← España

PS-00665-2014

1/16 Procedimiento PS/00665/2014 RESOLUCIÓN: R/00739/2015 En el procedimiento sancionador PS/00665/2014, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía XXI SLU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22 de noviembre de 2012 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia que, utilizando su propia clave, ha podido acceder a los datos de otro cliente a través del acceso web proporcionado por la entidad (oficina de Endesa online). Considera que la otra persona puede de forma recíproca hacer lo mismo con sus datos. Indica que se ha puesto en contacto con la entidad en varias ocasiones para solucionar el problema y que no ha tenido éxito. SEGUNDO: Con fecha 9 de mayo de 2013 se realizó una visita de inspección a ENDESA ENERGÍA XXI SLU (EEXXI). Los inspectores realizaron las siguientes comprobaciones en el fichero de clientes de la entidad: <<< Se realiza una búsqueda utilizando como argumento el DNI ***DNI.1 verificando que se aparecen datos de dos clientes con el mismo identificador (DNI): A.A.A. con dirección (C/.........1), (Cádiz) B.B.B. con dirección (C/.........2), (Barcelona). Se verifica que el sistema muestra el mismo email y teléfono de contacto para ambos clientes. Se accede a la ficha de cliente correspondiente a A.A.A., verificando que el sistema muestra un número de contrato, que, según manifestaciones de los representantes de la entidad, se encuentra activo. Se verifica que figura un contacto con el cliente, de fecha 19/12/2011, consistente en un email entrante, en el que el cliente indica que “APARECE CON SU DNI UN CONTRATO A NOMBRE DE B.B.B. QUE NO TIENE NADA QUE VER CON EL, LO HA COMPROBADO EN ENDESA ONLINE”. En el contacto figura “NOSOTROS COMPROBAMOS LOS DATOS EN NUESTRO SISTEMA Y VEMOS QUE ESTA A NOMBRE DEL CLIENTE, DE TODAS FORMAS LE INDICAMOS QUE NOS APORTE DNI COMO DATOS ADJUNTOS PARA VERIFICAR QUE TODO SEA CORRECTO”  Se accede a la ficha de cliente correspondiente a B.B.B., verificando que el sistema no muestra ningún número de contrato manifestando los representantes de la entidad que la razón de ello es que en el momento de realizar la inspección no existe ningún contrato activo. Constan dos contactos con el cliente, uno de fecha 17/12/2011, en el que figura comentario relacionado con una modificación de los datos del titular email y teléfono, constando como nombre y apellidos A.A.A. y el DNI ***DNI.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 Se realiza una búsqueda del contrato de número ***CONTRATO.1, que figura en la impresión de pantalla aportada por el denunciante como contrato de B.B.B., verificando que no se encuentran datos asociados a dicho número de contrato. Durante la inspección realizada los inspectores de la Agencia mostraron a los representantes de la entidad la impresión del acceso a los datos de B.B.B. a través de la oficina online de ENDESA, aportada por el denunciante, ante lo cual, los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las preguntas planteadas por los inspectores: +La pantalla mostrada se corresponde con la pantalla inicial que muestra la oficina online cuando el cliente dispone de varios contratos, para que seleccione uno de ellos y seguir accediendo a los datos disponibles del mismo. +Los datos accesibles son los básicos del cliente así como los datos de facturación y de domiciliación bancaria. +En el caso del contrato número ***CONTRATO.1 que figura en la pantalla asociado a B.B.B., al seleccionarlo e intentar acceder a los datos del mismo, no se mostraría ninguna información adicional, según se ha podido comprobar en la búsqueda de datos asociados a dicho contrato realizada a través del Sistema de Información de la entidad. +Desconocen el motivo por el cual aparecen asociados los datos de los dos clientes al mismo identificador (DNI). >>> TERCERO: A requerimiento de los inspectores de la Agencia, Endesa presenta el día 21/05/13 escrito en el que informa: <<< Primero.