← España

PS-00654-2014

1/16 Procedimiento PS/00654/2014 RESOLUCIÓN: R/01204/2015 En el procedimiento sancionador PS/00654/2014, instruido por la Agencia Española de Protección de Datos a la entidad Gas Natural SDG SA y a Gas Natural Servicios SDG SAU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21 de agosto de 2012 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara haber recibido los días 18/06/12, 19/07/12 y 14/8/12 tres mensajes comerciales de la empresa Gas Natural Fenosa, sin que exista consentimiento previo por su parte. Previamente utilizó su servicio de contacto para expresar su negativa a recibir dicho tipo de mensajes. Aporta las URL de los mensajes recibidos el 18/06/12, 19/07/12 y 14/08/12. Igualmente informa de una denuncia presentada anteriormente contra la entidad de referencia E/01334/2011. Solicitada al denunciante información adicional de mejora de la denuncia, mediante escrito con entrada en fecha 28/9/2011 el denunciante aportó impresión de las cabeceras de Internet y del código HTML de los correos recibidos en fechas 16/5/2012, 18/6/2012 y 19/7/2012. En todos los correos aportados aparece como anunciante “Gas Natural Fenosa” en tanto que los enlaces que contienen dan acceso a la web www.gasnaturalfenosa.es. Mediante diligencia de fecha 6/11/2012 se pudo comprobar que en dicha web consta una página titulada “Nota Legal” en la que se informa a los visitantes de la misma que es responsabilidad de Gas Natural SDG SA (GN). En fecha 18 de junio de 2013 se presentaron los inspectores de la Agencia en la sede de GN, en donde se realizó una inspección en relación con los hechos denunciados. En el acta de dicha inspección figura que la entidad inspeccionada era GN y que la misma fue leída por los representantes de la entidad, quienes no solicitaron la corrección de dicho dato. Durante la inspección, los inspectores solicitaron a los representantes de la entidad el acceso a los sistemas de información de la misma, en los cuales se realizaron una serie de comprobaciones en las que aparecían los datos personales del denunciante así como una serie de correos electrónicos que posteriormente fueron usados como prueba en procedimiento sancionador de referencia PS/00417/2013. Con fecha 26 de julio de 2013, el Director de la Agencia acordó iniciar el referido procedimiento sancionador a GN, por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como grave en el artículo 38.3.

  1. c)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 Durante dicho procedimiento sancionador GN alegó que no realiza ningún procedimiento de comercialización ni de suministro de gas o electricidad, por lo que no dispone ni trata los datos del denunciante, que son tratados por Gas Natural Servicios SDG SAU (GNS) y que los datos a los que se tuvo acceso no eran los de GN sino los de GNS. En fecha 16/12/2013 el director de la Agencia resolvió el archivo del mencionado procedimiento sancionador, ordenando el inicio de las presentes actuaciones por una presunta vulneración del artículo 21 de la LSSI por parte de la entidad GNS así como por los accesos realizados por GN a los ficheros de gestión de clientes del Grupo Gas Natural Fenosa. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a GN, que manifiesta: <<Primero.- Tal y como ya se puso de manifiesto durante las actuaciones realizadas en el expediente PS/00417/2013, mi representada es la empresa matriz del Grupo Gas Natural Fenosa, sin que la misma realice ninguna labor de comercialización ni de suministro de gas o electricidad, ni en consecuencia tenga que acceder, ni acceda a los ficheros de clientes de su filial GAS NATURAL SERVICIOS SDG, S.A., por lo que no existe ningún contrato entre ambas con esa finalidad. Segundo.- Se adjunta como Documento nº 2 copia de la escritura de poder otorgada por GAS NATURAL SERVICIOS SDG, S.A. a favor de Dña. B.B.B., letrada de los Servicios Jurídicos del Grupo Gas Natural Fenosa. Tercero.