1/12 Procedimiento Nº PS/00601/2013 RESOLUCIÓN: R/00739/2014 En el procedimiento sancionador PS/00601/2013, instruido por la Agencia Española de Protección de Datos a la entidad IBERDROLA GENERACION S.A.U., vista la denuncia presentada por Dª A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 7/11/12 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de denuncia presentado por Dª A.A.A., en el que manifiesta que (IBERGEN) ha tramitado a su nombre un contrato de suministro eléctrico que no reconoce. Aportando junto a su escrito una serie de documentación. SEGUNDO: Que en base a los hechos denunciados se levantó Acta de Inspección E/01294/2013/I01 con fecha 4/10/13 en la sede de la entidad denunciada. TERCERO: El expediente de actuaciones previas de inspección concluyó con informe de fecha 22/10/13: CUARTO: El Director de la Agencia Española de Protección de Datos acordó, con fecha 6/11/13, iniciar procedimiento sancionador a IBERGEN por la por la presunta infracción del artículo 6 de la LOPD. QUINTO Se presentó, con fecha 19/12/13, escrito de alegaciones al Acuerdo de Inicio, por parte de la entidad denunciada, acompañada de documentación, que se han valorado en la resolución de este expediente SEXTO Por el instructor del procedimiento se apertura periodo de prácticas de pruebas, incorporando la documentación y alegaciones presentadas en el procedimiento de actuaciones previas de investigación SEPTIMO: Con fecha 4/3/14 se dictó Propuesta de Resolución en el sentido de que por el Director de la Agencia se sancione a IBERGEN con multa de 10.000 por la infracción del artículo 6 de la LOPD. OCTAVO: Por escrito de 25/3/14 IBERDROLA GENERACION manifiesta su voluntad de proceder al pago voluntario de la sanción propuesta acogiéndose al art. 8.2 del RD 1398/93 del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora. HECHOS PROBADOS 1º Consta denuncia presentada por Dª A.A.A., en el que manifiesta que (IBERGEN) ha tramitado a su nombre un contrato de suministro eléctrico que no reconoce. 2º Constan los siguientes documentos aportados en el escrito de denuncia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 * Copia parcial de factura de 09/10/2012 emitida por IBERDROLA COMERCIALIZADORA DE ÚLTIMO RECURSO S.A.U. (en adelante IBERCUR) a su nombre, relativa al período de facturación 07/08/2012 al 30/08/2012 y vinculada a un contrato con referencia ***REF.1. No consta cuál es la dirección de suministro. * Copia parcial de factura de 10/10/2012 emitida por IBERGEN a su nombre, relativa al período de facturación 30/08/2012 al 04/10/2012 y vinculada a un contrato con referencia ***REF.2. No consta cuál es la dirección de suministro. * Copia de escrito de IBERGEN de 19/10/2012 en respuesta a una previa reclamación de la denunciante. En la carta se señala que “le informamos de que revisada la documentación de que disponemos, si bien nos consta un contrato de suministro a su nombre, tramitado a través de uno de nuestros colaboradores comerciales, y aparentemente válido, en atención a su reclamación vamos a efectuar una revisión de la contratación. Para ello le rogamos nos facilite (…) un documento oficial donde aparezca su firma (…) Así mismo y de cara a su verificación, le remitimos, adjunto al presente escrito, copia del contrato (…)”. * Copia de contrato de suministro eléctrico de IBERGEN de fecha 24/08/2012 cumplimentado a nombre de la denunciante. Como DNI consta el ***DNI.1. La dirección de suministro no figura de manera clara (aparece la calle (C/............1) aparentemente tachada y luego (C/............2); como número consta el 27 y como código postal el ***CP.1, de Madrid;). El CUPS es ***CUPS.1. En el documento adjunto al contrato “Carta al distribuidor de electricidad” se ha consignado como dirección vinculada al CUPS (C/............1) 27. * Copia de escrito de reclamación de 26/10/2012 presentado ante el Ayuntamiento de Humanes de Madrid. 3º Constan los siguientes hechos acreditados en el Acta de Inspección levantada el día 4/10/13: 3.1 En relación a la comercialización de sus productos en el marco del denominado mercado libre, IBERGEN expone que hace uso de tres canales fundamentalmente: ** Presencial: a través de los puntos de venta que IBERGEN tiene establecidos a través de terceras entidades con las que tiene suscritos los pertinentes contratos de prestación de servicios. ** On line. ** Telefónico. 3.2 Fuerzas de venta. IBERGEN tiene suscritos contratos con diversas entidades dedicadas a este negocio. Los agentes de estas entidades proceden a la captación de nuevos clientes siguiendo las directrices incluidas en un manual operativo y de conformidad con un código ético de venta. Estos agentes, que deben haber firmado junto con su contrato con la empresa de task force el mencionado código, son acreditados por IBERGEN. 