- En cuanto a la copia de los contratos suscritos por Don A.A.A. y Doña B.B.B., mi mandante no dispone de copia física de los mismos puesto que Endesa Energía XXI pasó a prestar el suministro de energía eléctrica a los mismos ante la desaparición del suministro a tarifa, de conformidad con lo preceptuado en la normativa eléctrica vigente. En efecto, Endesa Energía XXI es la empresa comercializadora de último recurso del Grupo Endesa, que suministra de manera obligatoria el gas y la energía eléctrica a los consumidores que anteriormente eran suministrados por una empresa distribuidora o que carecen de un contrato en vigor con una comercializadora de mercado libre. Como ya conoce esa Agencia, a partir del 1 de julio de 2009 entró en vigor una importante modificación en el sector de la energía eléctrica consistente en que, a partir de dicha fecha, el suministro ya no podía ser prestado por las empresas distribuidoras sino que debía de ser prestado por una empresa comercializadora (esta modificación ya se había producido un año antes en el sector gasista). Es decir, que las empresas distribuidoras no podían seguir vendiendo la energía eléctrica a los clientes sino que esta actividad queda reservada a las empresas comercializadoras, todo ello en aras a fomentar la competencia en el mercado energético y reducir el riesgo de posiciones dominantes. No obstante, a efectos de evitar que aquellos consumidores que venían siendo suministrados por la empresa distribuidora y no hubiesen optado por contratar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 suministro con una empresa comercializadora de mercado libre se quedaran sin suministro eléctrico, se creó la figura del comercializador de último recurso que, por imperativo legal, debe prestar el suministro a dichos consumidores a un precio establecido por el Gobierno (tarifa de último recurso o TUR). Lo anterior, no es más que el resultado de la transposición de la Directiva 2003/54/CE, del Parlamento Europeo y del Consejo, de 26 de junio de 2003, sobre normas comunes para el mercado interior de la electricidad, a nuestro ordenamiento jurídico. A efectos de incorporar los cambios introducidos por dicha Directiva, se dictó la Ley 17/2007, de 4 de julio, que modifica la Ley 54/1997, de 27 de noviembre, del Sector Eléctrico, para adaptarla a lo dispuesto en la Directiva 2003/54/CE, del Parlamento Europeo y del Consejo, de 26 de junio de 2003, sobre normas comunes para el mercado interior de la electricidad. Con dicha Ley se crea el concepto de suministrador de último recurso que se desarrolla posteriormente en el Real Decreto 485/2009, de 3 de abril, por el que se regula la puesta en marcha del suministro de último recurso en el sector de la energía eléctrica (Real Decreto 485/2009). En el artículo segundo de dicho Real Decreto 485/2009, se procedía a la designación de los comercializadores de último recurso entre los que se incluye a mi mandante: "Artículo 2. Designación de los comercializadores de último recurso. 1. Asumirán la obligación de suministro de último recurso de energía eléctrica, en todo el territorio nacional, las siguientes empresas comercializadoras de energía: a. ENDESA ENERGÍA XXI, S. L. " Por su parte, el artículo cuarto del Real Decreto 485/2009 preceptúa lo siguiente: "Artículo 4. Inicio del suministro de último recurso. 1. A partir del día I de julio de 2009, los consumidores suministrados por un distribuidor que no hayan optado por elegir empresa comercializadora pasarán a ser suministrados por un comercializador de último recurso. Dicho comercializador sucederá a la empresa distribuidora con los derechos y obligaciones establecidos en el artículo 45 de la Ley 54/1997, de 27 de noviembre, del Sector Eléctrico. " La Agencia ya ha analizado esta cuestión y ha considerado que la legitimación del tratamiento de los datos de carácter personal por parte de la comercializadora de último recurso se fundamenta en el art. 6, apartado segundo, de la LOPD. Por todas, podemos citar la resolución de archivo dictada en el expediente E/00805/2009 en cuyo Fundamento de Derecho Tercero, la Agencia considera lo siguiente: "El consentimiento de la persona denunciante para el tratamiento de los datos personales en el caso que nos ocupa no es necesario pues, el apartado 2 del artículo 6 trascrito así lo establece, cuando ese tratamiento es necesario para la ejecución y desarrollo del contrato suscrito entre las partes. El contrato de gas que regulaba la relación entre la denunciante y la distribuidora de gas hasta 30/06/08, pasa a regular