- En el acta de inspección realizada el 18 de junio de 2013 se accedió al sistema informático de gestión de clientes (Siebel) de Gas Natural Servicios SDG, S.A. Si, tal y como se manifiesta por los inspectores actuantes, durante la inspección mencionada, no se puso de manifiesto o no se hizo referencia expresa a la entidad con la que el denunciante tenía suscrito su contrato de suministro, fue simplemente por presumir que dicho dato ya era conocido por los mismos, dado los antecedentes que obraban en esa Agencia con respecto al denunciante, cuestión ésta que si se puso de manifiesto, informando los Sres. Inspectores que les resultaba extraño que se hubieran vuelto a remitir comunicaciones al denunciante cuando ese hecho ya había sido objeto de un procedimiento sancionador anterior. Así, en el año 2011 se incoó otro expediente sancionador (expediente nº PS 617/2011 contra Gas Natural SUR SDG, S.A. (derivado de las actuaciones previas con nº E/1334/2011), en relación con otra denuncia presentada por el mismo denunciante, D. A.A.A., y en el que, tanto en las actuaciones previas de investigación, como durante todo el procedimiento sancionador fue alegado que la empresa comercializadora del cliente y, por tanto, autora de las comunicaciones remitidas al mismo era GAS NATURAL SERVICIOS SDG, S.A., confirmándose finalmente este hecho por la Audiencia Nacional en la sentencia que fue incorporada a efectos probatorios al expediente PS/00417/2013. En consecuencia con lo anterior, pudiera ser que se hubiera obviado mencionar que se estaba accediendo a los sistemas de información de Gas Natural Servicios SDG, S.A., entidad suministradora del denunciante, pero si ello fue así, lo fue de manera totalmente inconsciente y sin ningún tipo de mala fe, puesto que tampoco fue preguntada por ese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 dato en concreto, siendo además esta representación la primera sorprendida al ver que con los antecedentes obrantes en esa Agencia se acabara incoando expediente sancionador contra GAS NATURAL SDG, S.A. Cuarto.- De igual forma, debe manifestarse que no existe ningún motivo concreto por el que los Servicios Jurídicos que atendieron a los inspectores actuantes, no solicitaran a éstos autorización para realizar la inspección en nombre de Gas Natural Servicios SDG, S.A., sino que de entrada se desconocían los motivos por los que se efectuaba la inspección y una vez concretado el caso del que se derivaba la denuncia no se percataron de que fuera necesaria la autorización a nombre de dicha sociedad.>> Mediante diligencia de fecha 17/7/2013 se ha podido comprobar que en el registro de la OEPM consta GN como titulad de la marca “Gas Natural Fenosa”. Durante la Tutela de Derechos de referencia TD/01441/2010 los servicios jurídicos de GN (comunes al grupo) manifestaban: <<… si bien las dos empresas forman parte del mismo grupo, el derecho ejercitado fue dirigido a la empresa matriz del grupo GAS NATURAL SDG, S.A. no pudiendo afectar a las obligaciones que la normativa impone a la empresa distribuidora del grupo. >> TERCERO: Con motivo de la denuncia presentada por A.A.A., se giró, con fecha 18 de junio de 2013, visita de inspección a la entidad GN, durante la cual la representante de la entidad facilitó a los inspectores actuantes el acceso a sus sistemas, accediendo éstos a los datos de las campañas realizadas al denunciante y a su dirección de correo electrónico ....@gmail.com. Asimismo facilitó el acceso a la base de datos de clientes en la que constaban los datos de nombre, apellidos, NIF, teléfonos y dirección de correo del denunciante. Durante la tramitación del procedimiento sancionador PS/00417/2013 incoado a GN se tuvo constancia de que el denunciante era cliente de GN y que las campañas objeto de denuncia se habían realizado por la citada entidad Así las cosas, GN, a través de su representante y en presencia de los inspectores de la Agencia Española de Protección de Datos, tuvo acceso desde su sistema de información a los datos personales del denunciante que se encontraban en la base de datos de clientes de GNS, sin que conste acreditado que el tratamiento de datos realizado por GN, cuando accedió a los datos del denunciante, ni la cesión de datos realizada por GNS, al permitir a GN el acceso a su base de datos, se encuentren respaldados por el correspondiente contrato que los legitime o por el consentimiento del denunciante. CUARTO: Con fecha 09/12/14 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A) Gas Natural SDG SA con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de la citada Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 B) Gas Natural Servicios SDG SAU, con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  3. k)de la citada Ley Orgánica. QUINTO: Fue notificado el acuerdo de inicio a denunciante (16/12/14) y denunciadas (15/12/14). Presentaron alegaciones ambas entidades y solicitan el archivo del procedimiento por prescripción de la infracción imputada y, subsidiariamente, el archivo por inexistencia de infracción. GNS alega: <<< Con carácter previo, es preciso poner de manifiesto la prescripción de la infracción que pretende imputar la AEPD a mi representada. Tal y como consta en el Acuerdo de Inicio de Expediente sancionador, el presente expediente se inicia como consecuencia de una denuncia presentada en fecha 21 de agosto de 2012 por el denunciante, quien manifiesta haber recibido los días 18.06.2012,19.07.2012 y 14.08.12 tres correos electrónicos de carácter comercial de Gas Natural Fenosa. La AEPD pretende imputar a GNS la infracción del art. 11.1 de la LOPD tipificada como grave en el art. 44.3