3.3 Cada vez que se capta un nuevo cliente el agente debe recabar: la firma del titular, una copia del DNI/NIE, una copia de alguna de las últimas facturas y el contrato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 debidamente cumplimentado y firmado. 3.4 IBERGEN manifiesta que existe un procedimiento de verificación de la contratación consistente en la realización de una llamada telefónica al cliente, para comprobar la realidad de la venta realizada. Esa llamada la realiza una plataforma dependiente de la empresa de task force. Los representantes de la entidad ponen de manifiesto que a partir de 2014 esa comprobación la realizará una plataforma externa independiente. 3.5 El procedimiento finaliza con la remisión a IBERGEN de un documento Excel que recoge los campos cumplimentados en el contrato, la grabación de verificación realizada y toda la documentación recabada. 4º Constan las siguientes comprobaciones realizadas por los inspectores de la Agencia: 4.1 Accediendo a los sistemas de clientes de IBERGEN, se realizan las siguientes comprobaciones: - Utilizando como criterio de búsqueda el DNI ***DNI.2, el sistema no arroja resultado. - Accediendo al sistema utilizando como criterio de búsqueda la dirección (C/............1) 27, en Madrid, el sistema arroja como resultado tres puntos de suministro. Uno de ellos se corresponde con la Comunidad de Propietarios, no constando ningún contrato vinculado a los otros dos. 4.2 Accediendo al sistema utilizando como criterio de búsqueda el CUPS ***CUPS.1 el sistema muestra que este punto de suministro, localizado en la calle (C/............2), Madrid, se encuentra vinculado a A.A.A., a través de un contrato dado de alta con fecha 19/10/2012 y actualmente activo. Se han emitido un total de ocho facturas hasta la fecha y todas ellas figuran como abonadas. 4.3 El histórico vinculado a A.A.A. refleja tres contratos, todos ellos referidos a calle (C/............2), Madrid: - ***REF.1, con alta 30/06/2009 y baja el 30/08/2012. - ***REF.2, con alta 30/08/2012 y baja el 19/10/2012. - ***REF.3, con alta el 19/10/2012 y actualmente vigente. 4.4 Solicitando acceso a las reclamaciones asociadas a la dirección de (C/............2), se verifica que no consta ninguna reclamación. 4.5 Realizando una búsqueda en el histórico de clientes consta una reclamación formulada por A.A.A., de octubre de 2012. Esta persona manifiesta que ha recibido dos facturas en ese mes. IBERGEN le responde mediante carta de 19/10/2012 junto con la que le envía copia del contrato en el que se recoge el detalle de las condiciones contratadas. Se comprueba que IBERGEN le remite tanto el contrato suscrito con fecha 24/08/2012 como el resto de documentos que esta persona ha remitido a la AEPD junto con su denuncia. Entre ellos se encuentra la copia del DNI facilitado por la persona que realiza la contratación. Tal DNI es el ***DNI.1 y como titular consta una persona llamada A.A.A., que no es la denunciante. La copia del DNI la ha obtenido el comercial mediante la realización de una fotografía del documento realizada con el móvil. El DNI aparece C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 colocado sobre la copia del contrato, en el que se observa que el número del CUPS ha sido cumplimentado sólo parcialmente (ES********). 5º Los representantes de IBERGEN manifiestan que el contrato referido a (C/............1) 27 se trata de un contrato que nunca se dio de alta, probablemente por inconsistencia entre el domicilio facilitado en el contrato y el CUPS asociado. 6º Los inspectores actuantes muestran la copia de las dos facturas a las que hace referencia la denunciante y que originaron su primera reclamación ante IBERGEN, a la vista de las cuales los representantes manifiestan que si bien las dos facturas se emiten en octubre de 2012, cada una de ellas se corresponde con períodos de facturación diferentes, y ambas se refieren al contrato de suministro en el domicilio de Humanes, no constando la facturación de ningún servicio asociado a (C/............1) 27. 7º Cabe señalar, al respecto, que los números de referencia de contrato que aparecen en cada una de ellas se corresponden con los dos últimos que figuran vinculados a la cliente en relación al domicilio de Humanes y que se han descrito ut supra (***REF.2 y ***REF.3). 