la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 relación entre la denunciante y la denunciada a partir de 01/07/08. Dentro de esa relación pude dirigirse a la cliente que ahora denuncia para comunicarle lo que sea preciso, tal como emitir facturas a ella dirigidas y carear los importes en la cuenta bancaria designada para ese fin. Esa situación contractual se produce por imperativo legal. La ley reguladora del sector energético -Ley 34/1998 de 7 de octubre, modificada por Ley 12/2007 de 2 de julio-, al incorporar las directivas de la Unión Europea, establece la separación de actividades de las empresa del sector. Cada actividad debe ser desempeñada de forma exclusiva por una sociedad y cada actividad por una sociedad distinta. La ejecución de los cambios que esas normas establecen, está sujeta a un calendario fijado de forma precisa y con antelación suficiente para que las sociedades puedan constituirse y los clientes afectados conocerlo y adoptar la decisión que más les convienen. Como consecuencia de ese cambio legislativo y el Real Decreto 1068/2007 de 27 de julio, las empresas comercializadoras del último recurso designadas en él, como la denunciada, se subrogan -se ponen en lugar de- tanto de derechos como de obligaciones de las anteriores distribuidoras, si llegada la fecha fijada -01/07/08- no se ha optado por contratar con una de las empresas comercializadoras de gas que pueden operar en el mercado libre del gas. ". Por lo tanto, a partir del 1 de julio de 2009, aquellas personas que estaban siendo suministradas por una empresa distribuidora y no habían optado por contratar la energía eléctrica con una empresa comercializadora de mercado libre, pasaban a ser suministradas, por imperativo legal, por la comercializadora de último recurso. En el presente caso, desde el 1 de julio de 2009, Endesa Energía XXI pasó a prestar el suministro de energía eléctrica tanto al punto de suministro de titularidad del Sr. A.A.A. como al de titularidad de la Sra. B.B.B.. En el caso de la Sra. B.B.B., se trata de un contrato relativo a un local de negocios, conforme se observa en la dirección del punto de suministro sito en la (C/.........1) (Barcelona) que figura en el Documento n° 3, pág. 1/5, que se adjuntaba al Acta de Inspección obrante en el presente expediente. Se acompaña al presente escrito como documento n° 1 la última factura emitida, en la que se puede observar que el CNAE corresponde a un negocio. En concreto, se trata CNAE 4719, que se corresponde con "Otro comercio al por menor en establecimientos no especializados", conforme el documento que se acompaña como n° 2 y la impresión de pantalla que se acompaña como documento n° 3, pudiendo tratarse de la "Mercería Susi" según los archivos de "Google maps" (documento n° 4). Según se desprende de dicha factura, parece tratarse de un local sin actividad puesto que no tiene consumo ("Constan total 0 KW") lo que explicaría que, al no disponer de lectura real, al consultar el sistema no mostrase información relativa al contrato. Así mismo, se acompaña como documento n° 5 impresión de pantalla en el que se observa que la Sra. B.B.B. no es usuaria de Endesa Online puesto que no tiene activada la facturación electrónica (no tiene marcado el "check" de "FacturaE"). Conforme se ha acreditado, al tratarse de datos referidos a una empresaria individual en el ejercicio de su actividad comercial, no se encontrarían sometidos a la protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 conferida por la Lev Orgánica 15/1999 v su normativa de desarrollo, como así lo ha venido entendiendo la Agencia en varias resoluciones. Por todas, podemos citar su Resolución de 27 de febrero de 2001. Segunda.- En el Acta de Inspección se nos requería que aportásemos copia de la última factura emitida en el marco de ambos contratos, por lo que se acompaña como documento n° 6 la última factura emitida al Sr. A.A.A.. La factura correspondiente al suministro de titularidad de la Sra. B.B.B. se ha aportado como documento n° 1 en contestación al punto anterior. Tercera.