PS-00664-2015

1/12 Procedimiento PS/00664/2015 RESOLUCIÓN: R/01064/2016 En el procedimiento sancionador PS/00664/2015, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía SAU vista la denuncia presentada por C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 20 de enero de 2015 se recibe en esta Agencia escrito de C.C.C., en el que denuncia que: <<< 1.- El pasado 9 de enero de 2015 he recibo en mi domicilio escrito de Endesa, cuya copia adjunto, en el que me comunican que, tal como tengo solicitado con fecha 31.12.14, adjuntan una orden de domiciliación bancaria para que proceda a su firma. Se constata que el número de cuenta que figura en el escrito corresponde con la mía. 2.- Debo manifestar mi sorpresa por la carta recibida en mi domicilio particular toda vez que no he contratado ningún servicio con esta mercantil. Es más, en el mes de julio del 2014 suscribí un contrato integral de luz y gas con GasNaturalFenosa. 3.- Ante esta irregular situación, con fecha 12 de enero de 2015, a través de llamada telefónica al núm. que figura en su escrito, presenté una reclamación, indicando que yo no había suscrito contrato alguno con esta empresa. Mi sorpresa fue mayor al indicarme la persona que me atendió la llamada que el 31 de diciembre de 2014 había contratado el servicio de gas con ellos. Toda vez que esa afirmación era completamente falsa, les solicité una explicación que, desde luego, no me fue ofrecida. Igualmente, les requerí que probasen esta contratación, no obteniendo tampoco respuesta. El número de referencia de la reclamación telefónica presentada ante ENDESA es ***NÚMERO.1. >>> SEGUNDO: A la vista de los hechos denunciados se iniciaron actuaciones previas por el Servicio de Inspección de esta Agencia. Solicita información a la entidad Endesa Energía SAU (EE) y recibida respuesta emite el siguiente informe: <<< Con fecha 29 de mayo de 2015, se recibe en esta Agencia escrito de la entidad Endesa Energía SAU con el que adjunta la siguiente documentación: La contratación de gas se realizó con fecha 12 de diciembre de 2014 a través de dispositivo electrónico (Tablet) y formalizada por la persona que se identificó como su cónyuge, facilitando el nombre de A.A.A. con DNI E.E.E.. Se adjunta un contrato a nombre de la denunciante, firmado por el Sr. A.A.A., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 así como la documentación recabada por el distribuidor que gestionó la contratación: DNI (del firmante) y facturas a nombre de la denunciante emitidas por la anterior suministradora. Con fecha 12 de enero de 2015 se registra una reclamación de la titular, porque no reconoce la contratación. Analizada la reclamación se tipifica como venta incorrecta pero no se pudo anular la contratación de gas, puesto que la distribuidora de gas, con fecha 1 de enero de 2015, ya había concedido el acceso a terceros a la red a la que queda condicionada la efectividad y entrada en vigor del contrato de suministro. Endesa, intentó contactar con la interesada telefónicamente, para explicarle lo anteriormente expuesto e indicarle el procedimiento a seguir, no obstante no fue posible contactar con la denunciante. Con posterioridad se procede a la apertura de otra reclamación por los mismos hechos, verificándose que el contrato de gas se encontraba de baja desde el día 20 de enero de 2015, por cambio de comercializadora. Por lo tanto con motivo de las reclamaciones de la interesada, se tipificó la contratación como “Venta Incorrecta”, y verificada la baja del contrato, se procedió al cobro de la única factura emitida con cargo a una cuenta titularidad de ENDESA, finalizando la reclamación el 5 de marzo de 2015. >>> TERCERO: De todo lo actuado en la investigación previa se concluyó, salvo prueba en contrario, que Endesa Energía SAU realizó tratamiento de los datos personales de la persona denunciante contrario el principio del consentimiento de la LOPD al incorporar los datos personales de la persona denunciante a un formulario de contratación primero y después a su fichero de clientes y emitir posteriormente documentos a su nombre sin haber comprobado y documentado la identidad de la titular de los datos personales con copia del DNI y la representación que el solicitante decía tener para proporcionar los datos y suscribir en su nombre los formularios de contratación. CUARTO: Con fecha 27/11/15 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EE por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. QUINTO: Fue notificado el acuerdo de inicio a denunciante y denunciada. EE, tras obtener copia del expediente presentó alegaciones y solicitó el archivo del procedimiento al no haber infringido el art. 6.1 de la LOPD. Alega que <<< --- Endesa ha aportado una copia del contrato de gas debidamente cumplimentado con todos los datos de carácter personal y del punto de suministro así como la documentación recabada por el distribuidor que gestionó la contratación en el momento de formalizarse la misma, en concreto: DNI de la persona que se identificó como cónyuge de la interesada, facilitando el nombre de D. M.M.M. y el número de DNI ***DNI.1 así como las facturas de suministro de gas natural y energía eléctrica emitidas a nombre de la interesada por su anterior suministrador. … --- Tal y como dispone la jurisprudencia y la doctrina aplicable