8º Habiendo solicitado copia del contrato de suministro eléctrico del domicilio sito en Humanes, IBERCUR expone que con base en la Orden ITC/1659/2009, de 22 de junio, por la que se establece el mecanismo de traspaso de clientes del mercado a tarifa al suministro de último recurso de energía eléctrica, se fijó que a partir del 1 de julio de 2009 los consumidores suministrados por un distribuidor que no hubieran optado por elegir empresa comercializadora pasarían a ser suministrados por un comercializador de último recurso perteneciente al grupo empresarial de la empresa distribuidora de su zona. * Así, con fecha 01/07/2009 la empresa distribuidora IBERDROLA DISTRIBUCIÓN ELÉCTRICA S.A.U. trasladó a IBERCUR los datos de A.A.A. en relación al suministro de Humanes. IBERCUR, como empresa comercializadora de último recurso, se limitó a garantizar la continuidad de los suministros y a aceptar como válidos los datos y la situación de los contratos que le fueron transferidos. Por ello el contrato existente entre A.A.A. e IBERCUR no se encuentra formalizado por escrito, sino que proviene del traspaso desde la empresa distribuidora de 01/07/2009. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/01294/2013 se determinó que, salvo prueba en contrario, que la denunciante era cliente de IBERCUR. Sin embargo, entre agosto y octubre de 2012 su suministro de luz estuvo dado de alta con IBERGEN (que procedió a facturar el suministro durante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 dicho período), sin que la entidad haya acreditado suficientemente que contaba con el consentimiento de la afectada para ello. Fruto de la reclamación de la denunciante, presumiblemente, el suministro volvió a ser dado de alta con IBERCUR. Por parte de la entidad denunciada se han presentado las siguientes alegaciones, en síntesis, ante los hechos denunciados y la apertura del expediente sancionador: - Con carácter previo informan de los ocurridos con objeto de explicar la actuación de IBERGEN en relación con la contratación del suministro de electricidad en el punto de suministro de la calle (C/............2), ya que se ha detectado un error en la mecanización de un contrato que se realizó mediante visita presencial en domicilio a una consumidora cuyo nombre y apellidos eran idénticos a los de la cliente que ha denunciado. - Con fecha 30/8/12 una vez activado el contrato en el punto se suministro de la calle (C/............2) se procedió a la comercialización del contrato de electricidad con toda normalidad - El 18/10/12 la denunciante se puso en contacto telefónico manifestando que no había firmado ningún contrato con IBERGEN. Se tramitó la queja y se comunicó al día siguiente que una vez revisada la documentación asociada al contrato aparentemente este era válido pero que con objeto de efectuar una revisión en profundidad del mismo se la solicitó que facilitase un documento oficial donde apareciese su firma. - Como medida cautelar se restableció el contrato de electricidad a si situación anterior el mismo día 19 de octubre, cesando la comercialización de ese contrato en ese mismo momento, El contrato estuvo activado con IBERGEN dos meses y se emitieron dos facturas de periodicidad mensual que fueron rectificadas abonando a la consumidora la diferencia del importe - El 15/11/12 se recibe en IBERGEN la reclamación presentada a través de la OMIC si bien ya la reclamación ya había sido resuelta - Se remitió un escrito a la denunciante confirmando que se había comprobado que su reclamación era procedente y que se habían realizado las correcciones oportunas en el contrato de electricidad para que les fuese comercializado por su anterior empresa de electricidad. Ajustándose los importes incorrectos facturados. - Se concluye por la entidad denunciada que los hechos ocurridos son resultado de un simple error involuntario provocado por una coincidencia de nombre y apellido entre dos clientes que provocó la activación errónea de un contrato de electricidad a un cliente que no correspondía. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. V En el presente caso se procede a examinar la reclamación de fecha de entrada en esta AEPD 7/11/12 en la que Dª A.A.A. manifiesta que IBERGEN ha tramitado a su nombre un contrato de suministro eléctrico que no reconoce. El art. 3 letra
- h)LOPD—LO 15/1999—define el consentimiento del interesado como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional reiteradamente, entre otras en sentencia de 28 febrero 2007, Rec 236/2005, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. La carga de acreditar la existencia del "consentimiento inequívoco" a que hace referencia el artículo 6.1 LOPD recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( SAN de 8 noviembre 2012, Rec 789/2010). Así las cosas, la denunciante negó en todo momento que hubiese suscrito contrato alguno con la sociedad actora. Según manifiesta IBERGEN el 24 de agosto de 2012 se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 formalizó un contrato de electricidad a nombre de