- Si bien se han hecho las oportunas actuaciones tendentes a aclarar el motivo por el cual ambos clientes tienen el mismo identificador, a día de hoy, y a pesar de los esfuerzos realizados por mi mandante, no ha sido posible clarificar esta cuestión. No obstante, en el caso de que se obtenga información adicional, procederemos a su inmediata remisión a dicha Agencia. >>> CUARTO: La Inspección de Datos solicitó información a la Comisaria General de Extranjería y Documentación de la Dirección General de la Policía sobre la titularidad del número de DNI en cuestión, informando dicho servicio que el DNI corresponde al denunciante, no existiendo duplicidades, y no constando incidencias asociadas a dicho número. QUINTO: La Agencia Española de Protección de Datos acordó proceder al archivo de las actuaciones al entender que los hechos investigados son consecuencia de un error derivado del proceso de cambio obligatorio del suministro de energía de entidades distribuidoras a entidades comercializadoras de último recurso. Con fecha 18/11/2013 el afectado presentó recurso de reposición acreditando que a pesar de las actuaciones realizadas por la Agencia Española de Protección de Datos, en fecha 11/11/2013 continuaba teniendo acceso a los datos y facturas emitidas a nombre de B.B.B., aportando copia de una factura de esta clienta de fecha 29 de octubre de 2013. Este recurso de reposición fue estimado en fecha 12/12/2013 lo que ha dado lugar a nuevas actuaciones de inspección. SEXTO: En fecha 14 de noviembre de 2014 se realizó una nueva inspección en los locales de Endesa Energía XXI realizándose las siguientes verificaciones: <<<< 1) Se realiza una consulta sobre el fichero de clientes de aquellos cuyo nombre y apellidos son B.B.B., localizando dos personas. De éstas se selecciona la que tiene como domicilio (C/.........1), verificando que consta como identificador de su identidad pasaporte número ***NÚMERO.1 y que en la actualidad es cliente de un contrato de suministro eléctrico. 2) Se accede al sistema de Endesa On Line mediante el DNI ***DNI.1verificándose que constan datos asociados a A.A.A. y que no es posible acceder a los datos de ningún otro cliente. 3) Se solicita acceso al sistema CRM que contiene los contactos y reclamaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 mantenidos con el cliente al objeto de verificar el origen de la modificación del dato identificador asociado Dña. B.B.B., realizando sobre este fichero las siguientes comprobaciones respecto de las reclamaciones que constan en el mismo:  En fecha 30/10/2014, consta la recepción de un correo electrónico correspondiente a una gestión interna en el que se detalla “procedemos a modificar NIF de esta clienta informando un ficticio: ***NÚMERO.1 ya que no hay otra forma de resolverlo puesto que la clienta afectada no hay forma de que nos aporte su DNI correcto”  Hay cinco contactos más de modificación de datos de identificación, tres de ellos de fecha 28/10/2014, otro de 29/10/2014 y el último el 30/10/2014 que es cuando se recibe el correo indicando que van a utilizar uno ficticio.  De los comentarios asociados a estos registros no consta que se haya podido contactar con el cliente ni que haya aportado su verdadero DNI o pasaporte. A pesar de tener conocimiento del incidente por las actuaciones de la Agencia realizadas en fecha 9/05/2013, Endesa Energía XXI no intentó contactar con la cliente hasta la fecha 28/10/2014 y al no conseguirlo especificaron en su sistema de información un identificador ficticio en fecha 30/10/2014. >>> SÉPTIMO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que EEXXI, como responsable de sus ficheros de clientes, realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos y el deber de secreto que le incumbía, al permitir a la persona denunciante el acceso a los datos de otra cliente de dicha empresa. OCTAVO: Con fecha 27/11/14 por el Director de la Agencia Española de Protección de Datos se acuerda: 1. Iniciar procedimiento sancionador a Endesa Energía XXI SLU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

  1. c)de la citada Ley Orgánica. 2. Iniciar procedimiento sancionador a Endesa Energía XXI SLU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  2. d)de la citada Ley Orgánica. NOVENO: Notificado el acuerdo de inicio EEXXI, por escrito de 19/12/14 solicita "sea aplicada en el establecimiento de la cuantía de la sanción la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso de acuerdo con lo previsto en el artículo 45.5.