  4. k)de esa norma. El art. 47 de la LOPD regula la prescripción de las infracciones y sanciones establecidas en dicha norma, estipulando lo siguiente: "Artículo 47 Prescripción 1.Las infracciones muy graves prescribirán a los tres años, las graves a los dos años v las leves al año. 2.El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3.Interrumpirá la prescripción la iniciación, con conocimiento de interesado, del procedimiento sancionador. reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses, por causas no imputables al presunto infractor." En virtud de lo dispuesto en dicho artículo, la infracción que se pretende imputar habría prescrito, por haber transcurrido más de dos años desde que la supuesta infracción se cometió, ya que la última comunicación enviada lo fue en fecha 8 de noviembre de 2012 (véase Acta de Inspección E/05795/2012/1-01 y Resolución R/2755/2013) y el presente expediente sancionador no se le notifica a mi representada hasta el 15 de diciembre de 2014. En consecuencia con lo anterior, cabe proceder al archivo del presente expediente sancionador incoado contra mi representada por haber prescrito la infracción que se le pretende imponer. … GNS es una filial de Gas Natural SDG, S.A., que tiene como una de sus actividades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 principales la comercialización y el suministro de gas y electricidad a clientes domésticos y pymes, disponiendo de una cartera de clientes a los que presta distintos servicios previamente contratados por aquellos y, por tanto de una base de datos donde constan registrados dichos clientes. GNS, como filial de Gas Natural SDG, S.A. utiliza la marca que identifica al Grupo Gas Natural Fenosa, esto es la marca "Gas Natural Fenosa", y bajo esa marca realiza todas sus campañas comerciales, sin que tal y como presupone esa Agencia, el uso de dicha marca, signifique que quien realiza las campañas es Gas Natural SDG, S.A., que como ya se puso de manifiesto en ese mismo escrito es la empresa matriz del Grupo Gas Natural Fenosa, y no realiza labor comercial alguna con los clientes de GNS, ni de otras filiales de su Grupo. Por lo tanto, GNS no ha realizado ninguna comunicación de datos personales a su empresa matriz, Gas Natural SDG, S.A., sino que fue la propia GNS la remitente de las comunicaciones recibidas por el denunciante y que traen causa del presente procedimiento. Por ello, esta Agencia entiende que no ha sido destruido el derecho de presunción de inocencia (Art. 24.2 de la Constitución Española) de GN, procediendo al archivo del presente expediente sancionador. Por lo tanto, no habiendo existido ninguna comunicación de datos, no existe infracción alguna imputable a mi representada ni en modo alguno puede ser sancionado, debiendo en consecuencia proceder a archivar el presente expediente iniciado contra la misma. >>> GN alega: <<< Con carácter previo, es preciso poner de manifiesto la prescripción de la infracción que pretende imputar la AEPD a mi representada. Tal y como consta en el Acuerdo de Inicio de Expediente sancionador, el presente expediente se inicia como consecuencia de una denuncia presentada en fecha 21 de agosto de 2012 por el denunciante, quien manifiesta haber recibido los días 18.06.2012,19.07.2012 y 14.08.12 tres correos electrónicos de carácter comercial de Gas Natural Fenosa. La AEPD pretende imputar a GN la infracción del art. 6.1 de la LOPD tipificada como grave en el art. 44.3
  5. b)de esa norma. El art. 47 de la LOPD regula la prescripción de las infracciones y sanciones establecidas en dicha norma, estipulando lo siguiente: "Articulo 47 Prescripción 1.Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2.El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 3.Interrumpirá la prescripción la iniciación, con conocimiento de interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses, por causas no imputables al presunto infractor. En virtud de lo dispuesto en dicho artículo, la infracción que se pretende imputar habría prescrito, por haber transcurrido más de dos años desde que la supuesta infracción se cometió, ya que la última comunicación enviada lo fue en fecha 8 de noviembre de 2012 (véase Acta de Inspección E/05795/2012/1-01 y Resolución R/2755/2013) y el presente expediente sancionador no se le notifica a mi representada hasta el 15 de diciembre de 2014. En consecuencia con lo anterior, cabe proceder al archivo del presente expediente sancionador incoado contra mi representada por haber prescrito la infracción que se le pretende imponer. Sin perjuicio de lo manifestado en el apartado anterior y de forma subsidiaría, para el caso de que esa Agencia no estime los argumentos allí vertidos, debemos volver a incidir en que GN es la empresa matriz del Grupo Gas Natural Fenosa y no realiza labor comercial alguna con los clientes de GNS, ni de otras filiales de su Grupo, por lo que nada ha tenido que ver con los hechos que traen causa del presente expediente, … . Por lo tanto, no habiendo cometido mi representada infracción alguna, pues ni siquiera ha sido la autora de los hechos de los que se deriva la sanción que se pretende imponer, en modo alguno puede ser sancionada, debiendo en consecuencia proceder a archivar el presente expediente iniciado contra la misma. >>> SEXTO: Con fecha 02/02/15 se inició el período de práctica de pruebas: Se ACUERDA practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la resolución R/02755/2013, ordenando iniciar nuevas actuaciones previas de investigación a Gas Natural SDG SA y a Gas Natural Servicios SDG SA. 2. Se incorpora al procedimiento copia de los documentos obrantes en el expediente PS/00417/2013, abierto tras la denuncia de A.A.A., al que pone fin dicha resolución y se dan por reproducidos a efectos probatorios. 3. Se dan por reproducidos a efectos probatorios el informe de Gas Natural SDG SA, copia de la resolución R/00645/2011 recaída en la tutela de derechos de referencia TD/01441/2010, la impresión de la información obtenida de la página web de la OEPM relativa a la marca "Gas Natural Fenosa" y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07186/2013. 4. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por Gas Natural SDG SA y a Gas Natural Servicios SDG SA, y la documentación que a ellas se acompaña. SÉPTIMO: Con fecha 01/04/15 se formuló propuesta de resolución, consistente en Que por el Director de la Agencia Española de Protección de Datos se sancione a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 A--- Gas Natural Servicios SDG SAU por una infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  6. k)de dicha norma, una multa de 50.000, €, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. B--- Gas Natural SDG SA por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  7. b)de dicha norma, una multa de 50.000, €, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. OCTAVO: Ambas imputadas recibieron la notificación de la propuesta y formularon alegaciones: GNS reitera sus alegaciones al acuerdo de inicio de prescripción y no comunicación de datos a la matriz GN. Solicita el archivo del procedimiento por prescripción o por inexistencia de infracción. GN reitera sus alegaciones al acuerdo de inicio de prescripción, que es la empresa matriz del grupo GNF y no ha realizado tratamiento alguno de los datos del denunciante. Solicita el archivo del procedimiento por prescripción o por inexistencia de infracción. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1--- La persona denunciante, A.A.A., presenta el 21/08/12 escrito de denuncia contra Gas Natural SDG SA (GN) porque había recibido en su domicilio y a su nombre publicidad no solicitada. 2--- En la fase de investigación de esa denuncia, el Director de la Agencia autoriza la realización de una actuación inspectora en el domicilio de GN. Los Inspectores de Datos actuantes se personan el día 18/06/13 en dicho domicilio, se acreditan como tales y entregan la citada autorización a los representantes de la entidad que les reciben. 3--- La actuación de los Inspectores de Datos fue recogida en la siguiente: <<< ACTA DE INSPECCIÓN E/05795/2012/I-01 Datos para la identificación del inspeccionado: Denominación: GAS NATURAL SDG, S.A. Domicilio: PLAÇA DEL GAS, 1, Municipio: BARCELONA, Provincia: BARCELONA, Código postal: 08003, CIF: A08015497. El día 18 de junio de 2013, se personan los inspectores D. C.C.C. y D. D.D.D. en el establecimiento sito en el domicilio arriba indicado, teniendo en su presencia a: Dª B.B.B., con número de DNI ***NIF.1, en calidad de abogada de la entidad. E.E.E., con número de DNI ***NIF.2, en calidad de Responsable de Seguridad de la Información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 Los inspectores actuantes, habiendo acreditado su personalidad y habiendo entregado la autorización de entrada expedida por el Director de la Agencia, requieren la colaboración del inspeccionado, poniéndose de manifiesto los siguientes hechos durante la inspección. 