Dª A.A.A., con DNI ***DNI.2, dicha contratación se realizó presencialmente en el domicilio ubicado en la C/ (C/............1) 27. En ese momento el cliente no aportó la última factura de electricidad de la anterior empresa comercializadora por lo que el comercial no tuvo la posibilidad de recabar los datos técnicos necesarios para identificar el punto de suministro (CUPS). Fue en el momento en que el colaborador procedió a mecanizar el contrato en el sistema de clientes de IBERGEN cuando, al no tener información del punto de suministro, tuvo que realizar una búsqueda por nombre y apellidos del cliente A.A.A., encontrando coincidencia con los datos de la denunciante, a la razón cliente de un contrato de electricidad en la calle (C/............2) nº 22. Se manifiesta por la entidad denunciada que se ha producido un error involuntario provocado por una coincidencia de nombre y apellidos entre dos clientes y la confusión en el CUPS del punto de suministro que provocó la activación errónea de un contrato de electricidad. Sin embargo dicha afirmación no puede exonerar la responsabilidad de Ibergen, puesto que corresponde al responsable del tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado, Debe tenerse en cuenta que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 2002 y 13 de abril y 18 de mayo de 2005). En este orden de cosas la Audiencia Nacional en Sentencia de 01/06/2005, declaró que “La materia que nos ocupa afecta a derechos fundamentales, con lo cual han de adoptarse las máximas cautelas para hacer frente a los riesgos que para los derechos de la personalidad puede suponer el acopio y tratamiento de datos por medios informáticos. Por ello la entidad que genera los datos debe poner un especial cuidado en garantizar en todo momento el principio de veracidad del dato y ello pues es la única manera de garantizar los derechos de los ciudadanos afectados por la recopilación y tratamiento de la información “ Por consiguiente no se ha probado hubiera adoptado las medidas a las que le obliga la diligencia mínima que debe observar en el tratamiento de los datos de las personas en relación con los productos que comercializa. Es esta falta de diligencia materializada en la asociación del los datos personales de la denunciante con un contrato de suministro de gas en un domicilio que no era el suyo es lo que hace recaer sobre la denunciada la responsabilidad por los hechos enjuiciados. Por todo ello se considera que la Entidad denunciada IBERGEN no ha desplegado una “mínima” actividad diligente tendente a constatar que contaba con el consentimiento inequívoco del titular de los datos, ni ha podido acreditar fehacientemente que constase con el consentimiento de la afectada, vulnerando con ello el contenido del art. 6.1 LOPD. VI El artículo 44.3.
- b)de la LOPD considera infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” IBERGEN, a través de sus empleados o agentes, asocio los datos de la denunciante a un punto de suministro de electricidad, sin controlar ni realizar un trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar. En definitiva, es necesario que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente ha prestado su consentimiento al contrato del servicio y, en consecuencia, al tratamiento de sus datos personales, conducta que encuentra su tipificación en este artículo 44.3.
- b)de la citada Ley Orgánica. VII El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Se manifiesta por la entidad denunciada que los hechos ocurridos son resultado de un simple error involuntario provocado por la coincidencia de nombre y apellido entre dos clientes, lo que provocó la activación errónea de un contrato de electricidad a un cliente que no correspondía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Por consiguiente pueden deducirse que existen una serie de circunstancias que minoran de forma cualificada la responsabilidad de Ibergen y que dificultaron de algún modo la correcta identificación de la titular del contrato correspondiente al domicilio de la calle (C/............2). Existe además una actuación diligente por parte de IBERGEN ya que restableció el contrato de electricidad a su situación anterior al día siguiente de la llamada de la denunciante... Siendo las facturas rectificadas y habiéndose corregido la incidencia con anterioridad al planteamiento de denuncia ante la OMIC y ante esta Agencia. Por lo que se considera procedente imponer una sanción de 10.000€ por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERDROLA GENERACION S.A.U., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.2 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA GENERACION S.A.U. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es