  3. d)de la Ley 15/1999, de 13 de diciembre de protección de datos de carácter personal", en base a las alegaciones siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 "" PRIMERA.- Que esta parte entiende y considera que se ha podido verificar en la Inspección realizada por la propia agencia la existencia de un puntual y concreto error administrativo en sistemas al haberse asignado dos mismos DNI a contratos diferentes. Este error material no ha podido ser subsanado por la imposibilidad material de contactar con la cliente Dª B.B.B. y de que por esta se aporte su correcto DNI. En este sentido conviene recalcar que, a diferencia de lo manifestado en el Acuerdo de Iniciación del procedimiento Sancionador, no es cierto que Endesa Energía XXI, S.L. no "intentara contactar con la cliente hasta la fecha 28 de octubre de 2014", sino que ese es el primer contacto telefónico que aparece en sistemas, si bien se había intentado con anterioridad sin haberse producido un resultado positivo de localización para solventar la situación. En definitiva nos encontramos ante un error administrativo que no pudo ser solventado en tiempo y forma por circunstancias ajenas a Endesa Energía XXII SL. SEGUNDA. Dicho lo anterior y partiendo de la base de la falta de intencionalidad o voluntariedad y dada la inexistencia de perjuicio alguno al denunciante en sus derechos, debemos considerar que efectivamente se ha podido producir una situación que podría ser constitutiva de una vulneración del artículo 4.3 de la Ley Orgánica 15/1999 de 13 de diciembre que es tipificada como grave por el artículo 44.3.
  4. c)de la citada ley Orgánica, y por medio del presente escrito, y al amparo de lo establecido en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, se reconoce voluntariamente la responsabilidad de Endesa Energía XXI SL y se solicita en el establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso de acuerdo con lo previsto en el artículo 45.5.
  5. d)de la Ley 15/1999, de 13 de diciembre de protección de datos de carácter personal. "" DECIMO: En fecha 7 de enero de 2015, se inició de un periodo de práctica de prueba acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante con su documentación, los documentos obtenidos y generados por los Servicios de Inspección y las alegaciones al acuerdo de inicio presentadas EEXXI. UNDÉCIMO: Al haber reconocido la entidad denunciada los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS 1. El día 22/11/12 la persona denunciante (A.A.A., con DNI ***DNI.1–no duplicado según la D. G: de Policía-) como cliente de Endesa accedió -con su usuario y clave de acceso- a la oficina on line de esta compañía y en el apartado Mis contratos pudo ver los siguientes: -Contrato nº ***CONTRATO.1 "ML TUR E", dirección (C/.........1) –Barcelona; empresa Endesa; titular B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 -Contrato nº ***CONTRATO.2 "ML TUR E", dirección (C/.........2)rto Real – Cádiz; empresa Endesa; titular A.A.A.. 2. El día 09/03/13 la Inspección de Datos comprueba que en la base de datos de EEXXI figuran asociados al DNI ***DNI.1dos clientes con los mismos datos que pudo observar la persona denunciante el día 22/01/12 en la oficina on line de dicha compañía. Igualmente comprueba que la persona denunciante comunicó el día 19/12/11 a la compañía que su DNI aparecía en un contrato a nombre de B.B.B. con quien nada tenía que ver. 3. Dicho DNI también figura en las facturas emitidas a nombre de ambos clientes, como lo acredita EEXXI cuando aporta (con su informe de 20/05/13 a la Inspección de Datos) las dos facturas emitidas en marzo de 2013. 