1 Los inspectores comunican al representante de GAS NATURAL SDG, S.A. (en adelante GN) que su visita tiene relación con la denuncia presentada en relación con un presunto caso de correos electrónicos comerciales emitidos sin consentimiento del receptor. 2 Los representantes de GN realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Para la realización de las campañas por parte del departamento de Marketing se hace un perfil de mercado objetivo al que se quiere enviar la publicidad, así como se diseña una creatividad. Se procede al envío a Business Intelligence, de la tarjeta con el perfil objetivo, y por parte de esa unidad se realizan las consultas a los data mart (bases de dato usadas para minería de datos) de la entidad aplicando los filtros que les hayan pedido por Marketing. b. Business Intelligence procede a enviar los ficheros generados a las empresas de publicidad, que son quienes realizan los envíos finales. El envío de los ficheros a las empresas de publicidad puede ser por correo electrónico o por ftp. Se envía un fichero en formato ZIP o en formato Excel, siempre cifrado y con contraseña. c. La entidad recaba el consentimiento de los destinatarios de correos electrónicos de diversas formas. En los contratos en papel, dispone de una casilla específica para dar o negar el consentimiento. En la oficina virtual el cliente puede indicar por sí mismo si quiere o no recibir publicidad. También puede realizarlo por vía telefónica o por escrito. d. Los representantes de la entidad aportan las creatividades utilizadas para los envíos de origen de la denuncia, que se adjuntan como DOC. 1 Aporta igualmente fichas del perfil de público objetivo al que se le enviaron los correos electrónicos de dichas fechas, que se incluyen como DOC. 2. e. Los inspectores actuantes indican a los representantes de la entidad la falta de la información acerca de la forma de ejercer el derecho de oposición al envío de comunicaciones comerciales, manifestando los representantes de la entidad que en las creatividades de Marketing no aparece esa información, que es insertada automáticamente por la aplicación de generación de correo. f. C/ Jorge Juan, 6 28001 – Madrid Aportan los representantes de la entidad copia de los correos electrónicos que fueron recibidos en una cuenta de control de la que dispone se dispone para el envío de todas las campañas publicitarias, www.agpd.es sedeagpd.gob.es 9/16 copia de los cuales se adjuntan como documento DOC. 3. En dichos correos tampoco se encuentra información acerca de la forma de ejercicio del derecho de oposición. Informan los representantes de la entidad que el formato de los correos electrónicos ha cambiado, mostrando dos correos electrónicos en los que se da opción de oponerse a la recepción de correos comerciales, verificándose que dispone de un enlace a una página a través de la cual oponerse a los envíos comerciales. Se obtiene impresión de uno de los correos electrónicos, así como la página web a la que se tiene acceso desde ellos, que se incluyen como documento DOC. 4. 3 Los inspectores de la Agencia solicitan al representante de GN que les permita el acceso a sus sistemas en los que se realizan las siguientes consultas a. Se accede a la base de datos que contiene los datos de la campaña de fecha 9/9/2011 realizándose la búsqueda de la dirección de correo electrónico ....@gmail.com, encontrándose un registro asociado a Dª F.F.F.. Se repite la misma búsqueda sobre las bases de datos que contiene los datos de las campañas de fechas 16/5/2012, 18/6/2012, 19/7/2012, 14/8/2012 y 31/10/2012 repitiéndose en todas ellas la búsqueda de la dirección de correo electrónico ....@gmail.com, encontrándose en todas ellas un registro asociado a Dª F.F.F.. Se accede a la base de datos que contiene los datos de las campaña de fecha 8/11/2012, realizándose la búsqueda de la dirección de correo electrónico ....@gmail.com, encontrándose un registro asociado a D. A.A.A.. Señalan los representantes de la entidad que el envío correspondiente a esta campaña no era correo comercial, por lo que no era de aplicación el derecho de oposición a comunicaciones comerciales. Se recaba copia de dichas comprobaciones como documento como DOC. 5. b. Se realiza una consulta en la base de datos de clientes con el criterio de correo electrónico igual a ....