en la materia, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 infracción administrativa se define como una acción (u omisión) típica, antijurídica, culpable y punible. Conforme a lo anterior, toda calificación que pretenda ajustarse a derecho ha de observar estos principios constitutivos de la infracción administrativa, que resultan, por tanto, ineludibles para apreciar la existencia de tal infracción. …, en el presente supuesto NO CONCURREN EL PRINCIPIO DE ANTIJURICIDAD que conforma cualquier ilícito administrativo. El principio de culpabilidad exige la concurrencia de un elemento subjetivo en la conducta del administrado que le haga merecedor de reproche jurídico, ya sea a título de dolo ya de culpa. … En el presente caso, no concurre en la conducta de Endesa estos dos elementos necesarios para el ejercicio de la potestad sancionadora que debe tener un carácter residual v aplicarse con exquisita ponderación únicamente cuando la conducta del administrado sea realmente merecedora de reproche jurídico. Con fecha 12 de enero de 2015 se registró la reclamación ***NÚMERO.2 de la Sra. C.C.C. en la que indicaba que no reconoce la contratación con Endesa. Tras su análisis por parte del equipo que atiende las reclamaciones (EAR) se tipificó la venta como incorrecta pero no se pudo anular la contratación de gas (a diferencia del suministro de luz) puesto que la distribuidora de gas ya había concedido el acceso de terceros a la red a la que queda condicionada la efectividad y entrada en vigor del contrato de suministro según lo establecido en la normativa vigente y en la cláusula 10 "Duración, entrada en vigor e inicio del servicio" de las Condiciones Generales del Contrato. En efecto, el acceso por parte de la distribuidora de gas fue concedido el 1 de enero de 2015 (fecha de alta de contrato) y la reclamación de la interesada se recibe el 12 de enero de 2015. …Con posterioridad, se procede a la apertura de las reclamaciones ***NÚMERO.3 y ***NÚMERO.4. En la tramitación de las mismas se comprueba que el contrato de suministro de gas está de baja desde el 20 de enero de 2015 por cambio de comercializadora, es decir, que la Sra. C.C.C. contrató con otra empresa suministradora. Con fecha 23 de enero se generó la única factura emitida por el contrato, por importe de 16.01 €. Endesa procedió a imputar el coste de esta factura a una cuenta de su titularidad dado que por la propia operativa de los sistemas comerciales y al haberse producido la baja del contrato tan solo 3 días antes, no había sido posible paralizar la misma. Por lo tanto, como consecuencia de la reclamación de la interesada, se tipificó la contratación como "venta incorrecta" y, verificada la baja del contrato, se procedió al cobro de la única factura emitida con cargo a una cuenta de titularidad de Endesa a fin de evitar cualquier perjuicio a la interesada, finalizando la reclamación como procedente el 5 de marzo de 2015, esto es, con anterioridad a la notificación de la solicitud efectuada por la Agencia.>>> SEXTO: Con fecha 21/01/16 se inició el período de práctica de pruebas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 acordándose las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ENDESA ENERGÍA S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01430/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00664/2015 presentadas por ENDESA ENERGÍA S.A., y la documentación que a ellas acompaña. 3. Se advierte a la entidad denunciada que puede aportar cuanto documento crea oportuno para acreditar que disponía del consentimiento inequívoco de la denunciante para el tratamiento de sus datos personales. SÉPTIMO: El Instructor del procedimiento emitió propuesta de resolución sancionadora para Endesa Energía SAU por la infracción del 6.1, tipificado como grave en el 45.3.b), con imposición de sanción de 50.000 € conforme al 45.2 y 4 de la LOPD. OCTAVO: Notificada la propuesta a Endesa Energía SAU presentó escrito de alegaciones en plazo, reiterando las alegaciones al acuerdo de inicio y además alega: <<< ..., ha quedado acreditada la concurrencia de la circunstancia descrita en el artículo 45, apartado quinto, epígrafe
2. b)de la LOPD en base a las siguientes circunstancias: Endesa procedió a anular la contratación del suministro de energía eléctrica. Endesa no pudo anular la contratación del suministro de gas natural puesto que ya había sido aceptado por la empresa distribuidora responsable de la red por la que transita la energía hasta la vivienda del consumidor y del que depende la efectividad y activación del contrato. En el caso de que mi mandante hubiese tramitado la baja de dicho contrato -cuya alta efectiva se produjo con la concesión del acceso a la red de la distribuidora- se hubiese causado un gran perjuicio a la interesada puesto que se hubiese quedado sin gas en su vivienda en pleno invierno (el alta efectiva se produjo el 1 de enero de 2015). No obstante. Endesa intentó contactar el 14.15 v 20 de enero con la interesada a fin de informarle de lo expuesto en el apartado anterior. - El contrato de gas natural estuvo en vigor tan sólo 20 días. Únicamente se emitió una factura que se imputó a una cuenta de titularidad de Endesa. Consecuentemente, es incuestionable que Endesa procedió a realizar todas las actuaciones posibles para solventar la