4. El día 11/11/13 la persona denunciante como cliente de Endesa accedió -con su usuario y clave de acceso- a la oficina on line de esta compañía y en el apartado Mis contratos pudo ver los siguientes: -Contrato nº ***CONTRATO.1, dirección (C/.........1)…, última factura 103,49 € oct 13. -Contrato nº ***CONTRATO.2, dirección (C/.........2)…, última factura 90,34 € nov 13. Igualmente en esa página puede acceder a todos los datos de identidad de B.B.B., incluido su domicilio particular y ccc, y del punto de suministro y contrato. También comprueba que sigue figurando el mismo DNI para dicha cliente, que es posible modificar los datos de ambos contratos y obtener copia de factura que aporta. 5. 15/10/14, EEXXI recibe la petición de información de la Inspección de Datos sobre los hechos denunciados y los últimos accesos del denunciante a la base de datos de la empresa. 6. 14/11/14, la Inspección de Datos comprueba en la sede de EEXXI que en la base de datos de clientes figura como identificador de B.B.B. el número ficticio ***NÚMERO.1 de pasaporte en su contrato de electricidad. Igualmente comprueba que con el identificador ***DNI.1 solo es posible acceder a los datos del denunciante y su contrato. 7. 22/12/14, entrada en la Agencia del escrito de alegaciones de EEXXI, reconociendo voluntariamente la responsabilidad en los hechos que se le imputan, e invocando la aplicación del 45.5.
  6. d)se la LOPD FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. A. La persona denunciante es cliente de EEXXI por su contrato de suministro de electricidad para su vivienda. Cuando accedió a sus datos en endesaonline pudo observar que su DNI, además de figurar en su contrato, también lo estaba en el contrato de electricidad de una tercera persona y podía acceder a todos los datos personales, de cuentas bancarias, de domicilio y contractuales de ésta. B. La persona denunciante formula queja en endesaonline y no recibe respuesta satisfactoria, a pesar de los diversos intentos. Formula denuncia ante la AEPD. La inspección comprueba que con el DNI del denunciante se tiene acceso a los datos personales, bancarios, facturas y de suministro de una tercera persona. C. El primer acceso acreditado es anterior a 19/12/11, fecha en que el denunciante comunica los hechos; el segundo acreditado un año después, en marzo de 2013 lo constata la Inspección de Datos y en noviembre de 2013 el denunciante sigue pudiendo acceder a los datos del otro cliente, obtener copia de facturas y modificarlos. D. En octubre de 2014 recibe petición de información de la Agencia y procede a sustituir el DNI incorrecto en el cliente incorrecto por un identificador ficticio. Situación que la Inspección comprueba al mes siguiente. En conclusión como gestora de los respectivos contratos de los hechos de referencia EEXXI es responsable de que los datos personales sean exactos conforme al principio de calidad de datos y no sean accesibles a terceros en virtud de su deber de secreto profesional sobre los datos de sus clientes. III El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En este caso, trataron los datos de la persona denunciante, número de DNI, asociándolo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 a los de otra persona. Y siguieron haciéndolo a pesar de las reclamaciones del denunciante. No ha acreditado el número de DNI de la tercera persona es el que figura en su base de datos. Tratamiento inexacto en la gestión del contrato. Este comportamiento, supone una vulneración del principio de calidad de datos, recogido en el artículo 4.3 de la LOPD, al incorporar a sus ficheros datos inexactos y que no respondían con veracidad a la situación actual de la denunciante y que encuentran su tipificación en el artículo 44.3.
  8. c)de la citada Ley Orgánica. IV El artículo 44.3.
