se realiza una búsqueda por el número de DNI F.F.F. (que corresponde a C.C.C.) verificando que consta como titular de dos contratos de energía eléctrica con ENDESA ENERGIA XXI S.L., uno de ellos vigente en la actualidad. Así mismo, se verifica que los datos de la denunciante constan como persona de contacto o autorizada de este cliente. Se realiza una consulta de los contactos asociados al cliente, comprobando la existencia de varias llamadas entrantes de la denunciante. 3 Se realiza una búsqueda de las facturas correspondientes al DNI F.F.F.., obteniendo copia de las emitidas con fecha 22 de septiembre de 2015 y 3 de noviembre de 2015, y en las que se comprueba que coinciden con las aportadas por la denunciante. 4 En la Inspección se ha recabado copia de los ficheros de voz grabados en un CD, de los contactos mantenidos por la denunciante con la compañía y que constan asociados a los datos del cliente C.C.C.. Se verifica que de los siete ficheros que contiene, los que se describen a continuación tienen relación con los hechos denunciados: a. Con fecha 20 de octubre de 2015 La denunciante realiza una llamada a ENDESA en la que se identifica como A.A.A. y solicita información sobre un cliente del que se ha recibido un escrito en el Ayuntamiento en relación con un contrato de obra de energía eléctrica de ENDESA. Tal y como le solicitan, facilita los datos de D.N.I. y número de contrato del cliente y también facilita su número de D.N.I., ya que se según le informan, para facilitarle la información del cliente, tienen que incluir sus datos como persona de contacto del cliente. La denunciante manifiesta su disconformidad a que se le incluya como persona de contacto, no obstante, según le indican es el procedimiento de la entidad y tienen que incluirla. b. Con fecha 5 de noviembre de 2015: La denunciante manifiesta que Medina Cuadros, le ha reclamado una factura de ENDESA, que pertenece a otro cliente, C.C.C., y que según le han informado ella consta como persona de contacto de este cliente, ella niega tener ninguna relación con el citado cliente y ser persona de contacto de ese contrato. Le informan de que proceden a borrar sus datos del contrato del cliente. c. Con fecha 17 de diciembre de 2015: La denunciante manifiesta que, a través del canal cliente de la compañía, puede ver además de sus datos, los datos de otro cliente C.C.C.. Según le solicitan facilita sus datos y los del cliente. Le informan de que cuando una persona solicita información sobre otro cliente, según el procedimiento de la compañía, se incluyen sus datos como persona de contacto del cliente. La denunciante niega que sea persona de contacto de ese cliente. Le indican que tienen que abrir una reclamación y que envíe un correo electrónico a una dirección de ENDESA. La denunciante se niega a enviar ningún correo y a poner ninguna reclamación, manifestando que el error es de la compañía y que ella ya lo ha puesto en su conocimiento y que tienen que ser ellos los que den una solución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 5 En la Inspección, a la vista de la documentación aportada por la denunciante y de las comprobaciones realizadas, la representante de ENDESA, ha realizado las siguientes declaraciones en contestación a las cuestiones planteadas por los inspectores: a. La denunciante es cliente de ENDESA ENERGIA S.A., como titular de un contrato de suministro eléctrico por lo que sus datos constan en el fichero de CLIENTES de ENDESA. b. En septiembre de 2015, la denunciante, identificándose como E.E.E., realizó una llamada a atención al cliente de ENDESA, en nombre de C.C.C., para realizar una consulta sobre este cliente. c. Como consecuencia de la llamada y para poder facilitarle información del otro cliente, según el procedimiento establecido por ENDESA, se incluyeron los datos de la denunciante como autorizada en el contrato de C.C.C.. d. Al estar autorizada en dicho contrato, podía visualizar a través del canal clientes de la compañía, tanto sus datos como los de C.C.C.. e. No se tramitó ninguna reclamación como consecuencia de las llamadas de la denunciante, dado que manifestó su oposición a realizarla, por lo que a día de hoy, la denunciante sigue figurando como persona autorizada en el contrato de C.C.C.. 6 En presencia de los Inspectores, la representante de ENDESA borra los datos de la denunciante como persona autorizada del cliente C.C.C.. 7 Con fecha 24 de junio de 2016, ENDESA ha remitido a esta Agencia la siguiente información con objeto de completar la recabada en la Inspección: a. El procedimiento establecido por la compañía para dar información de un cliente a terceros a través del canal telefónico, es el de solicitar la identificación del interlocutor y sus datos personales así como el D.N.I., nombre y apellidos y número de contrato del cliente al que se refiere la consulta. b. Para añadir una persona de contacto a un cliente es necesaria la solicitud del propio cliente bien por escrito o mediante grabación telefónica. c. En el caso denunciado, al tratarse de una A.A.A. solicitando información de un cliente que había presentado una reclamación, se registraron sus datos como persona autorizada de dicho cliente ya que el propio cliente se había dirigido al Ayuntamiento. FUNDAMENTOS DE DERECHO I En primer lugar, los hechos expuestos pueden suponer la comisión por parte de ENDESA ENERGIA XXI, S.L.U., de una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, tipificada como grave en el artículo 44.3.c), de dicha norma, que considera como tal, “

1. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica . II En segundo lugar, los hechos expuestos también pueden suponer la comisión, por parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 de ENDESA ENERGIA XXI, S.L.U., de una infracción del artículo 10 de la LOPD, que señala que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, tipificada como grave en el artículo 44.3
2. d)de dicha norma, que considera como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” sancionable con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45 de la citada Ley Orgánica. III Los hechos constatados, consistentes en tratar datos personales de la denunciante como persona de contacto de otro cliente, y el acceso por la misma a la información de éste disponible a través del área de clientes habilitada en el portal web de la entidad, constituyen la base fáctica para fundamentar la imputación a ENDESA ENERGIA XXI, S.L.U. de las infracciones de los artículos 4.3 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, el tratamiento de datos personales de la denunciante asociados a los de otro cliente deriva, a su vez, en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción prevista para la infracción del artículo 4.3 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. IV Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD: . Se considera el carácter continuado de la infracción (apartado 4.
3. a)por el tratamiento de los datos de la denunciante (el registro de los datos de la denunciante como persona de contacto de otro cliente se produjo en fecha 20/10/2015, como consecuencia de una llamada que realizó a la compañía solicitando información sobre el mismo debido a que había presentado una reclamación en el B.B.B., y esta situación no se modificó hasta el 13/06/2016, como consecuencia de la Inspección realizada a la entidad); la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad de la entidad imputada exige un continuo tratamiento de datos de carácter personal que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa; y el volumen de negocio o actividad (apartado 4.
4. d)de la entidad (según la información obtenida en la página web www.asexor.es, se trata de una empresa de tamaño grande y según la información publicada en con fecha 8 de noviembre de 2016, “Endesa… gana 1.305 millones hasta septiembre”; y, especialmente, se considera que la situación irregular denunciada se mantiene por todo el tiempo señalado a pesar de la negativa manifestada puntual y reiteradamente por la denunciante; determinándose la cuantía de la sanción por vulneración del artículo 4.3 de la LOPD en la cuantía de 50.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a ENDESA ENERGÍA XXI, S.L.U. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
5. c)de la citada Ley. 2. NOMBRAR como Instructor a…, y como Secretaria a… indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
6. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y art. 127 letra
7. b)del RLOPD, la sanción que pudiera corresponder sería de 50.000 euros, sin perjuicio de lo que resulte de la instrucción. Asimismo, de conformidad con los artículos 64.2.
8. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 10.000 Euros (diez mil euros). Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 Euros (cuarenta mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 10.000 euros (diez mil euros). Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 Euros (cuarenta mil euros) y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 30.000 Euros (treinta mil euros). En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (40.000 Euros o 30.000 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00596/2016 y la causa o causas de reducción del importe de la sanción a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. 5. NOTIFICAR el presente Acuerdo a ENDESA ENERGÍA XXI, S.L.U. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
9. f)del artículo 127 del RLOPD. De conformidad con lo establecido en los artículos 37.
10. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno>>. SEGUNDO: En fecha 31/01/2017, la entidad ENDESA ENERGÍA XXI, S.L.U. ha procedido al pago de la sanción en la cuantía de 30.000 euros (treinta mil euros), haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 23/01/2017, tuvo entrada en esta Agencia escrito de la entidad ENDESA ENERGÍA XXI, S.L.U., de fecha 20/01/2017, en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción reglamentariamente” previsto en este apartado podrá ser incrementado De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00597/2016, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA XXI, S.L.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es