@gmail.com, encontrándose dos registros asociados a dicha dirección, correspondientes a D. A.A.A. y a Dª F.F.F., apareciendo que mientras que el primero tiene marcado el campo “No publicidad”, el segundo no lo tiene marcado, por lo que se podría enviar correos electrónicos publicitarios. Manifiestan los representantes de la entidad que los clientes, al darse de alta en la oficina virtual dan el correo electrónico que estimen oportuno, la entidad no controla si la dirección de correo es cierta o no. Se observa que el teléfono móvil que aparece asociado a ambos clientes es el mismo. 4 Manifiestan los representantes de la entidad que, partir de una inspección anterior se hizo una mejora de seguridad para evitar duplicidades de correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 electrónicos, de forma que no se puedan dar de alta correos electrónicos que ya estén asociados a otros clientes. Y para que conste, se extiende la presente Acta, que leída y hallada conforme por todos los presentes, se firma voluntaria y libremente por los inspectores actuantes y por el inspeccionado, a quien se hace entrega de un ejemplar. POR PARTE DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS POR PARTE DE GAS NATURAL SDG, S.A. Fdo.: B.B.B. Fdo: C.C.C. Fdo.: E.E.E.. Fdo.: D.D.D. >>>. (folios 46-88) 4--- Por resolución de 16/12/13 el Director de la Agencia ordena investigar los accesos realizados por GN a los ficheros de gestión de clientes del grupo Gas Natural Fenosa. (folios 238-252) 5--- Por resolución de 09/12/14 el Director de la Agencia acuerda el inicio del procedimiento sancionador a GN por infracción del artículo 6.1 de la LOPD y a GNS por la infracción del artículo 11.1 de la misma norma. Dicha resolución fue notificada a GN y a GNS el día 15/12/14. (folios 305-316) FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II La Ley 30/1992, de 26 de noviembre del Régimen Jurídico y del Procedimiento Administrativo Común (en adelante LRJPAC), que regula con carácter general el instituto de la prescripción, hace una remisión normativa a las leyes especiales por razón de la materia objeto de regulación. En este sentido, el artículo 132.1 dispone que “Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan”. En este sentido, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal en lo sucesivo LOPD), establece en el artículo 47, lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el día de inicio del cómputo prescriptivo debe fijarse en la fecha -18/06/13- de la actuación inspectora en el domicilio de GN y que queda reflejada en el acta levantada al efecto y en el hecho probado 3. La resolución que acuerda el inicio del procedimiento sancionador por esos hechos fue notificado a GN y GNS el día 15/12/14. El plazo de prescripción concluiría el día 18/06/15. En consecuencia, las infracciones que se les imputan a GN y GNS no han prescrito, pues tanto la infracción del 44.3.
  9. b)como la del 44.3.
  10. k)son infracciones graves. III La LOPD en su artículo 11 “Comunicación de datos”, dispone: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  11. a)Cuando la cesión está autorizada en una Ley.
  12. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  13. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique... 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. En el presente caso, consta acreditado que, con fecha 13/06/13 GNS cedió los datos personales de la persona denunciante a GN, cuando los representantes legales de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 ésta accedieron al fichero de clientes de la comercializadora GNS imprimiendo pantallas de dicho contenido en presencia de los Inspectores de Datos, a los que autorizaron el acceso a dicha base de datos. GNS no ha justificado en forma alguna que dispusiera del consentimiento de la afectada para poder ceder sus datos personales a GN, ni ha presentado contrato alguno que le permita esa cesión conforme a las normas de protección de datos. Por otra parte, el presente supuesto no se ajusta a los previstos en el apartado 2 del citado artículo 11 de la LOPD, en los cuales no se requiere el consentimiento de la afectada para la comunicación de los datos a un tercero. IV La infracción de lo dispuesto en el artículo 11 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
  14. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente caso no concurre ninguna de las condiciones que, conforme al artículo 11 de la LOPD hubieran permitido la cesión de los datos de la denunciante, por lo que GNS ha incurrido en una infracción del artículo 11.1 de la LOPD, calificada como grave en el artículo 44.3.
