PS-00683-2014

1/8 Procedimiento Nº PS/00683/2014 RESOLUCIÓN: R/01331/2015 En el procedimiento sancionador PS/00683/2014, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía SAU, vista denuncia presentada por y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 3/12/13 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que ha recibido una notificación de inclusión en Asnef a instancias de Endesa Energía S.A. con fecha de alta 20/08/2013 e importe pendiente de pago de 110,07 €. Según indica el afectado no ha suscrito ningún contrato con esta entidad ni ha contraído ninguna deuda con ella. Además no ha recibido ningún requerimiento de pago previo a la inclusión de sus datos en ficheros de solvencia. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/01063/2014. Concluyéndose la investigación con el informe de la Inspección de Datos de fecha 28/11/14 TERCERO: Con fecha 01/12/14, el Director de la Agencia Española de Protección de Datos acordó iniciar, con fecha 01/12/14 procedimiento sancionador a ENDESA ENERGIA SAU del artículo 4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.c de dicha norma, CUARTO: Se ha presentado escrito de alegaciones al acuerdo de Inicio que se han tenido en cuenta en la resolución del presente procedimiento. QUINTO: Por el instructor del procedimiento se apertura, con fecha 8/1/15 periodo de prácticas de pruebas con la incorporación de las actuaciones de investigación previa y las alegaciones de la entidad denunciada. SEXTO: Con fecha 19/2/15 se dictó la siguiente propuesta de resolución. <<<<< Que por el Director de la Agencia Española de Protección de Datos se sancione a Endesa Energía SAU con multa de 10.000 € (diez mil euros) por la infracción de lo artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma >>>>> HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A. en el que declara que ha recibido una notificación de inclusión en Asnef a instancias de Endesa Energía S.A. con fecha de alta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 20/08/2013 e importe pendiente de pago de 110,07 €. Según indica el afectado no ha suscrito ningún contrato con esta entidad ni ha contraído ninguna deuda con ella. Además no ha recibido ningún requerimiento de pago previo a la inclusión de sus datos en ficheros de solvencia 2º Consta Acta de Inspección, levantada en la sede de la entidad denunciada, con fecha 17/11/14, en la que se ha acreditado los siguientes hechos: 2.1 Se solicita acceso al Sistema de Ventas y Atención al Cliente de Endesa. Según indican los representantes de la entidad este fichero contiene información relativa a qué entidad ha contratado con cada cliente. Sobre este sistema se realiza una consulta relativa al titular del DNI ***NIF.1 verificándose que está asociado a A.A.A. cliente de Endesa Energía XXI para el suministro de electricidad. 2.2 Se accede al fichero de clientes de Endesa Energía XXI y se realizan las siguientes consultas respecto a A.A.A. DNI ***NIF.1: 2.2.1 Se consulta la información que figura respecto al contrato de suministro de electricidad verificando que la fecha de alta es 18/03/2013 y fecha de baja 22/04/2013. 2.2.2 Por los consumos energéticos se han emitido dos facturas de fechas 25/03/2013 y 24/04/2013 e importes 31,38 € y 110,07 €. Ambas facturas han resultado impagadas figurando una deuda de 141,35 € con la entidad. 2.2.3 Se verifica que como canal de entrada del contrato figura el literal “VUELTA A CUR”. Según manifiestan los representantes de la entidad se debe a que el cliente procede de la comercializadora Orus Energía en la que fue dado de baja. 2.3 Según especifica el artículo 3.2 del Real Decreto 485/2009, de 3 de abril, por el que se regula la puesta en marcha del suministro de último recurso en el sector de la energía eléctrica, “el comercializador de último recurso perteneciente al grupo empresarial propietario de la red en una zona de distribución deberá atender el suministro de aquellos consumidores que, sin tener derecho a acogerse a la tarifa de último recurso, transitoriamente carezcan de un contrato de suministro en vigor con un comercializador y continúen consumiendo electricidad.” En el sistema de información consta que la comercializadora de este cliente era inicialmente Orus Energía y después de permanecer en Endesa Energía XXI cursó alta en la comercializadora Audax Energía. 2.4. En la factura impagada la dirección que figura es “(C/...............1) Barcelona” 2.55. La dirección que figura en el requerimiento de pago es “(C/...............1) Barcelona” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 2..6. En la notificación de inclusión en Asnef, correctamente recibida en el domicilio del reclamante, la dirección que figura es “(C/...............1) Barcelona” 2.7. En relación con la inclusión en Asnef a nombre de A.A.A. DNI ***NIF.1 en la que figura como entidad informante Endesa Energía S.A, fecha de alta 20/08/2013 e importe pendiente de pago 110,07€, los representantes de la entidad manifiestan que por error, en esa fecha las deudas de Endesa Energía XXI se informaron a Asnef como deudas de Endesa Energía. 2.8. En relación al requerimiento de pago previo a la inclusión en ficheros de solvencia patrimonial, los representantes de la entidad manifiestan que la agencia de recobros Cía. de Investigación y Recobro S.L. realizó un requerimiento de pago en fecha 13/06/2013. 2.9 Conclusiones - El afectado pasó a ser cliente de Endesa Energía XXI al no tener un contrato en vigor con ninguna comercializadora y continuar consumiendo gas, conforme especifica el artículo 3.2 del Real Decreto 485/2009, de 3 de abril. - La deuda notificada a Asnef contiene un error al informar como entidad responsable a Endesa Energía en lugar de Endesa Energía XXI. - Las direcciones que figuran en las facturas y requerimiento de pago (que según indica el reclamante no ha recibido) son distintas de la que figura en la notificación de inclusión en Asnef (que aporta junto a su denuncia) Por falta de tiempo no se ha aportado certificado relativo al proceso de impresión, ensobrado y puesto a disposición de correos del requerimiento de pago. >>>>> 3º Consta que por la entidad denunciada se ha reconocido su responsabilidad en relación a los hechos denunciados. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/01063/2014 se determinó que el denunciante no es cliente de la entidad que ha informado de sus datos personales a los ficheros de morosidad y que el requerimiento previo de pago se realizó a un domicilio distinto. Lo que puede suponer el incumplimiento del requisito de que debe ser el acreedor el único legitimado para incluir los datos de su deudor en el fichero, además de tener constancia de la recepción, por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 interesado, del requerimiento previo del pago Se manifiesta en el escrito de alegaciones al Acuerdo de Inicio que ha existido un puntual y concreto error administrativo al haberse realizado la inclusión en Asnef al cliente Endesa Energía S.A en vez de hacerlo la empresa Endesa Energía XXI, que era la empresa con la que el cliente tenía la deuda, por otro lado impagada. Adicionalmente se produjo un simple error en la identificación del edificio del domicilio del cliente deudor aunque constaba el número de la calle identificado. Se añade, así mismo, en base a la falta de intencionalidad o voluntariedad y dada la inexistencia de perjuicio alguno al denunciante, se reconoce voluntariamente la responsabilidad de Endesa Energía SA y se solicita el establecimiento de la cuantía dela sanción aplicando lo establecido en el art. 45.5.
2. d)III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
3. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV El artículo 4 de la Ley Orgánica 15/1999, referente a la “calidad de los datos”, establece en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4, respectivamente: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. “Sólo se podrán registrar y ceder los datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El precitado artículo 29 regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, estableciéndose una ser de requisitos para poder incluir datos en esos ficheros, es decir, se han regulado diversos condicionantes en relación al contenido de esa información o la necesidad de realizar ciertas actividades que deben llevarse a cabo antes de dicha inclusión. Su finalidad es proteger al afectado para que no se vea perjudicado por ese tratamiento de datos (que siempre tiene un carácter desfavorable). El cumplimiento de estos requisitos corresponde al acreedor pues es el único en disposición de conocer si la deuda es real, existe por el importe declarado y no ha sido pagada. Entre los requisitos relativos al contenido de la deuda, desarrollados en el art 38 (y aplicada la Sentencia del TS de 15/7/10) figuran los siguientes:
5. a)Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.
6. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.
7. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación La exigencia de que la deuda sea cierta, responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD, su infracción se tipifica como grave en el art. 44.3.c que establece como tal: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación der los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cundo sea constitutivo de infracción muy grave” En el presente caso, la incorporación de los datos del denunciante a los ficheros de morosidad no se realizó por la entidad acreedora (Endesa Energía XXI) sino por la empresa denunciada Endesa Energía S.A., debido a un error por parte de esta última, pero que ha originado un tratamiento de los datos en un fichero de morosidad que vulnera el principio de calidad del dato al infringir el principio de veracidad o exactitud de los datos informados a los ficheros de morosidad De lo expuesto se deduce que ENDESA ENERGIA SAU ha sido responsable del tratamiento de datos del denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). V El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
8. a)El carácter continuado de la infracción.
9. b)El volumen de los tratamientos efectuados.
10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
11. d)El volumen de negocio o actividad del infractor.
12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
13. f)El grado de intencionalidad.
14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IOS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Endesa Energía SAU ha reconocido su responsabilidad manifestando que los hechos ocurridos son resultado de un simple error al haberse realizado la inclusión en Asnef al cliente por esa entidad en vez de hacerlo Endesa Energía XXI que era la empresa con que el cliente tenía la deuda. Por consiguiente dicho reconocimiento de la responsabilidad implica la aplicación de lo establecido en el artículo 45.5.d); además debe tenerse en cuenta que la deuda era cierta, y existió requerimiento previo de la misma, que existe además una actuación diligente por parte de Endesa Energía SAU procediéndose (con fecha 17/01/14) a la baja de la deuda incorporada (con fecha 20/08/13) al fichero de morosidad, evitándose todo tratamiento posterior de los datos el denunciante. Sin que haya quedado acreditado que hubiera habido contactos o reclamaciones previas del denunciante poniendo de manifiesto las irregularidades. Por la concurrencia de las meritadas circunstancias atenuantes procede imponer una sanción de 10.000€ por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA SAU por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 4.3.c de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Endesa Energía SAU. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es