  9. c)de la LOPD, considera infracción grave: “
  10. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” Se imputa la infracción tipificada en el citado artículo por su responsabilidad en los hechos declarados probados y reconocidos por la imputada. Es a EEXXI a quien corresponde adoptar las medidas adecuadas para la perfecta identificación de sus clientes. En este caso, la cuestión que se suscita es si la entidad denunciada empleo o no una diligencia razonable a la hora de tratar los datos de su cliente. En definitiva, no actuó con la diligencia debida al no comprobar con precisión la exactitud de los datos de identidad de la tercera persona a cuyo local debía suministrar electricidad. Y no modificaron su posición a pesar de las reclamaciones. Por ello, debe considerarse que ha vulnerado la LOPD. En este caso, ha incurrido en las infracción descrita ya que ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, que encuentran su tipificación en el artículo 44.3.
  11. c)de la citada Ley Orgánica. V El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a “el responsable del fichero y a quienes intervengan en cualquier fase del tratamiento…”, recogido en el artículo 10 de la LOPD, comporta que éstos no puedan revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de marzo, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Ley, pues en eso consiste precisamente el secreto. En el presente caso partimos del hecho de que datos personales de un cliente tercero son puestos a disposición de la persona denunciante sin tener el consentimiento de la persona titular de los datos. La actuación es imputable a EEXXI, como titular de la prestación de la aplicación endesaonline y de su base de clientes –cuyos datos muestra-, que incurre en una infracción al deber de secreto que exige el artículo 10 de la LOPD. La imputada debe tener en cuenta su obligación de guardar y proteger los datos de sus clientes. El hecho indica que la entidad responsable del fichero incumplió su deber de secreto por no acción, omisión o negligencia. Este criterio sigue la doctrina de la Audiencia Nacional, en su sentencia 843/2010 de 25/02/10 ante el recurso 226/2009, que establece: <<< SEXTO.- Resta por analizar si puede subsumirse en el artículo 9 o 10 de la LOPD un hecho diferente, cual es que, tras haber descargado un tercero copia de la base de datos de usuarios registrados en www.portalatino.com, la recurrente no realizó actividad alguna, pese a que era consciente del riesgo de una posible revelación o publicidad del fichero, hasta que tuvo conocimiento de que el 6 de octubre de 2004 el hacker había hecho público el fichero en internet. Sólo después de tal actuación, Portal Latino desactivó todos los accesos al portal y puso los hechos en conocimiento de la policía. La recurrente, como responsable del fichero, seguía siendo garante de los datos de los usuarios que se habían incorporado al mismo. …, pero también es cierto que un comportamiento adecuado y activo de la misma pudo impedir o, al menos, minimizar el riesgo real de revelación de los datos personales de los usuarios. … Las razones aducidas por la demandante para explicar la tardanza en adoptar un comportamiento activo para impedir que se hiciese público el fichero en Internet no son convincentes. … La recurrente, como garante de los datos personales de terceros que figuraban en sus ficheros, no tuvo la diligencia exigible sino que propició la revelación como cooperador necesario por omisión. Siendo ello así, la Sala entiende cometida, como también recoge la resolución impugnada, la infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
  12. g)de la citada norma, es decir la vulneración del deber de guardar secreto sobre datos personales incorporados a ficheros, …. >>> VI El artículo 44.3.