  15. k)de dicha norma, por cuanto comunicó a la entidad GN los datos personales de la persona denunciante sin el consentimiento de ésta, incurriendo en dicha infracción. V La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El precepto citado debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  16. c)y 3,
  17. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que se refiere a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme a este principio el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La cuestión central a los efectos que nos ocupan es determinar si GN recabó y obtuvo el consentimiento inequívoco de la persona denunciante y titular de los datos que han sido objeto de tratamiento; tratamiento materializado, en esencia, en el contenido del acta del hecho probado 3. La actuación de GN y la documentación aportada al procedimiento no permiten acreditar que ha cumplido con la obligación impuesta por el artículo 6.1 de la LOPD, precepto que supedita el tratamiento de los datos personales de un tercero a contar con su “consentimiento inequívoco”. Debemos recordar, llegados a este punto, que corresponde a las entidades denunciadas la carga de la prueba del consentimiento del titular de los datos. La doctrina emanada de la Audiencia Nacional en relación a la carga de la prueba sigue esta orientación de manera constante, pudiendo remontarnos a la STAN de 21 de diciembre de 2001.Muy significativa es la más reciente STAN de 27 de enero de 2011 (Rec 349/2009), en cuyo Fundamento de Derecho Tercero, la Audiencia declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. (El subrayado es de la AEPD) Cabe citar, asimismo, la STAN de 31 de mayo de 2006, (Rec 539/2004) en la que el Tribunal afirma: “Por otra parte es al responsable del tratamiento (por todas, Sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de los datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. En este sentido la Sentencia de la Audiencia Nacional de 6 de mayo de 2011(Rec 123/2010) establece lo siguiente en referencia al artículo 6.1 de la LOPD: “En interpretación de tal precepto este Tribunal ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada, pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar tal consentimiento de inequívoco. Por ello, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la ley, sólo el consentimiento legítima el tratamiento y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado”. En consecuencia, la conducta de GN, anteriormente descrita vulnera el principio del consentimiento que proclama el artículo 6.1 de la LOPD, infracción tipificada en el artículo 44.3.
  18. b)de la citada Ley Orgánica que dispone: “Son infracciones graves, (..):
  19. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. VI El artículo 45 de la LOPD dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. La sanción imputada ha sido calificada como grave y por tanto corresponde una sanción que deberá ser fijada dentro del tramo de 40.001 a 300.000 euros. Para la fijación del importe de la sanción ha de considerarse lo dispuesto en el párrafo 4: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Las infracciones no se habrían producido de haber empleado GNS la debida diligencia en la puesta a disposición del acceso de una tercera entidad, aunque sea la matriz del grupo, que no estaba autorizada, por cuanto resulta obvia la irregularidad de su conducta, especialmente si consideramos el ámbito en el que se produce. Asimismo, no se acredita que hubiera tomado alguna medida o cautela específica para asegurarse de la regularidad de la cesión y del consentimiento de la persona denunciante. Así, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD y, en especial, las circunstancias referidas a los apartado
  30. c)y
  31. d)se propone la imposición a GNS de una sanción por importe de 50.000 euros. La actuación de GN además de carecer de consentimiento para el tratamiento de los datos de la titular de los mismos, permite constatar el acceso a las bases de datos de las empresas filiales de forma habitual y sin ningún requisito previo. Así, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD y, en especial, las circunstancias referidas a los apartado
  32. c)y
  33. d)se propone la imposición a GN de una sanción por importe de 50.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER las siguientes sanciones: 1--- A Gas Natural Servicios SDG SAU por una infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  34. k)de dicha norma, una multa de 50.000 €, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. 2--- A Gas Natural SDG SA por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  35. b)de dicha norma, una multa de 50.000 €, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Gas Natural SDG SA, a Gas Natural Servicios SDG SAU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.