situación producida, con anterioridad a la notificación de las actuaciones inspectoras por parte de la Agencia. >>> De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 HECHOS PROBADOS 1 --- 12/12/14, fecha que figura en la fotocopia del formulario que presenta EE para acreditar que la persona denunciante ha solicitado contratación con dicha compañía. En dicho formulario figura: Código TF (TF******), Código comercial (C********), "Le informamos de que su solicitud contratación ha quedado cursada con los siguientes datos: Código ***CÓD.1, fecha 12-12-2014"; están marcadas las casillas de luz, gas y mantenimiento de gas; a continuación figura como orden de domiciliación un texto que culmina con la "firma cliente luz": rubrica, Fdo: M.M.M., DNI ***DNI.1 cónyuge. (Folio 15) Acompaña a dicho formulario fotocopia del DNI de dicha persona y de las facturas de luz y gas en la compañía E'ON a nombre de la denunciante. (Folios 23-24). Igualmente acompaña impresión de las "Condiciones particulares del contrato de energía y/o servicios adicionales" sin fecha ni firma. En este formulario figura como titular del suministro de electricidad y gas la persona denunciante con todos sus datos de identidad, fecha de nacimiento y teléfono de contacto (***TEL.1), los datos del punto de suministro ( F.F.F. D.D.D. B.B.B.) y los CUPS de luz y gas, dirección de correspondencia y datos bancarios (***CCC.1). (Folios 18-20) 2 --- Endesa Energía SAU (EE) remite escrito de 31/12/14 a la persona denunciante ( C.C.C., calle F.F.F. D.D.D. B.B.B.) adjuntando "Orden de domiciliación de adeudo directo SEPA" de pago recurrente -cumplimentado con sus datos personales de nombre, apellidos, DNI, domicilio y número de cuenta IBAN-, "que constituye la autorización y expresión de consentimiento proporcionada por usted a Endesa con el fin de permitir a ésta iniciar los cobros de facturas de fluido mediante el cargo en su cuenta tal y como nos solicitó el pasado 31/12/2014". (Folios 3-4) 3 --- 01/01/15, fecha que figura en la base de datos de EE de alta del contrato de gas a nombre de la denunciante para la vivienda de su domicilio. La baja es de 20/01/15. (Folios 27-28) 4 --- 12/01/15, fecha de la reclamación telefónica (***NÚMERO.2) efectuada por la denunciante manifestando que no ha firmado el contrato de gas, que ella lo hizo con Fenosa y pide explicaciones de la firma del contrato. En la base de datos queda anotado que en los días sucesivos se realizan intentos de contacta con la denunciante por medio del teléfono de contacto (***TEL.1). (Folio 25) 5 --- 23/01/15, fecha de la factura emitida por EE a nombre de la persona denunciante por el suministro (1 a 20/01/15) de gas por importe de 16,01 €, según consta anotado en la base de datos de la compañía. (Folio 29) 6 --- 03/02/15, fecha de la reclamación telefónica (***NÚMERO.3) efectuada por la denunciante manifestando que reitera su reclamación anterior, al informarla contrato del cónyuge informa que es viuda, indica que ella no ha firmado ningún contrato y solicita la anulación, no aportó los datos; queda anotado su teléfono de contacto ***TEL.2. (Folio 25) 7 --- 05/02/15, fecha de la reclamación escrita (***NÚMERO.4) efectuada por la denunciante; queda anotado "cliente con una factura de 16 € indica que no ha solicitado ningún alta con Endesa". (Folio 26) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 8 --- 05/03/15, en la base de datos queda anotado "Finalizamos procedente. Hemos finalizado favorablemente todas las gestiones referentes a la venta incorrecta". El di anterior quedo anotado: "Procedemos al cobro de facturas sec 13 con cargo en la cuenta ceco canales y ventas por importe de 16,007 € por venta incorrecta". (Folio 26) FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a EE que ha quedado reflejada en los hechos declarados probados arriba relatados. EE –empresa comercializadora del grupo Endesa- es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio del consentimiento contenido en el artículo 6.1 de la LOPD. Los datos personales de la persona denunciante fueron tratados por EE al tramitar el alta en sus ficheros de los datos personales de la persona denunciante como titular de un contrato que no había firmado, ni solicitado y emitir factura a su nombre por el suministro de gas correspondiente a la vivienda de su domicilio. Quien suscribe el contrato que da lugar al alta en EE es un tercero que dice ser el cónyuge ante el comercial que cumplimenta el formulario. No se ha aportado copia del DNI de la persona denunciante, ni tampoco del documento de representación que autorizaba al firmante para contratar en su nombre y con su consentimiento. No es competencia de esta Agencia decidir sobre la validez de dicho contrato de suministro y si dicha compañía comercializadora tiene o no derecho a reclamarle el pago de una cuantía por suministro no abonado. Es competencia de la Agencia determinar si, para el tratamiento de los datos de la persona denunciante, EE disponía de su consentimiento inequívoco o había actuado con la diligencia necesaria para su obtención. No se ha acreditado que lo tuviera. Y los documentos y contactos posteriores no subsanan esa carencia, al contrario, la persona denunciante ratifica su posición de que la compañía carecía de su consentimiento inequívoco. Ha de concluirse