  13. d)de la LOPD establece que es infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 Los datos personales contenidos en los documentos, a los que tuvo acceso la persona denunciante, están incorporados al fichero de clientes de la sociedad imputada, son accesibles a través de la aplicación endesaonline. Datos personales sobre los cuales la imputada tenía el deber de guardar el secreto que exige el artículo 10 de la LOPD. Sobre el concurso de infracciones, el artículo 4.4 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, establece que “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. A este respecto, hay que citar los razonamientos de las Sentencias de la Audiencia Nacional siguientes: SAN de 13/05/2011 argumenta que “considera la Sala que tal concurso medial tampoco concurre en el caso examinado, pues precisamente tal artículo 4.4 del Real Decreto 1398/1993 exige para su aplicación, una necesaria derivación de una infracción respecto de otra u otras y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, y sólo en tal caso puede seguirse la consecuencia propia del concurso medial y es que únicamente se imponga la sanción correspondiente a la infracción más grave cometida. En el caso examinado ninguna de las contravenciones administrativas sancionadas es un medio para la perpetración de la otra, se da por el contrario la circunstancia de que ambas pueden realizarse con independencia absoluta, porque protegen principios diferentes, e un caso el consentimiento inequívoco que exige todo tratamiento de datos personales (artículo 6.1 de la Ley 15/41999) y, en otro, la calidad de dichos datos, personales (artículo 4.3 de la citada LO), a fin de salvaguardar el poder de disposición del titular de dichos datos, que integra el derecho fundamental a la protección de los datos.” Por su parte, la SAN de 16/05/2011 señala que “la STS de 08/02/1999 (recurso 9/1996) interpreta dicho precepto en el sentido que ‘exige para la aplicación del concurso medial una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que indispensable que las unas no puedan cometerse sin ejecutar las otras’.” La infracción de deber de secreto es independiente de los datos inexactos en el tratamiento en el caso que nos ocupa. EEXXI, una vez que recibe la comunicación del denunciante en 19/12/11, pudo evitar a partir de ese momento el acceso del denunciante por la oficina online a los datos del otro cliente, pero no lo hizo. Siguieron accesibles como lo demuestra el acceso del denunciante el 22/11/12, el de la Inspección de Datos el 09/03/13 y el del denunciante el día 11/11/13. VII El artículo 45. LOPD, dispone que: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Los hechos declarados probados han sido tipificados como constitutivos de dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 infracciones graves, por lo tanto corresponde a cada una de ellas una sanción por un importe comprendido en el tramo del apartado 2 trascrito. VIII El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Está acreditado en el procedimiento el reconocimiento de responsabilidad en los hechos imputados por aparte de EEXXI. Procede pues fijar el importe de las sanciones dentro del tramo de las leves. La imputada ante las reclamaciones de la persona denunciante no desarrolla una actividad con diligencia suficiente para regularizar la situación irregular producida por la infracción. Desde la primera comunicación del denunciante a EEXXI en 2011 no ha acreditado actuación alguna que impidiera el tratamiento de datos con un DNI incorrecto y sobre todo que impidiera el acceso a datos de tercero. La actuación final de sustituir el número de DNI incorrecto por un número de identificador ficticio pudo realizarse años antes. IX. El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)C/ Jorge Juan, 6 28001 – Madrid El volumen de negocio o actividad del infractor. www.agpd.es sedeagpd.gob.es 14/16
  23. e)infracción. Los beneficios obtenidos como consecuencia de la comisión de la
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora” Para que el importe de la sanción pueda ser fijado han de ser examinadas las circunstancias a que se refiere el apartado trascrito: A. El carácter continuado de la infracción queda fuera de duda, pues los datos personales de la denunciante han sido tratados de forma irregular durante varios años, probablemente desde que la imputada es titular de los contratos de suministro del cliente denunciante y la cliente tercera al que tuvo acceso, hasta octubre de 2014. Con toda seguridad al menos desde que la persona denunciante formuló su primera reclamación en 2011 B. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es constante e intensa, puesto que es empresa perteneciente a un grupo trasnacional que tiene como actividad la prestación de servicios de energía, principalmente. Tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. C. En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre las infractoras. D. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que los empleados no tuvieran intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 F. La imputada ha sido objeto de expedientes sancionadores por infracciones similares. G. Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. La valoración de todas las circunstancias permite graduar cada una de las sanciones por importe de 20.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Endesa Energía XXI SLU, las siguientes sanciones: -1 Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  29. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. -2 Por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  30. d)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Endesa Energía XXI SLU y a A.A.A.. TERCERO: Advertir a las sancionadas que las sanciones impuestas deberán hacerlas efectivas en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.