que EE ha realizado un tratamiento de datos personales sin la diligencia exigible, a la vista de la prueba documental aportada, para identificar al titular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 y documentar dicha identidad y la representación de la persona firmante para dicha contratación. El tratamiento efectuado infringe el principio del consentimiento en la normativa de protección de datos. III. La LOPD establece: “Artículo 6. Consentimiento del afectado “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento del afectado para la recogida o tratamiento de los datos personales del mismo es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. Se le hace responsable EE en el presente procedimiento de una infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 292/2000, de 30 de noviembre (FS. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Carece del consentimiento inequívoco de la persona denunciante el tratamiento efectuado por la comercializadora al tramitar el cambio de compañía, el alta en sus bases de datos y la emisión de factura. EE no ha acreditado motivo, razón o circunstancia que justificara ese tratamiento de datos sin consentimiento de la persona afectada. En este caso los datos personales de la persona denunciante, sin su consentimiento, son usados para cumplimentar un formulario de contratación primero, para darle de alta en el fichero de clientes, gestionar el cambio de compañía y emitir factura. IV. El artículo 44.3.
4. b)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
5. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. La Audiencia Nacional ha manifestado en su Sentencia de 22/10/2003 que “... la descripción de conductas que establece el artículo 44.3.
6. d)de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos, realizando envíos publicitarios”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 En este caso, ha incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. Ha tratado los datos de la persona denunciante sin contar con su consentimiento, lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
7. c)de la citada Ley Orgánica. V. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracciones graves, la sanción que procede imponer a HC Energía debe ser de un importe comprendido entre 40.001 y 300.000 euros. VI. El artículo 45.5 de la LOPD, establece: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
8. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
9. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
10. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
11. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
12. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Pero en el presente caso no se aprecia ninguna de dichas circunstancias VII. El artículo 45.4 de la LOPD, establece: "La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
13. a)El carácter continuado de la infracción.
14. b)El volumen de los tratamientos efectuados.
15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
16. d)El volumen de negocio o actividad del infractor.
17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
18. f)El grado de intencionalidad.
19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Es necesario examinar las circunstancias de aplicación del 45.4. Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio del consentimiento desde diciembre de 2014 hasta marzo de 2015. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que pertenece a un grupo que tiene como actividad la prestación y la facturación de suministros de energía y tiene un constante tratamiento de datos de carácter personal derivado del importante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 volumen de negocio y clientes que tiene el Grupo, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio hay que hacer constar que es un hecho notorio que excluye la necesidad de aportar elemento probatorio alguno. Pertenece a uno de los grupos energéticos más importantes de la península ibérica. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos como cliente a la persona denunciante y ordenó el cambio de comercializadora no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a quien a los supervisores de todos ellos. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. No obstante, ha de ser considerada como atenuante la actuación de EE –una vez conocida la reclamación de la denunciante ante el alta inconsentida- para restablecer el estatus quo contractual de ésta. El alta en el suministro de gas 20 días; se han acreditados intentos de contacto para solucionar el problema; la justificación de esos 20 días de alta, relacionada con la distribuidora de gas –posibilidad de corte de suministro por cambio de comercializadora- no es suficiente: el cambio de comercializadora es un trámite administrativo que no lleva, o no debe llevar, aparejado un corte de suministro. Valorando todas las circunstancias permite graduar la sanción en un importe de 40.001 € para EE. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Endesa Energía SAU, por una infracción del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
23. b)de la LOPD, una multa de 40.001 € (cuarenta mil y un euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a Endesa Energía SAU y a C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es